Cloudflare

El conector de Cloudflare descubre las zonas DNS disponibles para su token de API y da soporte a los dominios gestionados de Opfield y a los flujos de certificados con DNS-01. No es un proveedor de hosting y no sustituye a Opfield Relay ni a un nodo de ingress gestionado.

Crea el token de Cloudflare

1. En el panel de Cloudflare, abre My Profile > API Tokens > Create Token. Elige la plantilla Edit zone DNS o crea un token personalizado.
2. Configura estos dos permisos y revisa la plantilla en lugar de dar por hecho que incluye ambos:

Categoría de permiso	Recurso	Acceso	Finalidad
Zone	Zone	Read	Descubrir las zonas disponibles para el conector
Zone	DNS	Edit	Crear, actualizar y eliminar registros DNS gestionados y registros de desafío de certificados

3. En Zone Resources, selecciona Include > Specific zone y cada zona que Opfield deba gestionar. No selecciones todas las zonas salvo que sea intencionado.
4. Si configuras Client IP Address Filtering, permite la IP de salida del backend de Opfield, no la IP de tu navegador. Fija una caducidad que te permita rotar el token antes de que la renovación de certificados dependa de él.
5. Revisa el resumen, crea el token y copia el secreto. Es un token de API, no una Global API Key, una clave de Origin CA ni un ID de cuenta.

Estos flujos de trabajo no requieren privilegios de Workers, Pages, Tunnel ni de administración de la cuenta. Un token de zona debe pertenecer a una identidad que tenga acceso a las zonas seleccionadas.

Referencia: creación de tokens de API de Cloudflare.

Conecta el acceso DNS

1. Crea un token de API de Cloudflare dedicado con acceso a las zonas previstas y los permisos de lectura de zona y edición de DNS que necesite tu flujo de trabajo. Restringe los recursos de zona en Cloudflare en lugar de proporcionar una credencial de toda la cuenta.
2. Abre Settings > Integrations > Cloudflare, añade un conector con nombre y proporciona el token en el campo de credencial.
3. Prueba el acceso e inspecciona las zonas descubiertas. El conector descubre todas las zonas visibles para ese token; las restricciones del token determinan ese límite.
4. Revisa la sincronización automática y los ajustes predeterminados de TTL y de proxy.
5. Continúa con Dominios, Routes y TLS para elegir un nodo de ingress compatible y crear el dominio gestionado y la Route.

Una prueba de conexión y el descubrimiento de zonas no demuestran el permiso de escritura en el DNS ni la propagación pública. Verifica por separado el registro previsto y el flujo de certificados. Los registros DNS existentes que entren en conflicto requieren una decisión explícita de sobrescritura; no des por hecho que un conector da a Opfield la propiedad de registros no relacionados.

Certificados y transporte

La validación DNS-01 necesita la zona correcta y permiso para gestionar los registros de desafío. Verifica que la credencial esté disponible para la renovación, no solo para la emisión inicial del certificado. Consulta Certificados SSL.

Para un dominio servido por un grupo de ingress, el conector publica la dirección de cada miembro activo y emite y renueva los certificados del grupo con DNS-01. Nunca crea, cambia ni elimina balanceadores de carga, pools ni monitores de Cloudflare; configura tú mismo Cloudflare Load Balancing delante de un grupo.

El ajuste de proxy de Cloudflare del nombre de host web es independiente del registro de los daemons. No des por hecho que un nombre de host HTTPS con proxy puede transportar la conexión gRPC directa de Opfield; usa la dirección generada y los requisitos de Añade tu primer nodo.

Permisos y recuperación

La visibilidad y la administración del conector usan integrations:cloudflare:view e integrations:cloudflare:manage. Las operaciones con dominios gestionados usan domains:*; las acciones con certificados tienen sus propios permisos. Los derechos del token del proveedor son un límite adicional, no un sustituto de los ámbitos de Opfield.

Ante errores, comprueba la cuenta y la zona seleccionadas, la caducidad y los privilegios del token, la respuesta del DNS autoritativo, el TTL, el modo de proxy y el estado del desafío del certificado. Rota el token solo después de verificar el sustituto. Antes de desactivar o eliminar el conector, identifica los dominios y las renovaciones de certificados que dependen de él.

Para otras integraciones de entrega, consulta Correo electrónico y webhooks.