← Cloudflare One / cloudflare-one / access-controls / service-credentials

Service tokens

Автоматизированным системам можно выдать токены службы для аутентификации в политиках Cloudflare One. Cloudflare Access генерирует токены службы, состоящие из Client ID и Client Secret. Автоматизированные системы или приложения затем используют эти значения, чтобы получить доступ к приложению, защищенному Access.

В этом разделе описано, как создавать, ротировать, обновлять, отключать и отзывать токен сервиса.

Теперь вы можете настроить приложения Access и разрешения на регистрацию устройств чтобы принять этот токен службы. Обязательно установите для политики действие Service Auth; в противном случае Access предложит выполнить вход через поставщика идентификации.

По состоянию на 26 августа 2026 года новые Client Secret для токенов службы используют формат cfast_[40 alphanumeric characters][8-character checksum]. Префикс и контрольная сумма упрощают распознавание секретов для инструментов сканирования учётных данных.

Существующие Client Secret используют 64-символьный шестнадцатеричный формат. Такие секреты продолжают работать и не требуют ротации. Оба формата используют один и тот же Client ID и одинаковые заголовки аутентификации.

Чтобы пройти аутентификацию в приложении Access с помощью токена службы, добавьте следующее в заголовки любого HTTP-запроса:

CF-Access-Client-Id: <CLIENT_ID>

CF-Access-Client-Secret: <CLIENT_SECRET>

Например,

curl -H "CF-Access-Client-Id: <CLIENT_ID>" -H "CF-Access-Client-Secret: <CLIENT_SECRET>" https://app.example.com

Вы можете настроить локально размещённое приложение Access для приёма токена службы в одном HTTP-заголовке в качестве альтернативы CF-Access-Client-Id и CF-Access-Client-Secret пары заголовков. Это полезно для аутентификации SaaS-сервисов, которые поддерживают отправку только одного пользовательского заголовка в запросе (например, Authorization заголовок).

Чтобы пройти аутентификацию с помощью одного заголовка:

1. Получите текущую конфигурацию приложения Access:

   Необходимые разрешения API-токена

   Хотя бы одно из следующих права доступа токена требуется:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read
   Получение приложения Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. Сделайте PUT запрос с именем заголовка, который вы хотите использовать для аутентификации с помощью токена службы. Чтобы избежать перезаписи существующей конфигурации, PUT тело запроса должно содержать все поля, возвращенные предыдущим GET запрос.

   Необходимые разрешения API-токена

   Хотя бы одно из следующих права доступа токена требуется:

   • Access: Apps and Policies Write
   Обновление приложения Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"domain": "app.example.com",
   		"type": "self_hosted",
   		"read_service_tokens_from_header": "Authorization"
   	}'

3. Добавьте заголовок к любому HTTP-запросу. Например,

   curl -H "Authorization: {\"cf-access-client-id\": \"<CLIENT_ID>\", \"cf-access-client-secret\": \"<CLIENT_SECRET>\"}" https://app.example.com

Ротируйте секрет токена службы при подозрении на его раскрытие или в рамках плановой ротации учётных данных. Client ID остаётся прежним, а Access создаёт новый Client Secret.

Можно задать льготный период, в течение которого действуют оба секрета. Используйте это время, чтобы обновить свои сервисы до того, как Access отзовёт предыдущий секрет.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID/rotate" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"previous_client_secret_expires_at": "2030-01-01T00:00:00Z"
	}'

Срок действия токенов службы истекает в соответствии с продолжительностью токена, которую вы выбрали при его создании.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID/refresh" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"duration": "17520h"
	}'

resource "cloudflare_zero_trust_access_service_token" "example_service_token" {
	account_id = var.cloudflare_account_id
	name       = "Example service token"
	duration   = "17520h"

	lifecycle {
		create_before_destroy = true
	}
}

Отключите токен службы, чтобы временно запретить ему аутентифицироваться. Access сохраняет токен, чтобы вы могли снова включить его позже.

Turning off a token also stops its previous secret from working during an active rotation grace period.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request PUT \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<TOKEN_NAME>",
		"enabled": false
	}'

Если вам нужно отозвать доступ до истечения срока действия токена, удалите токен. Сервисы, которые полагаются на удалённый токен службы, больше не смогут обращаться к вашему приложению.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/service_tokens/$SERVICE_TOKEN_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

terraform destroy -target=cloudflare_zero_trust_access_service_token.example_service_token

Можно настроить оповещение, которое уведомит администратора за неделю до истечения срока действия сервисного токена, чтобы он успел обновить токен.

Чтобы настроить оповещение об истечении срока действия токена службы:

1. В Панель управления Cloudflare ↗, перейдите в Уведомления страницу. Перейдите в Уведомления ↗
2. Выберите Add.
3. Выберите Истекающий Access Service Token.
4. Введите имя оповещения и, при необходимости, описание.
5. (Необязательно) Добавьте других получателей письма с уведомлением.
6. Выберите Save.

Оповещение настроено и теперь отображается на Уведомления страницу.