Cloudflare

Le connecteur Cloudflare découvre les zones DNS accessibles à son jeton d’API et prend en charge les domaines gérés d’Opfield ainsi que les processus de certificats DNS-01. Ce n’est pas un hébergeur, et il ne remplace ni Opfield Relay ni un nœud ingress géré.

Créer le jeton Cloudflare

1. Dans le tableau de bord Cloudflare, ouvrez My Profile > API Tokens > Create Token. Choisissez le modèle Edit zone DNS ou créez un jeton personnalisé.
2. Définissez ces deux permissions et examinez le modèle plutôt que de supposer qu’il inclut les deux :

Catégorie de permission	Ressource	Accès	Objectif
Zone	Zone	Read	Découvrir les zones disponibles pour le connecteur
Zone	DNS	Edit	Créer, mettre à jour et supprimer le DNS géré et les enregistrements de défi des certificats

3. Sous Zone Resources, sélectionnez Include > Specific zone et chaque zone qu’Opfield doit gérer. Ne sélectionnez pas toutes les zones, sauf si c’est intentionnel.
4. Si vous définissez Client IP Address Filtering, autorisez l’IP sortante du serveur Opfield, et non l’IP de votre navigateur. Définissez une expiration qui vous laisse le temps de faire tourner le jeton avant que le renouvellement des certificats n’en dépende.
5. Examinez le résumé, créez le jeton et copiez le secret. Il s’agit d’un jeton d’API, et non d’une Global API Key, d’une clé Origin CA ou d’un identifiant de compte.

Ces processus ne nécessitent aucun privilège Workers, Pages, Tunnel ou d’administration du compte. Un jeton de zone doit appartenir à une identité qui a elle-même accès aux zones sélectionnées.

Référence : création de jetons d’API Cloudflare.

Connecter l’accès DNS

1. Créez un jeton d’API Cloudflare dédié avec un accès aux zones prévues et les permissions de lecture de zone et de modification DNS nécessaires à votre processus. Restreignez les ressources de zone chez Cloudflare plutôt que de fournir un identifiant valable pour tout le compte.
2. Ouvrez Settings > Integrations > Cloudflare, ajoutez un connecteur nommé et fournissez le jeton via le champ d’identifiant.
3. Testez l’accès et examinez les zones découvertes. Le connecteur découvre toutes les zones visibles par ce jeton ; ce sont les restrictions du jeton qui définissent cette frontière.
4. Examinez la synchronisation automatique ainsi que les paramètres par défaut de TTL et de proxy.
5. Poursuivez avec Domaines, Routes et TLS pour choisir un nœud ingress éligible et créer le domaine géré et la Route réels.

Un test de connexion et la découverte des zones ne prouvent ni la permission d’écriture DNS ni la propagation publique. Vérifiez séparément l’enregistrement prévu et le processus de certificat. Les enregistrements DNS existants en conflit nécessitent une décision d’écrasement explicite ; ne supposez pas qu’un connecteur donne à Opfield la propriété d’enregistrements sans rapport.

Certificats et transport

La validation DNS-01 nécessite la bonne zone et la permission de gérer les enregistrements de défi. Vérifiez la disponibilité de l’identifiant pour le renouvellement, et pas seulement pour l’émission initiale du certificat. Voir Certificats SSL.

Pour un domaine servi par un groupe d’ingress, le connecteur publie l’adresse de chaque membre actif et émet et renouvelle les certificats du groupe avec DNS-01. Il ne crée, ne modifie et ne supprime jamais de répartiteurs de charge, de pools ou de moniteurs Cloudflare ; mettez vous-même en place Cloudflare Load Balancing devant un groupe.

Le paramètre de proxy Cloudflare du nom d’hôte web est distinct de l’enrôlement des démons. Ne supposez pas qu’un nom d’hôte HTTPS proxifié peut transporter la connexion gRPC directe d’Opfield ; utilisez l’adresse générée et les exigences décrites dans Ajouter votre premier nœud.

Permissions et reprise

La visibilité et l’administration du connecteur utilisent integrations:cloudflare:view et integrations:cloudflare:manage. Les opérations sur les domaines gérés utilisent domains:* ; les actions sur les certificats ont leurs propres permissions. Les droits du jeton du fournisseur constituent une frontière supplémentaire, et non un substitut aux scopes d’Opfield.

En cas d’erreur, vérifiez le compte et la zone sélectionnés, l’expiration et les privilèges du jeton, la réponse DNS faisant autorité, le TTL, le mode proxy et l’état du défi du certificat. Ne faites tourner le jeton qu’après avoir vérifié son remplaçant. Avant de désactiver ou de supprimer le connecteur, identifiez les domaines et renouvellements de certificats dépendants.

Pour les autres intégrations d’envoi, voir E-mails et webhooks.