Den Crunu-Server auf Cloudflare Workers und D1 hosten

Was Crunu auf Cloudflare tut

Crunu läuft in der Cloud auf app.crunu.com, Sie müssen zum Start also nichts deployen. Möchten Sie einen eigenen Server, ohne eine Maschine zu verwalten, hat der Crunu-Server einen Build für Cloudflare Workers, der seine Daten in D1 speichert.

Der Server ist auf Workers so blind wie überall: D1 enthält Chiffretext, öffentliche Schlüssel, signierte Dokumente und Metadaten, nie einen Schlüssel, der einen Wert entschlüsselt.

Deployment

Sie brauchen Node.js 24, wrangler mit erledigtem wrangler login und eine Datei .env, die server-init erstellt hat. Die Befehle laufen im Verzeichnis des Crunu-Servers, wo die Deploy-Skripte liegen.

node scripts/server-init.mjs --origin https://vault.company.example
sh deploy/cloudflare/deploy.sh --name vault-company --location weur

Das Skript prüft .env mit demselben Code, den der Server beim Start verwendet, baut den Worker, legt die D1-Datenbank vault-company-db an, falls es sie nicht gibt, und deployt den Worker zusammen mit seinen Secrets als eine Version. Code und Schlüssel ändern sich im selben Moment, und schlägt das Deployment fehl, ändert sich am Worker nichts. Schemamigrationen laufen bei der ersten Anfrage.

Um zu bauen und zu prüfen, was deployt würde, ohne es zu deployen, fügen Sie --build-only hinzu. Das Skript gibt den Fingerabdruck des Builds und die Namen der Secrets aus, die es senden würde, und hält dann an. Der Build ist reproduzierbar, derselbe Befehl ohne das Flag deployt also genau das, was Sie geprüft haben.

Verbinden Sie im Dashboard von Cloudflare Ihre eigene Domain mit dem Worker und verwenden Sie sie als PUBLIC_ORIGIN des Servers. Die Bereinigung abgelaufener Sitzungen und das Kürzen des Audit-Logs laufen alle 5 Minuten über einen Cron-Trigger.

Den richtigen Tarif wählen

Einstellungen, die Sie nach dem Deployment prüfen sollten

• Komprimierung von API-Antworten. Der Worker beantwortet /v2/* unkomprimiert, damit die Größe der Antworten nichts verrät. Führen Sie doctor gegen Ihre Domain aus. Meldet es Komprimierung, fügen Sie eine Compression Rule hinzu, die die Komprimierung für Pfade abschaltet, die mit /v2/ beginnen.
• Preview-URLs. Jede hochgeladene Version eines Workers kann eine eigene workers.dev-Adresse haben, die mit derselben Datenbank und denselben Secrets arbeitet. Die Vorlage von Crunu schaltet Preview-URLs aus, und das Deploy-Skript schaltet sie auch für ältere Versionen des Workers aus. Schalten Sie sie nicht wieder ein.
• Pseudo IPv4. Lassen Sie für Netzwerkbeschränkungen die Einstellung Pseudo IPv4 der Zone aus oder auf „Add header“. Im Modus „Overwrite headers“ erscheinen IPv6-Clients unter Ersatzadressen und passen nicht zu IPv6-Regeln.

node scripts/doctor.mjs https://vault.company.example

Cloudflare Tunnel für Ihre eigene Maschine

Möchten Sie den Server lieber auf Ihrer eigenen Maschine betreiben, veröffentlicht ihn Cloudflare Tunnel ohne offene Ports. Diese Konfiguration gehört zur Integration mit Docker.

Cloudflare-Secrets für Ihre eigenen Apps

Crunu hat keine eingebaute Synchronisierung in Cloudflare-Secrets. Bewahrt einer Ihrer Worker seine Werte in Cloudflare auf, kann eine Pipeline sie mit der eigenen CLI von Cloudflare übertragen, die unter crunu run läuft, mit einem Produktions-Token, das per OIDC an main und die Deployment-Umgebung production gebunden ist. Jeder Lauf erscheint im Audit-Log von Crunu. Die Seite zu Vercel zeigt das Muster mit einem konkreten Befehl.

Weiterführend

• Self-Hosting
• Cloudflare Workers in der Dokumentation
• Zwischen Plattformen umziehen
• GitHub Actions