{"id":2239,"date":"2026-08-13T16:50:15","date_gmt":"2026-08-13T19:50:15","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/13\/cloudflare-access-lancamento-fido2-chega-ao-ssh-zero-trust\/"},"modified":"2026-08-13T16:50:15","modified_gmt":"2026-08-13T19:50:15","slug":"cloudflare-access-lancamento-fido2-chega-ao-ssh-zero-trust","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/13\/cloudflare-access-lancamento-fido2-chega-ao-ssh-zero-trust\/","title":{"rendered":"Cloudflare Access lan\u00e7amento: FIDO2 chega ao SSH Zero Trust"},"content":{"rendered":"

O Cloudflare Access lan\u00e7amento<\/strong> que acaba de ser disponibilizado no changelog oficial da Cloudflare marca um avan\u00e7o relevante para equipes de infraestrutura e seguran\u00e7a que operam ambientes h\u00edbridos e multicloud. Estamos falando da autentica\u00e7\u00e3o multifator independente com suporte a FIDO2 para aplica\u00e7\u00f5es de infraestrutura<\/strong>, incluindo SSH e PIV (Personal Identity Verification). Para quem administra servidores Linux, roteadores, switches ou qualquer recurso que exija acesso remoto seguro, a novidade elimina de vez a depend\u00eancia de chaves SSH est\u00e1ticas e de VPNs legadas, trazendo o modelo Zero Trust para a camada de infraestrutura de forma nativa, sem sacrificar a experi\u00eancia do desenvolvedor.<\/p>\n

O an\u00fancio chega em um momento em que a Cloudflare consolida sua rede global como uma das principais plataformas de CDN, edge computing e SASE<\/strong> do planeta. S\u00e3o mais de 300 cidades<\/strong> em mais de 100 pa\u00edses<\/strong>, com presen\u00e7a em 1 de cada 5 requisi\u00e7\u00f5es HTTP<\/strong> da internet. Para empresas brasileiras que lidam com lat\u00eancia, conformidade \u00e0 LGPD<\/strong> e a necessidade de proteger cargas de trabalho cada vez mais distribu\u00eddas, o Cloudflare Access lan\u00e7amento<\/strong> representa um passo concreto na dire\u00e7\u00e3o da substitui\u00e7\u00e3o do per\u00edmetro f\u00edsico por controles baseados em identidade, dispositivo e contexto.<\/p>\n

Historicamente, o Cloudflare Access<\/strong> nasceu como parte da su\u00edte Cloudflare One<\/strong> \u2014 a aposta da empresa em Zero Trust Network Access (ZTNA)<\/strong> \u2014 e j\u00e1 permitia que aplica\u00e7\u00f5es web internas fossem publicadas sem exposi\u00e7\u00e3o direta \u00e0 internet, com autentica\u00e7\u00e3o integrada a provedores como Okta<\/strong>, Google Workspace<\/strong> e Azure AD<\/strong>. O que muda agora \u00e9 a extens\u00e3o desse modelo para o acesso a servidores e infraestrutura via protocolos de terminal, algo que at\u00e9 ent\u00e3o dependia de solu\u00e7\u00f5es complementares, jump servers ou bastions tradicionais. O leitor deste artigo vai entender exatamente o que foi lan\u00e7ado, como funciona a autentica\u00e7\u00e3o FIDO2<\/strong> para SSH e PIV, por que isso importa para a maturidade Zero Trust da sua organiza\u00e7\u00e3o e como configurar o recurso no painel da Cloudflare em poucos minutos.<\/p>\n

Al\u00e9m disso, o texto contextualiza o movimento dentro do ecossistema competitivo de CDN e SASE<\/strong> \u2014 comparando brevemente o posicionamento da Cloudflare com players como Akamai<\/strong>, Fastly<\/strong> e AWS CloudFront<\/strong> \u2014 e analisa o impacto espec\u00edfico para o mercado brasileiro, incluindo lat\u00eancia, resid\u00eancia de dados e conformidade regulat\u00f3ria. Ao final, apresentamos uma recomenda\u00e7\u00e3o pr\u00e1tica para voc\u00ea avaliar a ado\u00e7\u00e3o no seu ambiente, com aten\u00e7\u00e3o especial ao trabalho que a JRT Technology Solutions<\/strong> realiza na implementa\u00e7\u00e3o e gerenciamento de Cloudflare para clientes corporativos.<\/p>\n

O an\u00fancio: Cloudflare Access lan\u00e7amento e o FIDO2 para infraestrutura<\/h3>\n

O changelog da Cloudflare, publicado recentemente na categoria Cloudflare One, Access<\/strong>, confirma que infrastructure applications<\/strong> agora suportam autentica\u00e7\u00e3o multifator independente<\/strong> com chaves FIDO2<\/strong>. Na pr\u00e1tica, a atualiza\u00e7\u00e3o permite que administradores configurem, no n\u00edvel da aplica\u00e7\u00e3o e no n\u00edvel de pol\u00edtica, os tipos ssh_fido2_key<\/strong>, piv_key<\/strong> ou ambos. Isso significa que, ao acessar um servidor via SSH atrav\u00e9s do Cloudflare Access<\/strong>, o usu\u00e1rio pode ser desafiado a apresentar uma chave FIDO2 f\u00edsica ou embarcada como segundo fator \u2014 sem depender exclusivamente de TOTP, push notifications ou senhas tempor\u00e1rias.<\/p>\n

O recurso se encaixa em uma tend\u00eancia maior de seguran\u00e7a cibern\u00e9tica. O Cloudflare DDoS Threat Report H1 2026<\/strong> revelou um aumento de 519%<\/strong> nos ataques hipervolum\u00e9tricos, impulsionados por vetores de reflex\u00e3o DNS e CLDAP, al\u00e9m de tens\u00f5es geopol\u00edticas. Nesse ambiente hostil, credenciais est\u00e1ticas e chaves SSH sem rota\u00e7\u00e3o continuam sendo um dos vetores de comprometimento mais explorados. O Cloudflare Access lan\u00e7amento<\/strong> ataca justamente essa lacuna: transforma o acesso a infraestrutura em uma opera\u00e7\u00e3o baseada em identidade verificada, com suporte a autenticadores fortes e resistentes a phishing.<\/p>\n

Outro ponto importante \u00e9 que a novidade n\u00e3o exige mudan\u00e7a na forma como os times de opera\u00e7\u00e3o j\u00e1 trabalham com SSH. O usu\u00e1rio final pode continuar utilizando seu cliente SSH preferido. O que muda \u00e9 que, antes de estabelecer a conex\u00e3o, o Cloudflare Access<\/strong> intermedia a autentica\u00e7\u00e3o, valida a pol\u00edtica de acesso, verifica o dispositivo e, agora, pode exigir a chave FIDO2<\/strong> cadastrada. Isso amplia consideravelmente o n\u00edvel de garantia de identidade (IAL\/AAL) sem introduzir atrito excessivo no fluxo de trabalho di\u00e1rio.<\/p>\n

Para organiza\u00e7\u00f5es que j\u00e1 usam Cloudflare Access<\/strong> para aplica\u00e7\u00f5es web, a adi\u00e7\u00e3o do suporte FIDO2 para infraestrutura representa uma evolu\u00e7\u00e3o natural do portf\u00f3lio Zero Trust<\/strong>. Diferentemente de solu\u00e7\u00f5es de bastion tradicionais, que concentram risco e exigem manuten\u00e7\u00e3o pesada, o modelo da Cloudflare usa a borda da rede como ponto de decis\u00e3o, aplicando pol\u00edticas de forma distribu\u00edda e escal\u00e1vel. O Cloudflare Access lan\u00e7amento<\/strong> tamb\u00e9m refor\u00e7a o compromisso da empresa com padr\u00f5es abertos, j\u00e1 que o FIDO2<\/strong> \u00e9 um protocolo da FIDO Alliance amplamente adotado por dispositivos como YubiKey<\/strong>, Google Titan<\/strong> e autenticadores embarcados em plataformas corporativas.<\/p>\n

O que \u00e9 Cloudflare Access e como ele substitui VPN<\/h3>\n

O Cloudflare Access<\/strong> \u00e9 a solu\u00e7\u00e3o de Zero Trust Network Access (ZTNA)<\/strong> da Cloudflare, projetada para substituir o acesso VPN tradicional por um modelo de autentica\u00e7\u00e3o cont\u00ednua e autoriza\u00e7\u00e3o por sess\u00e3o. Em vez de conceder acesso amplo \u00e0 rede corporativa, o Access valida cada requisi\u00e7\u00e3o de forma individual, aplicando regras de identidade, dispositivo, geolocaliza\u00e7\u00e3o e risco. Isso reduz drasticamente a superf\u00edcie de ataque, porque aplica\u00e7\u00f5es e infraestrutura n\u00e3o ficam expostas \u00e0 internet p\u00fablica \u2014 elas s\u00e3o publicadas por meio de t\u00faneis reversos autenticados pela Cloudflare<\/strong>.<\/p>\n

A arquitetura \u00e9 baseada no Cloudflare Tunnel<\/strong> (antigo Argo Tunnel), um agente leve que cria conex\u00f5es de sa\u00edda para a rede da Cloudflare, eliminando a necessidade de abrir portas de entrada no firewall. O tr\u00e1fego chega \u00e0 borda da Cloudflare, passa por inspe\u00e7\u00e3o de identidade e pol\u00edtica e, somente ent\u00e3o, \u00e9 roteado para a origem privada. Com o Cloudflare Access lan\u00e7amento<\/strong>, esse mesmo mecanismo passa a suportar protocolos de infraestrutura como SSH, permitindo que equipes de DevOps acessem servidores sem expor a porta 22 \u00e0 internet.<\/p>\n

Comparado a uma VPN convencional, o Access oferece vantagens claras: nenhuma exposi\u00e7\u00e3o de porta p\u00fablica<\/strong>, pol\u00edticas granulares por aplica\u00e7\u00e3o ou por servidor<\/strong>, integra\u00e7\u00e3o nativa com provedores de identidade<\/strong> e registro completo de auditoria<\/strong>. Em vez de um t\u00fanel \u00fanico para toda a rede, o Access cria microper\u00edmetros din\u00e2micos, o que \u00e9 fundamental para ambientes h\u00edbridos, multicloud e com for\u00e7a de trabalho distribu\u00edda. A adi\u00e7\u00e3o do suporte FIDO2 para SSH e PIV eleva ainda mais a seguran\u00e7a, porque remove a depend\u00eancia de senhas e chaves privadas que podem ser roubadas, compartilhadas ou perdidas.<\/p>\n

Do ponto de vista operacional, o Cloudflare Access<\/strong> se beneficia da infraestrutura global da empresa. A autentica\u00e7\u00e3o ocorre no data center da Cloudflare mais pr\u00f3ximo do usu\u00e1rio, o que reduz a lat\u00eancia percebida e melhora a experi\u00eancia. Para empresas brasileiras, a presen\u00e7a de pontos de presen\u00e7a (PoPs) em S\u00e3o Paulo, Rio de Janeiro e outras localidades da Am\u00e9rica Latina significa que a valida\u00e7\u00e3o de identidade acontece localmente, sem depender de autentica\u00e7\u00e3o transatl\u00e2ntica. Esse \u00e9 um argumento forte para substituir VPNs concentradoras que exigem backhaul para um \u00fanico ponto de termina\u00e7\u00e3o, muitas vezes instalado em outro pa\u00eds.<\/p>\n

O Cloudflare Access lan\u00e7amento<\/strong> tamb\u00e9m preenche uma lacuna importante para organiza\u00e7\u00f5es que j\u00e1 haviam adotado o Access para aplica\u00e7\u00f5es web, mas ainda mantinham solu\u00e7\u00f5es legadas para acesso a servidores. Com a unifica\u00e7\u00e3o, a mesma pol\u00edtica de Zero Trust pode ser aplicada a aplicativos HTTP, terminais SSH e infraestrutura legada, reduzindo a complexidade operacional e o n\u00famero de consoles de gerenciamento. Na JRT Technology Solutions<\/strong>, configuramos o Cloudflare para clientes corporativos justamente com esse objetivo: consolidar seguran\u00e7a e rede em uma \u00fanica plataforma, sem multiplicar fornecedores.<\/p>\n

Detalhes t\u00e9cnicos do Cloudflare Access lan\u00e7amento<\/h3>\n

O recurso anunciado est\u00e1 dispon\u00edvel na interface do Cloudflare Dashboard<\/strong>, dentro da se\u00e7\u00e3o Zero Trust<\/strong> > Access<\/strong> > Infrastructure Applications<\/strong>. Ao criar ou editar uma aplica\u00e7\u00e3o de infraestrutura, o administrador encontra as novas op\u00e7\u00f5es de MFA independente. \u00c9 poss\u00edvel definir o tipo de chave aceito: ssh_fido2_key<\/strong>, piv_key<\/strong> ou ambos. Essa granularidade permite segmentar o acesso conforme o perfil da equipe ou o n\u00edvel de sensibilidade do recurso protegido.<\/p>\n

A tabela a seguir resume os principais aspectos do Cloudflare Access lan\u00e7amento<\/strong>:<\/p>\n\n\n\n\n\n\n\n\n\n
Aspecto<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
Produto<\/td>\nCloudflare Access \u2014 Zero Trust Network Access (ZTNA) dentro da su\u00edte Cloudflare One<\/td>\n<\/tr>\n
Disponibilidade<\/td>\nEnterprise (Cloudflare One) \u2014 recurso em General Availability (GA) conforme changelog oficial da Cloudflare<\/td>\n<\/tr>\n
Caso de uso principal<\/td>\nAutentica\u00e7\u00e3o multifator independente (MFA) com chaves FIDO2 para aplica\u00e7\u00f5es de infraestrutura, incluindo SSH e PIV (Personal Identity Verification)<\/td>\n<\/tr>\n
Diferencial vs. alternativas<\/td>\nElimina a depend\u00eancia de VPN tradicional; chaves FIDO2 separadas de WebAuthn browser; pol\u00edticas por aplica\u00e7\u00e3o e por pol\u00edtica; integra\u00e7\u00e3o nativa com provedores de identidade e registro completo de auditoria<\/td>\n<\/tr>\n
Como acessar<\/td>\nCloudflare Dashboard > Zero Trust > Access > Infrastructure Applications > MFA settings; API via Cloudflare One endpoints<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

O suporte a FIDO2<\/strong> para infraestrutura se diferencia do fluxo de WebAuthn<\/strong> tradicional baseado em browser. Enquanto as chaves WebAuthn<\/strong> s\u00e3o usadas para autentica\u00e7\u00e3o em aplica\u00e7\u00f5es web, as chaves FIDO2<\/strong> para SSH e PIV s\u00e3o gerenciadas pelo App Launcher<\/strong> da Cloudflare e vinculadas a uma identidade SSH gerada especificamente para essa finalidade. Essa separa\u00e7\u00e3o \u00e9 proposital: impede que uma chave FIDO2 usada para login web seja reutilizada indevidamente em contexto de infraestrutura, e vice-versa.<\/p>\n

Do ponto de vista de pol\u00edtica, o Cloudflare Access lan\u00e7amento<\/strong> suporta configura\u00e7\u00e3o em dois n\u00edveis: application-level MFA settings<\/strong> e policy-level MFA settings<\/strong>. Isso significa que o administrador pode definir um requisito global de MFA para toda a aplica\u00e7\u00e3o de infraestrutura e, ao mesmo tempo, refinar regras por pol\u00edtica espec\u00edfica \u2014 por exemplo, exigir ssh_fido2_key<\/strong> para acesso a servidores de produ\u00e7\u00e3o, mas permitir apenas piv_key<\/strong> para ambientes de desenvolvimento. A flexibilidade \u00e9 essencial para empresas com diferentes tiers de criticidade.<\/p>\n

Outro detalhe t\u00e9cnico relevante \u00e9 que a inscri\u00e7\u00e3o das chaves FIDO2 \u00e9 feita atrav\u00e9s do App Launcher<\/strong>, a interface de usu\u00e1rio que centraliza os recursos protegidos pelo Access. Ap\u00f3s a inscri\u00e7\u00e3o, o usu\u00e1rio final recebe uma identidade SSH espec\u00edfica que deve ser usada em conjunto com a chave FIDO2. O processo de conex\u00e3o SSH, ent\u00e3o, passa a ser mediado pelo Cloudflare Tunnel<\/strong>, que autentica a sess\u00e3o antes de encaminhar o tr\u00e1fego para o servidor de destino. Esse fluxo reduz o risco de movimenta\u00e7\u00e3o lateral e de exposi\u00e7\u00e3o de credenciais em logs ou terminais comprometidos.<\/p>\n

Como funciona o Cloudflare Access lan\u00e7amento para SSH e PIV<\/h3>\n

A implementa\u00e7\u00e3o do Cloudflare Access lan\u00e7amento<\/strong> para SSH e PIV segue o princ\u00edpio de Zero Trust<\/strong>: nunca confie, sempre verifique. Quando um usu\u00e1rio tenta estabelecer uma conex\u00e3o SSH, o cliente \u00e9 interceptado pelo Cloudflare Tunnel<\/strong\n\n\n

\n

Sua empresa ainda n\u00e3o usa Cloudflare de forma estrat\u00e9gica?<\/p>\n

A JRT Technology Solutions implementa Cloudflare CDN, WAF, Zero Trust e Workers para empresas que precisam de performance, seguran\u00e7a e escalabilidade.<\/p>\n


\n <\/svg>
\n Falar com especialista
\n <\/a>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

O Cloudflare Access lan\u00e7amento que acaba de ser disponibilizado no changelog oficial da Cloudflare marca um avan\u00e7o relevante para equipes de infraestrutura e seguran\u00e7a que operam ambientes h\u00edbridos e multicloud. Estamos falando da autentica\u00e7\u00e3o multifator independente com suporte a FIDO2 para aplica\u00e7\u00f5es de infraestrutura, incluindo SSH e PIV (Personal Identity Verification). Para quem administra servidores … Ler mais<\/a><\/p>\n","protected":false},"author":1,"featured_media":2238,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"iawp_total_views":1,"footnotes":""},"categories":[1721],"tags":[3309],"class_list":["post-2239","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cdn-cloudflare","tag-cloudflare-access-feature-launch"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t