Aloja el servidor de Crunu en Cloudflare Workers y D1

Qué hace Crunu en Cloudflare

Crunu funciona en la nube en app.crunu.com, así que no necesitas desplegar nada para empezar. Si quieres tu propio servidor sin administrar una máquina, el servidor de Crunu tiene una compilación para Cloudflare Workers que guarda sus datos en D1.

En Workers, el servidor es ciego como en cualquier otro sitio: D1 contiene datos cifrados, claves públicas, documentos firmados y metadatos, nunca una clave que descifre un valor.

Despliegue

Necesitas Node.js 24, wrangler con wrangler login hecho y un archivo .env creado por server-init. Los comandos se ejecutan desde el directorio del servidor de Crunu, donde están los scripts de despliegue.

node scripts/server-init.mjs --origin https://vault.company.example
sh deploy/cloudflare/deploy.sh --name vault-company --location weur

El script comprueba .env con el mismo código que usa el servidor al arrancar, compila el Worker, crea la base de datos D1 vault-company-db si no existe y despliega el Worker junto con sus secretos como una sola versión. El código y las claves cambian en el mismo momento, y si el despliegue falla, no cambia nada en el Worker. Las migraciones del esquema se ejecutan en la primera petición.

Para compilar e inspeccionar lo que se desplegaría sin desplegarlo, añade --build-only. El script muestra la huella de la compilación y los nombres de los secretos que enviaría, y se detiene. La compilación es reproducible, así que el mismo comando sin la opción despliega exactamente lo que inspeccionaste.

Vincula tu propio dominio al Worker en el panel de Cloudflare y úsalo como PUBLIC_ORIGIN del servidor. La limpieza de las sesiones caducadas y el recorte del registro de auditoría se ejecutan con un disparador cron cada 5 minutos.

Elige el plan adecuado

Ajustes que hay que revisar después de desplegar

• Compresión de las respuestas de la API. El Worker responde a /v2/* sin comprimir, para que el tamaño de las respuestas no revele nada. Ejecuta doctor contra tu dominio. Si informa de compresión, añade una Compression Rule que desactive la compresión para las rutas que empiezan por /v2/.
• URL de vista previa. Cada versión subida del Worker puede tener su propia dirección workers.dev, que funciona con la misma base de datos y los mismos secretos. La plantilla de Crunu desactiva las URL de vista previa, y el script de despliegue también las desactiva para las versiones anteriores del Worker. No las vuelvas a activar.
• Pseudo IPv4. Para las restricciones de red, deja el ajuste Pseudo IPv4 de la zona desactivado o en Add header. En el modo Overwrite headers, los clientes IPv6 aparecen con direcciones sustitutas y no coinciden con las reglas IPv6.

node scripts/doctor.mjs https://vault.company.example

Cloudflare Tunnel para tu propia máquina

Si prefieres ejecutar el servidor en tu propia máquina, Cloudflare Tunnel lo publica sin abrir puertos. Esa configuración forma parte de la integración con Docker.

Secretos de Cloudflare para tus propias apps

Crunu no tiene sincronización integrada con los secretos de Cloudflare. Si un Worker tuyo guarda sus valores en Cloudflare, un pipeline puede enviarlos con la propia CLI de Cloudflare ejecutada bajo crunu run, usando un token de production vinculado con OIDC a main y al entorno de despliegue de production. Cada ejecución aparece en el registro de auditoría de Crunu. La página de Vercel muestra el patrón con un comando concreto.

Relacionado

• Autoalojamiento
• Cloudflare Workers en la documentación
• Cambiar de plataforma
• GitHub Actions