Cloudflare Access даёт grace period для ротации service token: пошаговый двойной контроль. Составить минимальный список clients и их owner, выбрать grace period по реальному окну раскатки, создать новый secret без его вывода в лог, перевести один canary client и подтвердить его доступ до остальных. Практический результат — Матрица «client × owner ×.
1. Зафиксируйте точный симптом и границу ответа
При ротации Cloudflare Access service token несколько машин обновляются не одновременно; мгновенный отзыв ломает отстающий client, а слишком длинное перекрытие увеличивает период, когда действуют два секрета. Рабочая граница материала — именно запрос «как ротировать cloudflare access service token с grace period от одного часа до 30 дней и доказать переход всех clients». До любого действия запишите версию, один наблюдаемый симптом, время и ожидаемый результат. Не переносите вывод на другую версию, роль, операционную систему или соседний продукт без повторной сверки. Новостная карточка или форумное обсуждение могут быть лишь lead: они не доказывают причину, охват или популярность.
2. Отделите свежее событие от технического доказательства
25 августа 2026 года Cloudflare добавил для Access service tokens grace periods от одного часа до 30 дней, в которые действуют оба secret, с API-вариантом RFC3339 и immediate revoke; 28 августа changelog и service-token guide сверены. Первый источник фиксирует: Cloudflare Changelog от 25 августа 2026 года задаёт grace period от одного часа до 30 дней, указывает одновременную валидность обоих secrets в окне, custom RFC3339 expiration через API и возможность immediate revoke. Второй официальный контракт уточняет: Официальная Cloudflare One documentation описывает создание, использование и ротацию Access service tokens, а также границы client ID и secret; это контракт для канареечной ротации без публикации секрета. Из этих двух текстов не следует, что любой похожий симптом вызван тем же механизмом. Дата, версия, область действия и оговорки источника остаются частью ответа.
3. Проведите один обратимый контрольный тест
Составить минимальный список clients и их owner, выбрать grace period по реальному окну раскатки, создать новый secret без его вывода в лог, перевести один canary client и подтвердить его доступ до остальных. До теста сохраните исходное значение или копию только затрагиваемого объекта, заранее определите признак успеха, отрицательный исход и команду возврата. Меняйте ровно один фактор и повторяйте тот же контрольный вход. Не сбрасывайте профиль, не удаляйте данные, не отключайте защиту и не подменяйте сетевой маршрут ради удобного результата.
4. Прочитайте матрицу исходов без подмены причины
Матрица «client × owner × old/new secret version × last success × deadline», два несекретных probe до и после переключения, явный RFC3339 deadline, план immediate revoke при инциденте и стоп-линия до завершения всех clients. Для каждого client отдельно доказываются success с new secret и failure с old secret после deadline; общая 2xx метрика не показывает, какая версия secret сработала, поэтому нужен признак версии без самого секрета. В каждой ячейке записывайте только наблюдаемый факт, а не предполагаемую причину. Если симптом исчез, это подтверждает границу контрольного теста, но не универсальную причину для всех конфигураций. Если результат неоднозначен, верните исходное состояние и соберите минимальный воспроизводимый пример.
5. Остановитесь до необратимого шага и эскалируйте минимум
Не печатать client secret в ticket, log или чат, не завершать grace period до перевода всех clients и не выбирать 30 дней по умолчанию без владельца риска и фиксированного deployment window. Для поддержки соберите версию продукта, время с timezone, один обезличенный код ошибки или статус, один контрольный шаг и его результат. Удалите имена, email, IP, account IDs, tokens, ключи, полные конфиги и приватные ссылки. Красные флаги для немедленной остановки: потеря данных, секрета или доступа, влияние на несвязанных пользователей, отсутствие копии или невозможность возврата.
Материал подготовлен редакцией VOne с помощью ИИ; технические утверждения постатейно сверены с указанными официальными и первичными источниками 28 августа 2026 года.
Источники и проверка
- Cloudflare service token rotation grace periods проверено 2026-08-28
- Cloudflare Access service tokens проверено 2026-08-28
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.