Cloudflare OAuth'u tüm geliştiricilere açtı

Self-managed OAuth artık Cloudflare'deki her geliştiricinin kullanımına açık; şirket bunu 24 Haziran'da yayımladığı bir yazıyla duyurdu. Özellik, müşterilerin Cloudflare API'sine devredilmiş erişim için kendi OAuth istemcilerini oluşturup yönetmesine izin veriyor; artık elle eklenen az sayıda entegrasyona bağlı kalmak gerekmiyor.

API token'larından devredilmiş erişime

OAuth Cloudflare için yeni değil: geliştirici komut satırı aracı Wrangler ve PlanetScale gibi iş ortağı entegrasyonları onu yıllardır kullanıyor. Ancak üçüncü taraf OAuth elle eklenen ortaklarla sınırlıydı, bu yüzden kendi entegrasyonlarını yazan geliştiriciler API token'larına mahkûmdu; şirkete göre bunları yönetmek daha zor ve devredilmiş akışlara pek uygun değiller.

Self-managed OAuth ile bir uygulama, müşterinin doğrudan kapsamlı erişim verdiği standart bir akış yürütüyor. Cloudflare'e göre bu, SaaS entegrasyonlarını, şirket içi geliştirici platformlarını ve ajan tabanlı araçları kurmayı kolaylaştırıyor; kullanıcılara da daha anlaşılır rıza ve daha kolay iptal sağlıyor. Şirket bu yıl rıza ekranını hangi uygulamanın erişim istediğini ve hangi izinleri alacağını gösterecek şekilde güncelledi, panele iptal denetimi ekledi ve OAuth kimlik avını önlemek için uygulama sahipliğini daha görünür yaptı.

Arkasındaki motorun yükseltilmesi

OAuth'u herkese açmak, arkasındaki motorun — Cloudflare'in yıllar önce kurduğu açık kaynak OAuth sunucusu Hydra'nın — büyük bir yükseltmesini gerektirdi. Ekip tek büyük sıçrama yerine iki ardışık yükseltme planladı: önce son 1.X sürümüne, sonra 2.X'e. Küçük adımın bile şema göçleri sırasında kritik tabloları kilitleyeceği ortaya çıktı.

2.X yükseltmesi için yerinde göç seçeneği elendi ve Cloudflare mavi-yeşil yaklaşımı seçti: göçler üretim veritabanının bir kopyası üzerinde çalıştı, kesinti olmaması için yazma açık tutuldu. Yeni yazmaları azaltmak için token ömrü birkaç saate çıkarıldı ve her iptal, Cloudflare Queues üzerine kurulu bir kuyruğa kaydedildi; böylece geçiş sonrası yeniden oynatılabildi — bu, kullanıcıların iptal ettiği erişimin yanlışlıkla geri gelmesine karşı bir güvenceydi. Üretimdeki göç, düşük trafikli bir pencerede yaklaşık üç saat sürdü.

Geçiş tamamen sorunsuz olmadı. 1.X adımından sonra yenileme token'ı hataları arttı; yeni sürüm, bir yenileme token'ı yeniden kullanıldığında tüm token zincirini geçersiz kılıyordu ve bu, Wrangler ile MCP araçları gibi yüksek hacimli istemcileri vurdu; Cloudflare, OAuth trafiğini yönlendiren Worker'a yenileme token'ı birleştirme davranışı ekledi. 2.X geçişinden sonra yetkilendirme hizmetindeki bir temizlik işi geçerli politika verilerini silmeye başladı; bunun kaynağı bazı geçerli oturumları geçersiz olarak işaretleyen bir göçtü. Şirket verileri geri yükledi.

Sonuçlar

Cloudflare'e göre yükseltmeden bu yana OAuth trafiği istikrarlı ve üretim artık yeni OAuth API'lerinin hazırlık ortamında doğrulandığı temel üzerinde çalışıyor. Göç 132,5 milyon satırı güncelledi ve 114,7 milyon satır ekledi; Hydra'nın ortalama API P95 gecikmesi yüzde 45 azalarak 185 ms'den 101 ms'ye indi. Artık her Cloudflare müşterisi panelden kendi OAuth uygulamasını oluşturabiliyor.