תיעוד 12
פורמטים של אסימונים
מפתחות API ואסימוני API של Cloudflare משתמשים בפורמט עם קידומת שניתן לסריקה, שמאפשר לכלי סריקת אישורים לזהות אותם. לכל סוג אישור בטבלה הבאה יש קידומת ייחודית, ואחריה 40 תווים וסכום ביקורת.
| סוג האישור | תיאור | פורמט |
|---|---|---|
| Global API Key | מפתח גלובלי המשויך לחשבון המשתמש שלך (גישה מלאה) | cfk_[40 characters][checksum] |
| User API Token | אסימון בהיקף מוגבל שאתה יוצר להרשאות מסוימות | cfut_[40 characters][checksum] |
| Account API Token | אסימון בבעלות החשבון, שאינו משויך למשתמש מסוים | cfat_[40 characters][checksum] |
אסימונים קיימים ממשיכים לעבוד. כל אסימון חדש שאתה יוצר או מגלגל משתמש בפורמט שניתן לסריקה באופן אוטומטי.
#זיהוי אסימון שדלף
הפורמט עם הקידומת וסכום הביקורת מאפשרים לכלי סריקת אישורים לזהות אסימוני Cloudflare שדלפו ברמת ביטחון גבוהה. Cloudflare משתפת פעולה עם ספקי סריקת אישורים כדי לאתר באופן יזום את האסימונים שלך שדלפו ולבטל אותם לפני שניתן יהיה להשתמש בהם בזדון.
#GitHub Secret Scanning
Cloudflare משתתפת בתוכנית Secret Scanning של GitHub ↗︎. GitHub סורק כל commit לאיתור אישורי API של Cloudflare גם במאגרים ציבוריים וגם במאגרים פרטיים.
- מאגרים ציבוריים: כאשר GitHub מזהה אסימון Cloudflare שדלף, הוא מאמת את האסימון באמצעות סכום הביקורת ושולח ל-Cloudflare webhook. Cloudflare מבטלת את האסימון באופן אוטומטי ומודיעה לך באימייל כדי שתוכל ליצור תחליף.
- מאגרים פרטיים: GitHub מודיע לך על כל אסימוני Cloudflare שדלפו כדי שתוכל לסובב אותם.
#פורמטים שלפני 2026
אסימונים שנוצרו לפני שהוצג הפורמט שניתן לסריקה משתמשים במחרוזות בלי קידומת. אסימונים אלה ממשיכים לעבוד. Cloudflare סורקת ומבטלת אסימונים שדלפו גם בפורמט הישן וגם בפורמט החדש.
| סוג האישור | פורמט ישן |
|---|---|
| Global API Key | מחרוזת הקסדצימלית באותיות קטנות באורך 37-45 תווים |
| User API Token | מחרוזת אלפאנומרית באורך 40 תווים |
| Account API Token | מחרוזת אלפאנומרית באורך 40 תווים |
#אסימוני גישה של OAuth ב-Wrangler
כאשר אתה מאמת באמצעות wrangler login, Wrangler מקבל אסימון גישה של OAuth למשתמש שמתחיל ב-cfoat_. הרץ את wrangler auth token כדי לאחזר את האסימון הנוכחי לשימוש עם כלי או סקריפט אחר. הפקודה מרעננת את האסימון באופן אוטומטי אם פג תוקפו.
התייחס לערך המוחזר כסוד. אל תבצע לו commit לבקרת המקור ואל תשתף אותו.
#אימות אסימון
כדי לבדוק שאסימון API של משתמש תקף, שלח אותו לנקודת הקצה Verify Token:
curl "https://api.cloudflare.com/client/v4/user/tokens/verify" \
--request GET \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"אם האסימון תקף, התגובה כוללת את id של האסימון ו-status עם הערך active.