Source · 73 jours de veille
Ce qui a été retenu de cette source, et sur quels thèmes. Chaque fiche est une synthèse originale et renvoie à l'article d'origine.
Du 27 août au 9 septembre, 155 réponses de GLM 5.3 sur Workers AI ont contenu des données d'autres clients : le cache KV de prefill était plus petit que le contexte annoncé, et SGLang acceptait au lieu de rejeter les prompts trop longs. Cloudflare a corrigé sa configuration et publié avec SGLang un correctif, disponible en 0.5.22. Le contrôle à faire chez soi : pool KV contre longueur de contexte.
Cloudflare ouvre à tous les forfaits Origin Range Requests : un cache des requêtes Range qui découpe les fichiers en morceaux de taille fixe, au lieu d'une tranche réglée par zone. Sur R2, le p99 du premier octet a été divisé par deux et le trafic entre niveaux de cache a baissé d'environ 6 %.
Les clés privées de huit certificats intermédiaires d'eMudhra (six TLS, deux de signature de code) sont compromises : qui les détient peut émettre un certificat accepté pour n'importe quel site. Les navigateurs ont bloqué ces certificats à distance, mais les clients Go, Python, les images de conteneur et tout magasin de confiance embarqué doivent être mis à jour puis redémarrés. Ne résolvez surtout pas les erreurs de certificat qui en découlent en coupant la vérification.
Le relecteur de code IA de Cloudflare est passé de 1,19 $ par revue (avril) à environ 2,46 $ (fin août), puis à 0,77 $ après un travail sur les jetons : −68 %, et une revue médiane de 4 min 09 s à 1 min 32 s. Le plus gros gain vient du cache de prompt : la première requête d'une session ne lisait un préfixe en cache que dans 14 à 26 % des cas, 91 à 99,5 % après avoir séparé le prompt commun du reste. Le reste vient de moins d'appels et de changements de modèle et d'effort, avec des réserves sur la qualité.
Hyperdrive, le pooleur de connexions de Cloudflare pour Workers, passe en disponibilité générale pour MySQL. Le billet détaille trois pièges de protocole : utf8 n'est pas du vrai UTF-8, COM_RESET_CONNECTION remet le jeu de caractères du serveur, et un cache partagé entre deux nœuds servait des octets au mauvais format, ce qui produisait environ 0,001 % de réponses vides.
Cloudflare publie Clef-omni (audio, vidéo, image, texte) et baisse le prix de Clef-flash à 0,038 $ le million de jetons d'entrée, au prix d'un contexte hébergé ramené de 64k à 24k. Ces « modèles de décision » répondent à des questions typées par des probabilités, sans générer de texte ; Microsoft (Decision-1) et Liquid AI (d1) sont arrivés le même jour sur l'AI Gateway de Vercel. Les poids de Clef sont ouverts et servis avec SGLang.
Le 11 octobre 2026, la racine du DNS signe avec une nouvelle clé, KSK-2024 (key tag 38696), qui remplace KSK-2017 (20326). Un résolveur DNSSEC validant qui n'a pas appris cette nouvelle ancre de confiance renverra SERVFAIL, quel que soit le domaine demandé. Cloudflare publie un test fondé sur la RFC 8509 pour vérifier son résolveur avant la date.
Depuis cloudflared 2026.9.3, l'option --allowed-mail réserve un Quick Tunnel aux adresses ou domaines listés : le visiteur prouve son adresse par un code à usage unique de Cloudflare Access, et cloudflared décide localement. Aucun compte n'est nécessaire, la liste ne quitte pas la machine, et un tunnel protégé ne retombe jamais en mode public.
Cloudflare ouvre en bêta Issues, une surveillance des erreurs intégrée au runtime Workers : une ligne dans wrangler.jsonc, et exceptions, réponses 5xx et journaux d'erreur sont regroupés par bogue. Une automatisation peut ensuite envoyer l'incident, pile d'appels et traces comprises, à Claude Code, Cursor, Devin ou un webhook.
Cloudflare a confié à des modèles de pointe le soin de contourner son propre WAF, en boucle : une variante, une réponse, une nouvelle variante. Sur 1 107 tentatives, XSS, injection SQL, inclusion de fichier et Log4j sont restés quasi bloqués, mais 48 des 49 cas retenus relevaient de l'injection de commande et du SSRF. La leçon dépasse Cloudflare : une adresse IP s'écrit de plusieurs façons, et un filtre qui compare des chaînes en rate.
Cloudflare candidate aux programmes de racines de Chrome, Apple, Microsoft et Mozilla et rachète une racine GlobalSign pour devenir autorité de certification publique, en alternative à Let's Encrypt. Émission uniquement par ACME, avec ARI (RFC 9773) obligatoire côté client. Les premiers certificats Merkle, conçus pour l'ère post-quantique, sont visés au premier trimestre 2027, gratuits. Rien n'est encore émis.
Vinext, la réimplémentation de Next.js sur Vite lancée par Cloudflare en février, passe en 1.0 : App Router et Pages Router, Server Components, ISR et revalidation, déployables sur Workers, Netlify ou AWS Lambda. La nouveauté marquante est le cache chaud, qui rend les pages sur une version déployée à 0 % du trafic avant de la promouvoir. Les Cache Components de Next.js 16 restent partiellement couverts.
EmDash, le CMS open source de Cloudflare bâti sur Astro, passe en 1.0 sous licence MIT. Ses plugins tournent isolés, sans accès au contenu, aux secrets ni au réseau hors des capacités déclarées et approuvées, sur Cloudflare comme sur Node. Le registre, bâti sur AT Protocol, laisse chaque version signée sur le compte de son auteur et la vérifie avant installation.
Cloudflare ouvre BEACON, un jeu de données anonymisé de mesures de vrais utilisateurs sur ses 10 000 plus gros sites, mis à jour chaque jour sur BigQuery. Découpé en sous-parties, le LCP montre que le téléchargement de la ressource pèse le moins : sur les pages lentes, ce sont sa découverte et le blocage du rendu qui coûtent. Les applications monopage y paient une page d'arrivée bien plus lourde.
Signalée le 4 septembre par Oren Yomtov (Accomplish), une faille de Cloudflare Containers laissait un client relire des blocs de disque libérés par d'autres : le pool dm-thin ne remettait pas à zéro les blocs réattribués. Cloudflare a corrigé toute la flotte et ne voit aucune exploitation ; la leçon vaut pour quiconque partage des volumes thin entre locataires.
Les Cache Rules de Cloudflare savent désormais respecter l'en-tête Vary, sur tous les plans. Trois actions par en-tête — normaliser, transmettre tel quel, ne pas mettre en cache — évitent qu'Accept-Language ou Accept émiettent le cache en milliers de variantes jamais réutilisées. L'origine doit renvoyer Vary de façon cohérente, erreurs comprises.
Cloudflare a activé le 15 septembre 2026 un réglage Disallow AI Training qui permet de rester indexé par les moteurs de recherche tout en refusant l'entraînement, y compris pour les crawlers à double usage d'Apple, Google et Microsoft. Le réglage publie la directive dans robots.txt et le réseau bloque les opérateurs qui l'ignorent. Effet de bord à connaître : le réglage Block s'applique désormais aussi aux crawlers mixtes, donc il coupe le référencement.
Cloudflare a réécrit le registre de modules de workerd : les API Node sont désormais actives par défaut, la taille maximale d'un Worker passe à 64 MiB sur tous les plans et la limite de taille compressée disparaît. Le nouveau registre traite les spécificateurs comme de vraies URL, ce qui débloque import.meta.resolve(), require(esm) aux règles Node, la compilation paresseuse et des caches de code partagés. Il s'active explicitement, par un drapeau de compatibilité.
Cloudflare sonde désormais chaque origine pour savoir quels algorithmes d'échange de clés elle accepte, au lieu de toujours commencer par X25519. Résultat sur la cohorte déjà déployée : les HelloRetryRequest passent de 52 % à 3,7 %, la latence p90 de poignée de main perd plus de 150 ms, et 99,2 % des connexions post-quantiques aboutissent en un seul aller-retour. Automatic Key Exchange est actif par défaut ; le réglage de conformité qui impose l'hybride post-quantique, lui, casse les connexions vers une origine qui ne le supporte pas.
Cloudflare prototype Cache Transcoding : encoder en Zstandard niveau 3 les réponses texte à l'entrée du cache, dans Pingora, et les garder compressées jusqu'au service. Les actifs éligibles tombent à un tiers de leur taille disque, pour quelques pour cent de CPU en plus — soit des pétaoctets de capacité de cache gagnés.
Cloudflare raconte la migration de son blog vers EmDash, un CMS pour Astro exécuté sur Workers. La partie utile n'est pas le produit mais la méthode : scénarios k6 chiffrés et seuils d'échec définis avant la bascule.
Bot Preference Sync génère le robots.txt d'un site à partir des préférences de robots IA déjà configurées chez Cloudflare, pour les catégories Search, Agent et Training. L'objectif est d'éliminer l'écart entre la préférence déclarée et la règle réellement appliquée, écart que certains crawlers utilisent comme prétexte.
Cloudflare remplace le consentement OAuth « tout ou rien » par un modèle où les développeurs distinguent portées obligatoires et optionnelles, ces dernières pouvant être refusées sans bloquer l'autorisation. L'annonce cite explicitement les serveurs MCP, qui demandent large parce qu'un agent pourrait tout utiliser.
veilletech.fr