De Crunu-server hosten op Cloudflare Workers en D1

Wat Crunu doet op Cloudflare

Crunu draait in de cloud op app.crunu.com, dus je hoeft niets te deployen om te beginnen. Wil je een eigen server zonder een machine te beheren, dan heeft de Crunu-server een build voor Cloudflare Workers die zijn data in D1 bewaart.

Ook op Workers is de server blind, net als overal: D1 bevat versleutelde data, publieke sleutels, ondertekende documenten en metadata, nooit een sleutel die een waarde ontsleutelt.

Deployen

Je hebt Node.js 24 nodig, wrangler waarmee je wrangler login hebt gedaan, en een .env-bestand dat server-init heeft gemaakt. De opdrachten draaien vanuit de map van de Crunu-server, waar de deployscripts staan.

node scripts/server-init.mjs --origin https://vault.company.example
sh deploy/cloudflare/deploy.sh --name vault-company --location weur

Het script controleert .env met dezelfde code die de server bij het opstarten gebruikt, bouwt de Worker, maakt de D1-database vault-company-db aan als die nog niet bestaat, en deployt de Worker samen met zijn secrets als één versie. Code en sleutels veranderen op hetzelfde moment, en als de deploy mislukt, verandert er niets aan de Worker. Schemamigraties draaien bij het eerste verzoek.

Wil je bouwen en bekijken wat er gedeployd zou worden zonder te deployen, voeg dan --build-only toe. Het script toont de vingerafdruk van de build en de namen van de secrets die het zou versturen, en stopt dan. De build is reproduceerbaar, dus dezelfde opdracht zonder de vlag deployt precies wat je hebt bekeken.

Koppel je eigen domein aan de Worker in het dashboard van Cloudflare en gebruik het als PUBLIC_ORIGIN van de server. Het opschonen van verlopen sessies en het inkorten van de auditlog draaien via een cron-trigger elke 5 minuten.

Kies het juiste abonnement

Instellingen om na het deployen te controleren

• Compressie van API-antwoorden. De Worker beantwoordt /v2/* ongecomprimeerd, zodat de grootte van antwoorden niets verraadt. Draai doctor tegen je domein. Meldt het compressie, voeg dan een Compression Rule toe die compressie uitzet voor paden die met /v2/ beginnen.
• Preview-URL’s. Elke geüploade versie van een Worker kan een eigen adres op workers.dev hebben dat met dezelfde database en secrets werkt. Het sjabloon van Crunu zet preview-URL’s uit, en het deployscript zet ze ook uit voor de oudere versies van de Worker. Zet ze niet weer aan.
• Pseudo IPv4. Laat voor netwerkbeperkingen de instelling Pseudo IPv4 van de zone uit staan of zet die op Add header. In de modus Overwrite headers verschijnen IPv6-clients onder vervangende adressen en passen ze niet bij IPv6-regels.

node scripts/doctor.mjs https://vault.company.example

Cloudflare Tunnel voor je eigen machine

Draai je de server liever op je eigen machine, dan publiceert Cloudflare Tunnel hem zonder open poorten. Die opstelling hoort bij de integratie Docker.

Cloudflare-secrets voor je eigen apps

Crunu heeft geen ingebouwde sync naar Cloudflare-secrets. Bewaart een Worker van jou zijn waarden in Cloudflare, dan kan een pipeline ze erin zetten met de eigen CLI van Cloudflare onder crunu run, met een token voor production dat met OIDC aan main en de deployment-omgeving production is gebonden. Elke run verschijnt in de auditlog van Crunu. De pagina over Vercel laat het patroon zien met een concrete opdracht.

Verwant

• Zelf hosten
• Cloudflare Workers in de documentatie
• Verhuizen tussen platforms
• GitHub Actions