Cloudflare One infraestrutura: a rede global que redefine CDN e SASE

A Cloudflare Cloudflare One infraestrutura consolidou-se em 2026 como um dos pilares mais estratégicos para empresas que precisam combinar CDN, segurança Zero Trust e conectividade global em uma única plataforma. A Cloudflare opera uma rede com mais de 300 cidades em mais de 100 países, e hoje aproximadamente 1 em cada 5 requisições HTTP da internet passa pelo AS13335, um dos maiores autonomous systems do mundo. Esse alcance não é apenas um número de marketing: ele significa que a infraestrutura Cloudflare One está fisicamente próxima dos usuários finais, reduzindo latência, mitigando ataques DDoS na borda e entregando políticas de segurança antes mesmo de o tráfego chegar à origem.

O mercado de CDN e edge computing em 2026 vive uma transformação acelerada. A adoção de arquiteturas SASE (Secure Access Service Edge) cresceu de forma consistente, impulsionada pelo trabalho híbrido, pela migração de cargas críticas para a nuvem e pela necessidade de substituir VPNs legadas por modelos de acesso baseados em identidade. Nesse cenário, o Cloudflare One emerge como uma resposta integrada: Access, Gateway, WARP, CASB e Network Interconnect funcionam sobre a mesma malha anycast que acelera sites e APIs. Para profissionais de infraestrutura, entender essa convergência deixou de ser diferencial — virou requisito.

Nas últimas semanas, a Cloudflare publicou uma série de atualizações que reforçam a maturidade da plataforma. Houve lançamentos de hotfixes para os clientes Cloudflare One em macOS, Windows e Linux, corrigindo falhas de resolução DNS em uma pequena porcentagem de consultas. Também foram anunciadas manutenções programadas em datacenters como DUB (Dublin), EWR (Newark) e AMS (Amsterdam), além de otimizações profundas no cache DNS do 1.1.1.1 que liberaram cerca de 100 TB de memória na frota global. Para o leitor técnico, cada um desses itens revela como a Cloudflare opera e evolui uma infraestrutura distribuída em escala planetária.

Este artigo destrincha o estado atual da Cloudflare Cloudflare One infraestrutura, passando pelas novidades recentes, pela arquitetura SASE subjacente, pelo comparativo com Akamai, AWS CloudFront e Fastly, e pelo impacto prático para empresas brasileiras. Você vai entender por que a malha anycast da Cloudflare é diferente de uma CDN tradicional, como as atualizações de clientes afetam a operação de TI e quais passos seguir para configurar o Cloudflare One em sua organização. Também vamos abordar aspectos de latência no Brasil, LGPD e soberania de dados, e como a JRT Technology Solutions tem implementado e gerenciado Cloudflare para clientes corporativos — de CDN e WAF a Zero Trust e Workers.

Cloudflare One infraestrutura: o que mudou nas últimas semanas

O ciclo de atualizações mais recente da Cloudflare trouxe correções importantes para quem opera o Cloudflare One Client em ambientes corporativos. As versões 2026.7.1376.0 para macOS e Windows, e 2026.7.1377.0 para Linux, foram disponibilizadas como releases GA no canal estável. O destaque técnico é a correção de um problema em que uma porcentagem pequena, porém perceptível, de consultas DNS falhava em todas as plataformas. Em cenários de Zero Trust, falhas intermitentes de DNS não são apenas um inconveniente: elas podem interromper o tunneling WARP, quebrar políticas do Gateway e gerar tickets de suporte em cascata. A correção unificada demonstra como a Cloudflare trata o cliente como parte crítica da infraestrutura, não como um mero aplicativo de endpoint.

A versão Windows também resolveu um bug raro, porém crítico, em que o cliente podia falhar ao conectar ou trocar de organização devido a um registro inválido após alternar entre versões instaladas. Esse tipo de falha é especialmente relevante em ambientes onde os endpoints migram entre tenants Cloudflare — por exemplo, durante fusões, aquisições ou testes de disaster recovery. Para administradores de TI, a lição operacional é clara: manter os clientes Cloudflare One atualizados não é opcional, é parte do baseline de segurança e disponibilidade.

No campo da segurança de bots, a Cloudflare lançou o BotBase for Operators, um diretório que dá aos operadores de bots um espaço no dashboard para gerenciar submissões. A atualização inclui rastreamento de status de submissão, edição de submissões e um modelo de comportamento que permite aos operadores declarar com precisão como seus bots utilizam conteúdo. Complementarmente, o Bot Preference Sync automatiza o alinhamento entre o arquivo robots.txt e as políticas de bots para Search, Agent e Training. Em vez de manter arquivos estáticos manualmente, as empresas passam a gerenciar preferências de acesso de bots diretamente no painel Cloudflare, reduzindo erros de configuração e conflitos com agentes de IA.

Outra mudança significativa foi a evolução do OAuth da Cloudflare para consentimento baseado em tarefas. O novo modelo suporta escopos opcionais, dando aos usuários controle granular sobre o que uma aplicação pode acessar. Para desenvolvedores que constroem integrações com a API Cloudflare — automação de DNS, gestão de WAF, provisionamento de Workers — isso significa fluxos de consentimento mais seguros e alinhados ao princípio de menor privilégio. Na prática, uma aplicação que precisa apenas ler zonas de DNS não precisa mais solicitar permissões amplas de escrita em toda a conta.

No ecossistema Workers, o modelo GLM-5.3 da Z.ai foi disponibilizado no Workers AI, e o AI Search passou a suportar a variante GLM-5.3 Flash com janela de contexto de 1.048.576 tokens. O GLM-5.3 é um modelo voltado para codificação agêntica, com ganhos expressivos em benchmarks como Terminal Bench 3.0 (de 4.6 para 28.3, estado da arte open-source) e SWE-Marathon (de 19.4 para 42.5). O preço permaneceu o mesmo do GLM-5.2 — US$ 1,40 por milhão de tokens de entrada, US$ 0,26 por milhão de tokens de entrada em cache e US$ 4,40 por milhão de tokens de saída — o que representa uma relação preço-desempenho agressiva para workloads de coding agents na edge.

Como o Cloudflare One infraestrutura se encaixa na arquitetura SASE

O Cloudflare One é a plataforma SASE da Cloudflare, e sua infraestrutura é fundamentalmente diferente de um appliance de segurança tradicional ou de uma VPN concentradora. Em vez de rotear todo o tráfego para um data center central — criando gargalos, latência e single point of failure —, o Cloudflare One distribui políticas de segurança para mais de 300 pontos de presença ao redor do mundo. Cada PoP executa funções de DNS filtering, HTTP filtering, Browser Isolation, CASB e Access localmente, na borda. Quando um usuário em São Paulo acessa um SaaS, o tráfego não precisa ir aos Estados Unidos para ser inspecionado; ele é avaliado no PoP mais próximo, o que reduz a latência percebida e melhora a experiência do usuário final.

O componente WARP é o cliente Zero Trust que estabelece um túnel seguro entre o dispositivo e a rede Cloudflare usando o protocolo WireGuard internamente. Diferente de uma VPN tradicional, que abre um túnel para a rede corporativa e expõe todo o tráfego a ela, o WARP permite políticas granulares por identidade, dispositivo e destino. O Gateway atua como resolvedor DNS e proxy HTTP, bloqueando domínios maliciosos antes mesmo da resolução e aplicando categorias de conteúdo, isolamento de navegador e inspeção TLS. O Access substitui a VPN para aplicações internas, autenticando usuários via Okta, Google Workspace, Azure AD ou outros IdPs compatíveis com OIDC e SAML.

A infraestrutura subjacente é baseada em anycast, um esquema de roteamento em que múltiplos servidores anunciam o mesmo endereço IP a partir de locais distintos. O BGP direciona cada pacote para o PoP mais próximo em termos de rota, não necessariamente de distância geográfica. Isso significa que, se um PoP em São Paulo ficar indisponível, o tráfego é automaticamente reencaminhado para outro PoP — sem intervenção manual, sem mudança de IP e sem reconfiguração de clientes. Essa resiliência é a base da promessa de 100% SLA em planos Business e Enterprise, e contrasta fortemente com arquiteturas legacy que dependem de failover manual ou de DNS TTL elevado.

Além disso, o Network Interconnect permite conectar data centers privados à rede Cloudflare via MPLS, BGP ou GRE, criando uma extensão da malha anycast para dentro da infraestrutura do cliente. Para empresas que operam ambientes híbridos — parte on-premises, parte em nuvem —, esse recurso elimina a necessidade de backhauling de tráfego para um hub central. O tráfego entra na rede Cloudflare no ponto mais próximo da origem, é inspecionado e roteado pelo backbone privado Argo Smart Routing, que reduz a latência em 30–40% em média, segundo dados da própria Cloudflare. A tabela abaixo resume os principais componentes da infraestrutura Cloudflare One e suas funções:

Vale notar que o Cloudflare One não é um produto isolado, mas a convergência de serviços que antes eram contratados separadamente. Para um engenheiro de infraestrutura, isso significa menos contratos, menos integrações e menos superfícies de configuração. Em vez de combinar um firewall de rede, um proxy web, um CASB e uma VPN de terceiros, a equipe pode consolidar tudo em uma única política gerenciada via dashboard ou via API REST e Terraform provider. Essa consolidação é um dos argumentos mais fortes para a adoção do Cloudflare One em empresas que buscam reduzir complexidade operacional sem abrir mão de segurança.

Otimizações de DNS e memória: o caso do 1.1.1.1

Uma das notícias mais impressionantes do ciclo recente veio da equipe de engenharia do 1.1.1.1, o resolvedor DNS público da Cloudflare. O projeto interno, apelidado de Big Pineapple, passou por cinco otimizações de memória em nível de Rust no layout do cache DNS. O resultado foi uma redução de 56% na memória por entrada, liberando aproximadamente 100 terabytes de memória em toda a frota Cloudflare. Para profissionais de infraestrutura, esse número é notável não apenas pelo volume, mas pelo que ele revela sobre a engenharia de software em escala: pequenas mudanças em estruturas de dados, alinhamento de memória e estratégias de alocação podem gerar economias massivas quando multiplicadas por centenas de servidores em mais de 300 cidades.

O cache DNS do 1.1.1.1 é uma peça central da infraestrutura Cloudflare One. Quando um cliente WARP consulta um domínio, o Gateway precisa resolver rapidamente para aplicar políticas de filtragem e roteamento. Se o cache DNS for ineficiente, cada consulta gera mais trabalho de CPU, mais latência e maior pressão de memória. A otimização de 56% por entrada significa que a mesma quantidade de memória agora comporta quase o dobro de entradas de cache, o que aumenta a taxa de acerto e reduz consultas recursivas para a origem. Para os usuários finais, isso se traduz em resoluções mais rápidas e menor latência de inicialização de conexões TLS.

As cinco otimizações foram implementadas em Rust, linguagem que a Cloudflare adotou amplamente em seus serviços de borda por oferecer segurança de memória sem garbage collector. O trabalho envolveu, entre outras coisas, a compactação de estruturas de dados, a eliminação de padding desnecessário e a revisão de alinhamento de tipos. A decisão de tornar esse detalhe público tem valor educacional: demonstra que performance em infraestrutura de CDN e DNS não depende apenas de hardware, mas de engenharia de software disciplinada. Para equipes que operam resolvers internos ou serviços DNS autoritativos, as lições do 1.1.1.1 são diretamente aplicáveis.

Além do cache DNS, a Cloudflare manteve sua cadência de melhorias no Workers AI e no AI Search. O suporte ao GLM-5.3 Flash no AI Search, com janela de contexto de mais de um milhão de tokens, permite indexar e consultar documentos extensos sem chunking agressivo. Para aplicações de busca semântica e RAG (Retrieval-Augmented Generation) hospedadas na rede Cloudflare, isso reduz a complexidade de pipeline e melhora a fidelidade das respostas. A combinação de Workers AI, Vectorize e D1 cria uma stack completa para aplicações de IA na borda, sem depender de infraestrutura externa de GPU.

Por que a infraestrutura Cloudflare One importa para empresas

Empresas que adotam a Cloudflare Cloudflare One infraestrutura ganham, em primeiro lugar, uma redução concreta de latência e um aumento de resiliência. A arquitetura anycast distribui a carga entre dezenas de PoPs regionais, o que elimina o conceito de “data center principal” como ponto único de falha. Quando um PoP entra em manutenção — como as programadas para DUB (Dublin), EWR (Newark) e AMS (Amsterdam) —, o tráfego é reencaminhado automaticamente para localidades vizinhas. A Cloudflare publica esses avisos com antecedência e recomenda que clientes com conexões PNI/CNI (Private Network Interconnect / Cloudflare Network Interconnect) se preparem para failover. Para empresas com interconexões dedicadas, esse aviso é crítico: as interfaces de rede nesses datacenters podem ficar temporariamente indisponíveis.

Em segundo lugar, a plataforma reduz a superfície de ataque. Ao expor aplicações através do Spectrum ou do proxy HTTP da Cloudflare, o endereço IP de origem fica oculto, e todo o tráfego passa por WAF, Rate Limiting e Bot Management antes de chegar ao servidor. O DDoS Protection automático L3/4/7 já mitigou ataques superiores a 2 Tbps, sem intervenção humana. Para setores regulados, como fintechs e healthtechs no Brasil, essa capacidade de absorver ataques volumétricos sem downtime é um requisito de conformidade e continuidade de negócio.

Em terceiro lugar, há o ganho de observabilidade. A Cloudflare fornece analytics sem sampling — ou seja, todos os requests são registrados e podem ser analisados, não apenas uma amostra. Logs podem ser enviados para R2, S3, Splunk, Datadog ou BigQuery em streaming. Para equipes de SRE e DevOps, essa visibilidade granular permite investigar incidentes com precisão, correlacionar eventos de segurança com métricas de performance e gerar relatórios de conformidade sem lacunas de dados.

O Bot Preference Sync e o BotBase for Operators também têm implicações diretas para empresas que publicam conteúdo e precisam controlar o acesso de crawlers e agentes de IA. Com o crescimento dos modelos de linguagem e dos agentes autônomos, o tráfego de bots não humanos já representa uma fração significativa das requisições em muitos sites. A capacidade de declarar políticas de treinamento e busca diretamente no dashboard Cloudflare — e sincronizar isso com o robots.txt — dá às empresas um controle que antes exigia scripts customizados e monitoramento manual. Para publishers brasileiros, isso tem valor estratégico na era dos agentes de IA.

Cloudflare One infraestrutura vs. Akamai, AWS CloudFront e Fastly

Comparar a Cloudflare Cloudflare One infraestrutura com Akamai, AWS CloudFront e Fastly exige separar duas dimensões: a CDN clássica e a plataforma SASE/Zero Trust. A Akamai possui uma das maiores redes de entrega do mundo, com forte presença em ISPs e acordos de peering profundos, especialmente nos Estados Unidos e na Europa. Sua especialidade histórica é a entrega de mídia e a aceleração de sites corporativos de grande porte. No entanto, a Akamai não oferece uma plataforma SASE nativamente integrada no mesmo nível do Cloudflare One; sua oferta de segurança é composta por produtos adquiridos e integrados ao longo dos anos.

A AWS CloudFront é a CDN da Amazon Web Services, profundamente integrada ao ecossistema AWS — S3, Lambda@Edge, Shield, WAF. Para empresas que já vivem dentro da AWS, o CloudFront é uma escolha natural e conveniente. Porém, sua arquitetura de edge computing é limitada em comparação com Workers: o Lambda@Edge tem restrições de runtime, cold start e custo. Além disso, o CloudFront não oferece SASE, Zero Trust ou substituição de VPN; esses recursos exigem serviços adicionais da AWS, como Verified Access, que ainda estão em evolução. O egress da AWS também é cobrado — US$ 0,09/GB —, enquanto o R2 da Cloudflare tem zero egress fees.

A Fastly se destaca pela agilidade de purga de cache, suporte a VCL (Varnish Configuration Language) e forte presença em aplicações de real-time, como APIs e streaming. Sua rede, porém, é consideravelmente menor que a da Cloudflare, e sua oferta de segurança SASE é incipiente. Para quem precisa de uma CDN de nicho com controle fino de cache, a Fastly é excelente; para quem precisa de CDN + WAF + Zero Trust + Workers + R2 em uma única plataforma, a Cloudflare oferece uma proposta mais abrangente.