Cloudflare Access lançamento: FIDO2 chega ao SSH Zero Trust
O Cloudflare Access lançamento que acaba de ser disponibilizado no changelog oficial da Cloudflare marca um avanço relevante para equipes de infraestrutura e segurança que operam ambientes híbridos e multicloud. Estamos falando da autenticação multifator independente com suporte a FIDO2 para aplicações de infraestrutura, incluindo SSH e PIV (Personal Identity Verification). Para quem administra servidores Linux, roteadores, switches ou qualquer recurso que exija acesso remoto seguro, a novidade elimina de vez a dependência de chaves SSH estáticas e de VPNs legadas, trazendo o modelo Zero Trust para a camada de infraestrutura de forma nativa, sem sacrificar a experiência do desenvolvedor.
O anúncio chega em um momento em que a Cloudflare consolida sua rede global como uma das principais plataformas de CDN, edge computing e SASE do planeta. São mais de 300 cidades em mais de 100 países, com presença em 1 de cada 5 requisições HTTP da internet. Para empresas brasileiras que lidam com latência, conformidade à LGPD e a necessidade de proteger cargas de trabalho cada vez mais distribuídas, o Cloudflare Access lançamento representa um passo concreto na direção da substituição do perímetro físico por controles baseados em identidade, dispositivo e contexto.
Historicamente, o Cloudflare Access nasceu como parte da suíte Cloudflare One — a aposta da empresa em Zero Trust Network Access (ZTNA) — e já permitia que aplicações web internas fossem publicadas sem exposição direta à internet, com autenticação integrada a provedores como Okta, Google Workspace e Azure AD. O que muda agora é a extensão desse modelo para o acesso a servidores e infraestrutura via protocolos de terminal, algo que até então dependia de soluções complementares, jump servers ou bastions tradicionais. O leitor deste artigo vai entender exatamente o que foi lançado, como funciona a autenticação FIDO2 para SSH e PIV, por que isso importa para a maturidade Zero Trust da sua organização e como configurar o recurso no painel da Cloudflare em poucos minutos.
Além disso, o texto contextualiza o movimento dentro do ecossistema competitivo de CDN e SASE — comparando brevemente o posicionamento da Cloudflare com players como Akamai, Fastly e AWS CloudFront — e analisa o impacto específico para o mercado brasileiro, incluindo latência, residência de dados e conformidade regulatória. Ao final, apresentamos uma recomendação prática para você avaliar a adoção no seu ambiente, com atenção especial ao trabalho que a JRT Technology Solutions realiza na implementação e gerenciamento de Cloudflare para clientes corporativos.
O anúncio: Cloudflare Access lançamento e o FIDO2 para infraestrutura
O changelog da Cloudflare, publicado recentemente na categoria Cloudflare One, Access, confirma que infrastructure applications agora suportam autenticação multifator independente com chaves FIDO2. Na prática, a atualização permite que administradores configurem, no nível da aplicação e no nível de política, os tipos ssh_fido2_key, piv_key ou ambos. Isso significa que, ao acessar um servidor via SSH através do Cloudflare Access, o usuário pode ser desafiado a apresentar uma chave FIDO2 física ou embarcada como segundo fator — sem depender exclusivamente de TOTP, push notifications ou senhas temporárias.
O recurso se encaixa em uma tendência maior de segurança cibernética. O Cloudflare DDoS Threat Report H1 2026 revelou um aumento de 519% nos ataques hipervolumétricos, impulsionados por vetores de reflexão DNS e CLDAP, além de tensões geopolíticas. Nesse ambiente hostil, credenciais estáticas e chaves SSH sem rotação continuam sendo um dos vetores de comprometimento mais explorados. O Cloudflare Access lançamento ataca justamente essa lacuna: transforma o acesso a infraestrutura em uma operação baseada em identidade verificada, com suporte a autenticadores fortes e resistentes a phishing.
Outro ponto importante é que a novidade não exige mudança na forma como os times de operação já trabalham com SSH. O usuário final pode continuar utilizando seu cliente SSH preferido. O que muda é que, antes de estabelecer a conexão, o Cloudflare Access intermedia a autenticação, valida a política de acesso, verifica o dispositivo e, agora, pode exigir a chave FIDO2 cadastrada. Isso amplia consideravelmente o nível de garantia de identidade (IAL/AAL) sem introduzir atrito excessivo no fluxo de trabalho diário.
Para organizações que já usam Cloudflare Access para aplicações web, a adição do suporte FIDO2 para infraestrutura representa uma evolução natural do portfólio Zero Trust. Diferentemente de soluções de bastion tradicionais, que concentram risco e exigem manutenção pesada, o modelo da Cloudflare usa a borda da rede como ponto de decisão, aplicando políticas de forma distribuída e escalável. O Cloudflare Access lançamento também reforça o compromisso da empresa com padrões abertos, já que o FIDO2 é um protocolo da FIDO Alliance amplamente adotado por dispositivos como YubiKey, Google Titan e autenticadores embarcados em plataformas corporativas.
O que é Cloudflare Access e como ele substitui VPN
O Cloudflare Access é a solução de Zero Trust Network Access (ZTNA) da Cloudflare, projetada para substituir o acesso VPN tradicional por um modelo de autenticação contínua e autorização por sessão. Em vez de conceder acesso amplo à rede corporativa, o Access valida cada requisição de forma individual, aplicando regras de identidade, dispositivo, geolocalização e risco. Isso reduz drasticamente a superfície de ataque, porque aplicações e infraestrutura não ficam expostas à internet pública — elas são publicadas por meio de túneis reversos autenticados pela Cloudflare.
A arquitetura é baseada no Cloudflare Tunnel (antigo Argo Tunnel), um agente leve que cria conexões de saída para a rede da Cloudflare, eliminando a necessidade de abrir portas de entrada no firewall. O tráfego chega à borda da Cloudflare, passa por inspeção de identidade e política e, somente então, é roteado para a origem privada. Com o Cloudflare Access lançamento, esse mesmo mecanismo passa a suportar protocolos de infraestrutura como SSH, permitindo que equipes de DevOps acessem servidores sem expor a porta 22 à internet.
Comparado a uma VPN convencional, o Access oferece vantagens claras: nenhuma exposição de porta pública, políticas granulares por aplicação ou por servidor, integração nativa com provedores de identidade e registro completo de auditoria. Em vez de um túnel único para toda a rede, o Access cria microperímetros dinâmicos, o que é fundamental para ambientes híbridos, multicloud e com força de trabalho distribuída. A adição do suporte FIDO2 para SSH e PIV eleva ainda mais a segurança, porque remove a dependência de senhas e chaves privadas que podem ser roubadas, compartilhadas ou perdidas.
Do ponto de vista operacional, o Cloudflare Access se beneficia da infraestrutura global da empresa. A autenticação ocorre no data center da Cloudflare mais próximo do usuário, o que reduz a latência percebida e melhora a experiência. Para empresas brasileiras, a presença de pontos de presença (PoPs) em São Paulo, Rio de Janeiro e outras localidades da América Latina significa que a validação de identidade acontece localmente, sem depender de autenticação transatlântica. Esse é um argumento forte para substituir VPNs concentradoras que exigem backhaul para um único ponto de terminação, muitas vezes instalado em outro país.
O Cloudflare Access lançamento também preenche uma lacuna importante para organizações que já haviam adotado o Access para aplicações web, mas ainda mantinham soluções legadas para acesso a servidores. Com a unificação, a mesma política de Zero Trust pode ser aplicada a aplicativos HTTP, terminais SSH e infraestrutura legada, reduzindo a complexidade operacional e o número de consoles de gerenciamento. Na JRT Technology Solutions, configuramos o Cloudflare para clientes corporativos justamente com esse objetivo: consolidar segurança e rede em uma única plataforma, sem multiplicar fornecedores.
Detalhes técnicos do Cloudflare Access lançamento
O recurso anunciado está disponível na interface do Cloudflare Dashboard, dentro da seção Zero Trust > Access > Infrastructure Applications. Ao criar ou editar uma aplicação de infraestrutura, o administrador encontra as novas opções de MFA independente. É possível definir o tipo de chave aceito: ssh_fido2_key, piv_key ou ambos. Essa granularidade permite segmentar o acesso conforme o perfil da equipe ou o nível de sensibilidade do recurso protegido.
A tabela a seguir resume os principais aspectos do Cloudflare Access lançamento:
O suporte a FIDO2 para infraestrutura se diferencia do fluxo de WebAuthn tradicional baseado em browser. Enquanto as chaves WebAuthn são usadas para autenticação em aplicações web, as chaves FIDO2 para SSH e PIV são gerenciadas pelo App Launcher da Cloudflare e vinculadas a uma identidade SSH gerada especificamente para essa finalidade. Essa separação é proposital: impede que uma chave FIDO2 usada para login web seja reutilizada indevidamente em contexto de infraestrutura, e vice-versa.
Do ponto de vista de política, o Cloudflare Access lançamento suporta configuração em dois níveis: application-level MFA settings e policy-level MFA settings. Isso significa que o administrador pode definir um requisito global de MFA para toda a aplicação de infraestrutura e, ao mesmo tempo, refinar regras por política específica — por exemplo, exigir ssh_fido2_key para acesso a servidores de produção, mas permitir apenas piv_key para ambientes de desenvolvimento. A flexibilidade é essencial para empresas com diferentes tiers de criticidade.
Outro detalhe técnico relevante é que a inscrição das chaves FIDO2 é feita através do App Launcher, a interface de usuário que centraliza os recursos protegidos pelo Access. Após a inscrição, o usuário final recebe uma identidade SSH específica que deve ser usada em conjunto com a chave FIDO2. O processo de conexão SSH, então, passa a ser mediado pelo Cloudflare Tunnel, que autentica a sessão antes de encaminhar o tráfego para o servidor de destino. Esse fluxo reduz o risco de movimentação lateral e de exposição de credenciais em logs ou terminais comprometidos.
Como funciona o Cloudflare Access lançamento para SSH e PIV
A implementação do Cloudflare Access lançamento para SSH e PIV segue o princípio de Zero Trust: nunca confie, sempre verifique. Quando um usuário tenta estabelecer uma conexão SSH, o cliente é interceptado pelo Cloudflare Tunnel
Sua empresa ainda não usa Cloudflare de forma estratégica?
A JRT Technology Solutions implementa Cloudflare CDN, WAF, Zero Trust e Workers para empresas que precisam de performance, segurança e escalabilidade.
