Cloudflare Access: segurança Zero Trust que substitui sua VPN em 2026

A internet corporativa mudou. Com equipes distribuídas, aplicações migrando para a nuvem e ameaças cada vez mais sofisticadas, o perímetro de rede tradicional deixou de fazer sentido. É nesse contexto que o Cloudflare Access segurança se posiciona como peça-chave da plataforma Zero Trust da Cloudflare — uma solução que elimina a necessidade de VPNs legadas e implementa um modelo de acesso baseado em identidade, rodando sobre uma das maiores redes de edge computing do planeta. Em 2026, com a Cloudflare processando aproximadamente uma em cada cinco requisições HTTP da internet global a partir de mais de 300 cidades em mais de 100 países, o Access representa a convergência entre desempenho de CDN, segurança de nível enterprise e arquitetura SASE.

O mercado brasileiro de tecnologia enfrenta desafios particulares: regulação exigente com a LGPD, latência elevada em conexões internacionais e um ecossistema de ameaças que cresceu 340% em ataques a aplicações web nos últimos dois anos, segundo dados do Cloudflare Radar. Empresas de todos os portes — de fintechs a indústrias, de varejistas a órgãos públicos — buscam alternativas que combinem proteção robusta com experiência de usuário fluida. O Cloudflare Access entrega exatamente isso: autenticação integrada a provedores como Okta, Google Workspace e Azure AD, políticas de acesso granulares e túneis criptografados que não expõem portas à internet pública. Neste post técnico, vamos explorar a fundo como essa tecnologia funciona, por que ela representa uma mudança de paradigma em relação às VPNs tradicionais e como implementá-la no dia a dia de operações de TI.

O anúncio recente da conquista do FedRAMP Class D (High) Certified para o Cloudflare for Government — e o compromisso público de buscar a autorização DoD IL4 — reforça a maturidade da plataforma para os cenários mais críticos. Se o Access é confiável para proteger dados do Departamento de Defesa dos Estados Unidos, ele está mais do que preparado para os ambientes regulados brasileiros. Além disso, as novidades da Agents Week, como o Turnstile Spin GA e o AI Gateway unificado, mostram que a Cloudflare continua expandindo seu ecossistema de segurança enquanto mantém o Access como alicerce do portfólio Zero Trust.

Ao longo deste artigo, você vai entender a arquitetura por trás do Cloudflare Access, aprender a configurar políticas de acesso condicional, conhecer as diferenças fundamentais entre o modelo Zero Trust e as VPNs tradicionais e descobrir como reduzir a superfície de ataque da sua organização sem sacrificar a produtividade. Na JRT Technology Solutions, configuramos o Cloudflare para clientes corporativos há anos, combinando CDN, WAF e Zero Trust em implantações que vão de pequenas startups a grandes players do mercado financeiro. Nossos especialistas em infraestrutura CDN recomendam o Access como primeiro passo em qualquer jornada de modernização da segurança de acesso. Vamos aos detalhes.

O que é o Cloudflare Access e como ele redefine o acesso seguro

O Cloudflare Access é um proxy de autenticação que substitui a necessidade de VPNs tradicionais ao aplicar políticas de acesso baseadas em identidade, contexto e dispositivo diretamente na borda da rede Cloudflare. Lançado como parte da plataforma Cloudflare One — a oferta SASE (Secure Access Service Edge) da empresa —, o Access valida cada requisição antes que ela chegue ao servidor de origem, garantindo que apenas usuários autenticados e autorizados consigam alcançar aplicações internas. Diferentemente de uma VPN, que cria um túnel para toda a rede corporativa, o Access opera no modelo de privilégio mínimo: cada aplicação é protegida individualmente, e o usuário só vê aquilo que tem permissão explícita para acessar.

Do ponto de vista arquitetural, o Access funciona como um gateway de identidade na edge. Ele se integra nativamente a provedores de identidade (IdPs) como Okta, Microsoft Entra ID (Azure AD), Google Workspace, Ping Identity, OneLogin, GitHub e praticamente qualquer provedor compatível com SAML, OIDC ou OAuth2. Quando um usuário tenta acessar uma aplicação protegida pelo Access, ele é redirecionado para seu IdP corporativo, realiza a autenticação — incluindo fatores como MFA, biometria ou WebAuthn — e, se aprovado, recebe um token JWT assinado pela Cloudflare que permite o tráfego até a aplicação. Todo esse processo ocorre em milissegundos, com a latência típica da rede anycast da Cloudflare.

Uma característica que diferencia o Access de outras soluções Zero Trust é sua capacidade de operar sem expor portas de rede. Tradicionalmente, mesmo serviços protegidos por VPN dependem de portas abertas em firewalls, o que cria vetores de ataque. Com o Access, a aplicação de origem pode ficar completamente isolada da internet pública — a conexão é estabelecida por meio de um Cloudflare Tunnel (cloudflared) que cria um túnel outbound da infraestrutura privada para a rede Cloudflare. Nenhuma porta precisa ser aberta no firewall de origem, eliminando ataques de varredura, DDoS reflexivo e exploração de vulnerabilidades em serviços expostos.

O Access também suporta políticas de acesso condicional que vão muito além da simples autenticação. É possível criar regras que consideram o país de origem da requisição (geo-fencing), o endereço IP de entrada, o dispositivo utilizado (com validação via WARP client certificate), o método de autenticação empregado, o horário de acesso e até mesmo scores de risco que integram dados de outras camadas da plataforma Cloudflare, como Bot Management e Gateway. Isso significa que uma tentativa de login a partir de um IP marcado como malicioso pode ser automaticamente bloqueada antes mesmo de chegar à etapa de autenticação. Na prática, o Access se torna um enforcement point de Zero Trust distribuído em mais de 275 pontos de presença ao redor do planeta.

Cloudflare Access segurança: arquitetura Zero Trust na prática

Para compreender como o Cloudflare Access segurança é implementado na prática, é essencial visualizar o fluxo de uma requisição protegida. Tudo começa com o DNS. O domínio da aplicação — digamos, wiki.empresa.com — é resolvido para a rede anycast da Cloudflare. O tráfego chega ao PoP mais próximo do usuário, onde o Access intercepta a requisição HTTP e verifica a presença de um token JWT válido nos cookies. Se o token não existir ou estiver expirado, o usuário é redirecionado para o provedor de identidade configurado. Após autenticação bem-sucedida, o IdP emite uma assertion SAML/OIDC que a Cloudflare valida, gera o JWT e o injeta como cookie de sessão. A partir daí, todas as requisições subsequentes são autorizadas com base nas claims do JWT, sem nova interação com o IdP até a expiração da sessão.

O JWT gerado pela Cloudflare contém informações ricas sobre a sessão: identidade do usuário, grupos de pertencimento, método de autenticação, dispositivo registrado, entre outras. As políticas de acesso configuradas no dashboard do Cloudflare Access podem fazer uso de cada um desses atributos. Por exemplo, uma política pode exigir que o usuário pertença ao grupo “engenharia” no IdP, esteja autenticado via WebAuthn com biometria e use um dispositivo com certificado WARP válido. Se qualquer uma dessas condições não for satisfeita, o acesso é negado com um código HTTP 403 — e um log detalhado é gerado para auditoria posterior.

Do lado da aplicação, a proteção é transparente. O Access pode ser posicionado na frente de aplicações web tradicionais (HTTP/HTTPS), serviços TCP não-HTTP via Cloudflare Spectrum (SSH, RDP, bancos de dados) e até mesmo terminais de linha de comando protegidos por túneis. Para acesso SSH, o Access suporta short-lived certificates emitidos dinamicamente: o operador executa cloudflared access ssh, autentica-se no IdP, recebe um certificado efêmero válido por minutos e conecta-se ao servidor sem trocar chaves manualmente. Isso elimina o gerenciamento de chaves SSH estáticas e reduz drasticamente o risco de comprometimento de credenciais.

Um detalhe técnico relevante: o Access opera em conjunto com o Cloudflare Gateway — o Secure Web Gateway da plataforma — para aplicar políticas de DNS filtering e HTTP filtering ao tráfego que já passou pela autenticação. Isso significa que, mesmo após logado, o usuário pode ter seu tráfego inspecionado em busca de ameaças, domínios maliciosos ou vazamento de dados. O Gateway oferece categorização de domínios (mais de 100 categorias, de malware a jogos online), inspeção TLS e integração com feeds de threat intelligence. A sinergia entre Access e Gateway materializa o conceito de Secure Access Service Edge em que a segurança não é perimetral, mas distribuída e contínua.

Por que o modelo de identidade supera a VPN tradicional

A VPN corporativa foi projetada para um mundo que não existe mais. Seu princípio fundamental — conectar um dispositivo remoto à rede interna da empresa como se ele estivesse localmente conectado — cria uma superfície de ataque enorme. Uma vez dentro do túnel, o dispositivo tem acesso potencial a toda a rede, inclusive a sistemas que não deveria alcançar. Se esse dispositivo estiver comprometido, o atacante ganha livre movimentação lateral. O Cloudflare Access inverte essa lógica: em vez de extender a rede até o usuário, leva o usuário até a aplicação específica que ele precisa, com verificação de identidade a cada requisição.

As diferenças vão além da segurança e alcançam a experiência do usuário. VPNs tradicionais exigem clientes pesados, configurações manuais de túnel, frequentes queda de conexão e complexidade na gestão de perfis. O Access, por sua vez, pode ser consumido de forma transparente: o usuário acessa a URL da aplicação no navegador, faz login com suas credenciais corporativas — muitas vezes usando SSO e MFA que já conhece — e está produtivo. Para tráfego não-HTTP, o WARP client (disponível para Windows, macOS, Linux, iOS e Android) cria um túnel criptografado que roteia automaticamente o tráfego destinado às aplicações protegidas sem exigir que o usuário saiba detalhes de rede.

Do ponto de vista da operação de TI, a economia de esforço é substancial. A administração de uma VPN tradicional envolve gerenciar concentradores, balancear carga, lidar com patches de segurança, renovar certificados e solucionar problemas de conectividade que frequentemente geram chamados repetitivos. Com o Access, a infraestrutura de conectividade é inteiramente gerenciada pela Cloudflare, que opera o backbone global e os pontos de presença. A equipe de TI concentra-se em definir políticas de acesso — uma atividade de governança, não de infraestrutura. Na JRT Technology Solutions, quando migramos clientes de soluções legadas como Juniper SA e Pulse Secure para o Cloudflare Access, observamos redução média de 70% nos chamados de suporte relacionados a conectividade remota já no primeiro trimestre de operação.

A questão da latência também pesa a favor do modelo Zero Trust na edge. VPNs tradicionais frequentemente concentram o tráfego em poucos data centers, criando o efeito “hairpinning” — o tráfego do usuário vai até o concentrador e só então segue para a aplicação, muitas vezes em outra geografia. O Access, ancorado na rede anycast da Cloudflare com presença maciça na América Latina (São Paulo, Rio de Janeiro, Buenos Aires, Bogotá, Santiago, Cidade do México e outros PoPs regionais), valida a requisição no PoP mais próximo do usuário e a encaminha diretamente ao servidor de origem — que pode estar on-premises, em cloud pública ou em múltiplas clouds. O resultado é uma experiência de acesso que rivaliza com a de usuários locais.

Cloudflare Access segurança em números: desempenho e cobertura global

Para dimensionar o que significa executar políticas de Cloudflare Access segurança sobre a infraestrutura da Cloudflare, alguns números são essenciais. A rede da Cloudflare abrange mais de 300 pontos de presença em mais de 100 países, com capacidade de absorver ataques DDoS de mais de 2 Tbps — o maior já mitigado pela plataforma, registrado em 2024. Essa mesma rede que protege alguns dos maiores sites do mundo é a mesma que processa as requisições de autenticação do Access. A latência adicional introduzida pela validação de identidade é tipicamente inferior a 10 milissegundos em relação ao tráfego não autenticado, graças à execução na borda e à integração otimizada com provedores de identidade.

A tabela a seguir sintetiza as principais métricas e capacidades do Cloudflare Access no contexto da plataforma Cloudflare One:

Outro número que merece destaque: a Cloudflare reporta que mais de 20% de todas as requisições HTTP da internet global passam por sua rede. Esse volume gera uma inteligência de ameaças alimentada por machine learning — o BotBase e o sistema Precursor, anunciados durante a Agents Week, avaliam comportamentos e padrões de tráfego em tempo real. Embora sejam primariamente voltados ao Bot Management, esses sinais enriquecem o ecossistema de segurança que protege as sessões do Access, permitindo, por exemplo, detectar tentativas de acesso automatizado a aplicações protegidas mesmo quando as credenciais são válidas.

Como configurar o Cloudflare Access: passo a passo no dashboard

Implementar o Cloudflare Access segurança segue um processo metódico que pode ser concluído em horas, não em semanas. O primeiro passo é adicionar o domínio da aplicação à Cloudflare e configurar o registro DNS — tipicamente um CNAME apontando para a zona protegida. Em seguida, é necessário estabelecer a conectividade segura entre a infraestrutura de origem e a rede Cloudflare. Para isso, utiliza-se o Cloudflare Tunnel (cloudflared), que pode ser instalado como serviço em Linux, Windows ou até mesmo como container Docker — uma flexibilidade que se tornou ainda maior com o recente lançamento da imagem oficial cloudflare/mesh no Docker Hub, que permite executar nós Mesh em ambientes containerizados sem instalação de pacotes no host.

Com o túnel ativo, o próximo passo é a configuração da aplicação no Access. No dashboard Cloudflare Zero Trust (one.dash.cloudflare.com), navega-se até Access > Applications e seleciona-se “Add an application”. O tipo pode ser Self-hosted para aplicações corporativas internas, SaaS para proteger o acesso a aplicações de terceiros via SAML, ou Bookmark para criar atalhos no portal de aplicações. Para uma aplicação self-hosted, define-se o domínio, o tipo de proteção (HTTP/HTTPS) e as políticas de identidade.

Na seção de políticas, a interface do Access permite criar regras granulares usando um construtor visual de condições. Uma regra típica pode ser: Allow se Identity Provider Group == "engenharia" AND Country == "Brasil" AND Authentication Method == "webauthn". O Access suporta até 100 políticas por aplicação, e a ordem de avaliação é configurável — a primeira política que der match é aplicada. Também é possível configurar períodos de sessão, definindo por quanto tempo o JWT é válido antes de exigir reautenticação, e políticas de bypass para caminhos específicos que não devem ser protegidos (ex.: endpoints de health check).

Depois de configurada a aplicação, o passo final é integrar o provedor de identidade. O Access oferece integrações pré-construídas para os principais IdPs, com assistentes que guiam a configuração em poucos minutos. Para Okta, Azure AD e Google Workspace, basta fornecer as URLs de login, entity ID e certificados de assinatura. Para provedores genéricos SAML ou OIDC, a interface da Cloudflare gera automaticamente as URLs de callback e os metadados necessários. Uma vez validada a integração, o Access está pronto para proteger a aplicação — todo o tráfego passa a exigir autenticação antes de alcançar o servidor de origem, que permanece oculto atrás do túnel.

Para ambientes que exigem auditoria, os logs do Access podem ser enviados em tempo real para Cloudflare R2, Amazon S3, Splunk, Datadog ou Google BigQuery. Cada evento de autenticação — sucesso, falha, bloqueio por política — é registrado com timestamp, identidade, IP de origem, geolocalização, aplicação acessada e detalhes da política aplicada. Na JRT Technology Solutions, frequentemente configuramos pipelines de logs que alimentam dashboards de segurança operacional em tempo real, permitindo que times de SOC identifiquem padrões anômalos de acesso em minutos.

Cloudflare Access segurança e conformidade: LGPD, FedRAMP e regulações brasileiras

A adequação à Lei Geral de Proteção de Dados (LGPD) é uma preocupação central para empresas que operam no Brasil. O Cloudflare Access segurança contribui para a conformidade em múltiplas frentes. Em primeiro lugar, ao eliminar a necessidade de VPNs que expõem portas e armazenam logs de conexão em servidores potencialmente vulneráveis, o Access reduz a superfície de risco para dados pessoais de colaboradores e clientes. Em segundo lugar, a arquitetura Zero Trust garante que dados de autenticação trafeguem sempre criptografados (TLS 1.3 com HTTP/3 e QUIC nativos na rede Cloudflare) e que o processamento de identidade ocorra no PoP mais próximo do usuário, reduzindo a exposição a jurisdições não desejadas.

O fato de a Cloudflare ter recentemente obtido a certificação FedRAMP Class D (High) — o nível mais elevado do programa de autorização de nuvem do governo dos Estados Unidos — demonstra que a plataforma passa por auditorias rigorosas de segurança física, lógica e processual. Embora o FedRAMP seja uma certificação estadunidense, seus requisitos alinham-se com padrões internacionais como ISO 27001, SOC 2 Type II e PCI DSS — todos presentes no portfólio de conformidade da Cloudflare. Para empresas brasileiras que lidam com dados sensíveis ou que são auditadas por compliance (setores financeiro, saúde, telecomunicações), essa maturidade é um diferencial significativo na avaliação de fornecedores de segurança.

O Access também oferece controles específicos que facilitam a implementação de políticas de governança de dados. As políticas de acesso condicional baseadas em geografia permitem, por exemplo, restringir o acesso a dados de clientes brasileiros exclusivamente a usuários localizados em território nacional — uma exigência comum em contratos de processamento de dados que buscam prevenir transferências internacionais não autorizadas. A combinação com o Cloudflare Gateway possibilita ainda a inspeção de tráfego e a prevenção de vazamento de dados (DLP) em nível de HTTP e DNS, bloqueando tentativas de upload não autorizado para serviços de armazenamento externos.

Outro ponto relevante é a gestão de acessos privilegiados. O suporte do Access a certificados SSH de curta duração elimina a prática arriscada de chaves SSH permanentes compartilhadas entre administradores. Cada acesso de infraestrutura gera um certificado efêmero, rastreável à identidade do administrador no IdP corporativo, garantindo auditoria completa e impossibilitando o uso de credenciais roubadas após a expiração — tipicamente configurada entre 5 e 30 minutos. Esse padrão, quando implementado corretamente, atende aos requisitos de controle de acesso da LGPD e de frameworks como o CIS Controls.

Impacto para o mercado brasileiro: latência, infraestrutura e realidade local

O Brasil tem uma geografia de internet única. Com mais de 180 milhões de usuários conectados, o país concentra grande parte do tráfego latino-americano, mas historicamente sofre com dependência de links internacionais para conteúdo hospedado nos Estados Unidos e Europa. A presença da Cloudflare com múltiplos PoPs em território brasileiro — incluindo São Paulo, Rio de Janeiro e expansão contínua com interconexões via Cloudflare Network Interconnect — significa que as validações de Cloudflare Access segurança frequentemente ocorrem dentro do próprio país, com latências inferiores a 10ms para usuários em regiões metropolitanas. Isso transforma a experiência de acesso remoto, especialmente para aplicações hospedadas em data centers brasileiros ou em clouds públicas com regiões em São Paulo (AWS, Azure, Google Cloud).

Empresas brasileiras de setores como fintechs, saúde e educação têm adotado o Access como parte de estratégias de modernização de infraestrutura. Um caso comum que encontramos na JRT Technology Solutions é o de empresas que mantêm servidores legados on-premises — ERPs, CRMs e sistemas de folha de pagamento — que originalmente eram acessíveis apenas via VPN. Com o Cloudflare Tunnel, essas aplicações são expostas de forma segura sem abertura de portas no firewall corporativo, e o acesso passa a ser controlado pelo Access com integração ao IdP já utilizado pela empresa (frequentemente Google Workspace ou Microsoft 365).

A realidade de conexão brasileira também envolve um grande volume de acesso móvel e de ISPs