Ospitare il server Crunu su Cloudflare Workers e D1

Cosa fa Crunu su Cloudflare

Crunu funziona nel cloud su app.crunu.com, quindi per iniziare non devi pubblicare nulla. Se vuoi un tuo server senza gestire una macchina, il server Crunu ha una build per Cloudflare Workers che conserva i dati in D1.

Su Workers il server è cieco come ovunque: D1 contiene testo cifrato, chiavi pubbliche, documenti firmati e metadati, mai una chiave in grado di decifrare un valore.

Deploy

Ti servono Node.js 24, wrangler con wrangler login già eseguito e un file .env creato da server-init. I comandi si eseguono dalla directory del server Crunu, dove si trovano gli script di deploy.

node scripts/server-init.mjs --origin https://vault.company.example
sh deploy/cloudflare/deploy.sh --name vault-company --location weur

Lo script controlla .env con lo stesso codice che il server usa all’avvio, compila il Worker, crea il database D1 vault-company-db se non esiste ed esegue il deploy del Worker insieme ai suoi segreti come un’unica versione. Codice e chiavi cambiano nello stesso momento, e se il deploy non riesce, sul Worker non cambia nulla. Le migrazioni dello schema vengono eseguite alla prima richiesta.

Per compilare ed esaminare ciò che verrebbe pubblicato senza pubblicarlo, aggiungi --build-only. Lo script stampa l’impronta della build e i nomi dei segreti che invierebbe, poi si ferma. La build è riproducibile, quindi eseguire lo stesso comando senza il flag pubblica esattamente ciò che hai esaminato.

Collega il tuo dominio al Worker nella dashboard di Cloudflare e usalo come PUBLIC_ORIGIN del server. La pulizia delle sessioni scadute e la potatura del registro di audit girano su un cron trigger ogni 5 minuti.

Scegliere il piano giusto

Impostazioni da controllare dopo il deploy

• Compressione delle risposte dell’API. Il Worker risponde a /v2/* senza compressione, così le dimensioni delle risposte non rivelano nulla. Esegui doctor sul tuo dominio. Se segnala la compressione, aggiungi una Compression Rule che la disattivi per i percorsi che iniziano con /v2/.
• URL di anteprima. Ogni versione caricata del Worker può avere un proprio indirizzo workers.dev che funziona con lo stesso database e gli stessi segreti. Il template di Crunu disattiva gli URL di anteprima, e lo script di deploy li disattiva anche per le versioni precedenti del Worker. Non riattivarli.
• Pseudo IPv4. Per le restrizioni di rete, tieni l’impostazione Pseudo IPv4 della zona disattivata o su Add header. In modalità Overwrite headers, i client IPv6 compaiono con indirizzi sostitutivi e non corrispondono alle regole IPv6.

node scripts/doctor.mjs https://vault.company.example

Cloudflare Tunnel per una tua macchina

Se preferisci eseguire il server su una tua macchina, Cloudflare Tunnel lo pubblica senza porte aperte. Questa configurazione fa parte dell’integrazione Docker.

Secret di Cloudflare per le tue app

Crunu non ha una sincronizzazione integrata verso i secret di Cloudflare. Se un tuo Worker conserva i valori in Cloudflare, una pipeline può inviarli con la CLI di Cloudflare eseguita sotto crunu run, usando un token di produzione legato con OIDC a main e all’ambiente di deployment di produzione. Ogni esecuzione compare nel registro di audit di Crunu. La pagina su Vercel mostra lo schema con un comando concreto.

Correlati

• Self-hosting
• Cloudflare Workers nella documentazione
• Spostarsi tra piattaforme
• GitHub Actions