{"id":3048,"date":"2026-09-22T16:43:11","date_gmt":"2026-09-22T19:43:11","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/22\/cloudflare-access-lancamento-tokens-inativos-e-mcp-privado\/"},"modified":"2026-09-22T16:43:11","modified_gmt":"2026-09-22T19:43:11","slug":"cloudflare-access-lancamento-tokens-inativos-e-mcp-privado","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/22\/cloudflare-access-lancamento-tokens-inativos-e-mcp-privado\/","title":{"rendered":"Cloudflare Access lan\u00e7amento: tokens inativos e MCP privado"},"content":{"rendered":"

O Cloudflare Access lan\u00e7amento<\/strong> mais recente traz duas novidades importantes para o portf\u00f3lio Zero Trust<\/strong> da Cloudflare: o gerenciamento autom\u00e1tico de service tokens inativos<\/strong> e o suporte a servidores MCP privados<\/strong> em portais MCP. Para quem opera infraestrutura de CDN, edge computing e seguran\u00e7a web, esses recursos reduzem superf\u00edcie de ataque e expandem a integra\u00e7\u00e3o entre agentes de IA e redes corporativas sem expor endpoints privados \u00e0 internet p\u00fablica. A Cloudflare, Inc. (NYSE: NET) mant\u00e9m mais de 300 cidades<\/strong> em mais de 100 pa\u00edses<\/strong>, processando cerca de 1 em cada 5 requisi\u00e7\u00f5es HTTP<\/strong> da internet global, o que posiciona seus lan\u00e7amentos como uma refer\u00eancia direta para equipes de SRE, seguran\u00e7a da informa\u00e7\u00e3o e plataforma.<\/p>\n

O an\u00fancio chega em um momento em que o mercado de SASE e Zero Trust<\/strong> amadurece rapidamente. Empresas brasileiras que migraram para o trabalho h\u00edbrido precisam controlar o acesso a aplica\u00e7\u00f5es internas sem depender exclusivamente de VPNs legadas, que ainda sofrem com lat\u00eancia elevada, gest\u00e3o manual de credenciais e falta de granularidade por identidade. O Cloudflare Access, produto central da su\u00edte Cloudflare One<\/strong>, j\u00e1 vinha substituindo a VPN tradicional por autentica\u00e7\u00e3o baseada em identidade com provedores como Okta<\/strong>, Google Workspace<\/strong> e Azure AD<\/strong>. Agora, com os novos recursos, a plataforma avan\u00e7a tamb\u00e9m na governan\u00e7a de tokens de servi\u00e7o e na integra\u00e7\u00e3o segura com o ecossistema de Model Context Protocol (MCP)<\/strong>.<\/p>\n

Historicamente, o Access nasceu da necessidade de proteger aplica\u00e7\u00f5es internas atr\u00e1s da rede Cloudflare, eliminando a necessidade de expor portas e usar VPN para cada servi\u00e7o. A evolu\u00e7\u00e3o seguiu com pol\u00edticas por identidade, integra\u00e7\u00e3o com provedores de identidade, suporte a t\u00faneis Cloudflare Tunnel<\/strong> e, mais recentemente, a integra\u00e7\u00e3o com fluxos de IA e automa\u00e7\u00e3o. O Cloudflare Access lan\u00e7amento<\/strong> de setembro de 2026 refor\u00e7a essa trajet\u00f3ria ao resolver dois problemas concretos: a prolifera\u00e7\u00e3o de tokens de servi\u00e7o esquecidos e a dificuldade de conectar agentes de IA a sistemas privados sem abrir brechas de seguran\u00e7a.<\/p>\n

Para o leitor t\u00e9cnico, este post detalha o que muda, como configurar cada recurso no Cloudflare Dashboard<\/strong>, quais s\u00e3o os pr\u00e9-requisitos de rede e identidade e como esses an\u00fancios se comparam \u00e0s alternativas do mercado, como Akamai<\/strong>, Fastly<\/strong> e AWS CloudFront<\/strong>. Tamb\u00e9m abordamos o impacto para empresas brasileiras, incluindo lat\u00eancia, conformidade com a LGPD<\/strong> e cen\u00e1rios pr\u00e1ticos de ado\u00e7\u00e3o. Ao final, recomendamos um caminho de implanta\u00e7\u00e3o com base na experi\u00eancia da JRT Technology Solutions<\/strong> em ambientes corporativos.<\/p>\n

Voc\u00ea vai aprender: como funciona a limpeza autom\u00e1tica de service tokens inativos, quais crit\u00e9rios um token precisa atender para ser desativado ou exclu\u00eddo, como configurar o suporte a servidores MCP privados via Cloudflare Gateway<\/strong>, Cloudflare Tunnel<\/strong> e rotas de hostname privado, e por que esse conjunto de funcionalidades consolida o Access como um componente central da estrat\u00e9gia Zero Trust em 2026.<\/p>\n

O que h\u00e1 de novo: Cloudflare Access lan\u00e7amento e an\u00fancios recentes<\/h3>\n

Os changelogs oficiais da Cloudflare confirmam duas entregas focadas no Access<\/strong>. A primeira permite que administradores desativem ou excluam automaticamente service tokens inativos<\/strong>. A segunda habilita portais de servidores MCP a se conectarem a servidores dispon\u00edveis apenas na rede privada, sem exposi\u00e7\u00e3o p\u00fablica. Ambos os recursos j\u00e1 est\u00e3o dispon\u00edveis para contas com planos compat\u00edveis, e a configura\u00e7\u00e3o \u00e9 feita pelo Dashboard<\/strong> ou por meio das APIs de Zero Trust.<\/p>\n

O gerenciamento de service tokens inativos \u00e9 uma resposta direta \u00e0 realidade de ambientes corporativos: tokens s\u00e3o criados para integra\u00e7\u00f5es, pipelines de CI\/CD e scripts de automa\u00e7\u00e3o, mas raramente s\u00e3o revogados quando o servi\u00e7o \u00e9 descontinuado. Isso gera uma superf\u00edcie de ataque oculta<\/strong> \u2014 credenciais v\u00e1lidas que podem ser exploradas se forem vazadas ou capturadas por malware. Com o novo recurso, o administrador define um per\u00edodo de inatividade entre 30 e 365 dias<\/strong> e escolhe se o Access deve apenas desativar ou excluir definitivamente o token quando ele ultrapassar esse limite.<\/p>\n

Para que um token seja eleg\u00edvel \u00e0 limpeza, tr\u00eas condi\u00e7\u00f5es precisam ser atendidas: o token deve ser mais antigo que o per\u00edodo configurado, n\u00e3o deve ter autenticado com sucesso durante esse per\u00edodo e n\u00e3o pode estar diretamente referenciado por uma regra de pol\u00edtica do Access. A limpeza roda gradualmente em segundo plano<\/strong>, o que significa que tokens eleg\u00edveis podem n\u00e3o ser desativados ou exclu\u00eddos imediatamente. Esse comportamento evita impacto em ambientes com milhares de tokens e d\u00e1 previsibilidade operacional para equipes de plataforma.<\/p>\n

J\u00e1 o suporte a servidores MCP privados conecta o Access ao mundo dos agentes de IA. O Model Context Protocol<\/strong> tornou-se um padr\u00e3o para que modelos de linguagem interajam com ferramentas e fontes de dados. At\u00e9 agora, portais MCP dependiam de servidores acess\u00edveis publicamente. Com a novidade, um portal pode consumir um servidor MCP hospedado em uma rede privada usando o Cloudflare Gateway<\/strong> para rotear o tr\u00e1fego at\u00e9 hostnames ou IPs privados, via Cloudflare Tunnel<\/strong>, Cloudflare Mesh<\/strong> ou outro conector da Cloudflare One.<\/p>\n

\u00c9 importante notar que os endpoints de autoriza\u00e7\u00e3o OAuth, como authorization e token endpoints, precisam permanecer acess\u00edveis na internet p\u00fablica. Se a Cloudflare registrar automaticamente o cliente OAuth por meio de Dynamic Client Registration (DCR)<\/strong>, o endpoint de registro tamb\u00e9m precisa ser p\u00fablico. Essa exig\u00eancia mant\u00e9m o fluxo de autentica\u00e7\u00e3o compat\u00edvel com provedores de identidade enquanto o tr\u00e1fego de dados do MCP permanece restrito \u00e0 rede privada. Para operadores de infraestrutura, essa separa\u00e7\u00e3o entre plano de controle e plano de dados \u00e9 um detalhe crucial de seguran\u00e7a.<\/p>\n

Cloudflare Access lan\u00e7amento: o que \u00e9 e como funciona na pr\u00e1tica<\/h3>\n

O Cloudflare Access<\/strong> \u00e9 um servi\u00e7o de controle de acesso baseado em identidade que substitui a VPN tradicional para aplica\u00e7\u00f5es web, APIs e servi\u00e7os internos. Em vez de conceder acesso \u00e0 rede inteira, o Access aplica pol\u00edticas granulares por usu\u00e1rio, grupo e contexto, integrando-se a provedores de identidade como Okta<\/strong>, Azure AD<\/strong>, Google Workspace<\/strong> e SAML<\/strong> gen\u00e9rico. Quando um usu\u00e1rio tenta acessar um hostname protegido, o Access valida a sess\u00e3o e aplica as regras antes de permitir o tr\u00e1fego.<\/p>\n

Na arquitetura Zero Trust da Cloudflare, o Access opera sobre a rede Anycast global, sem backhaul de tr\u00e1fego para um data center central. Isso reduz lat\u00eancia para usu\u00e1rios distribu\u00eddos, um diferencial significativo para empresas no Brasil que acessam aplica\u00e7\u00f5es hospedadas em S\u00e3o Paulo, Virg\u00ednia ou Frankfurt. A rede Cloudflare conta com pontos de presen\u00e7a (PoPs<\/strong>) em cidades brasileiras como S\u00e3o Paulo, Rio de Janeiro, Fortaleza e Porto Alegre, o que aproxima a valida\u00e7\u00e3o de identidade do usu\u00e1rio final.<\/p>\n

O Access suporta dois modelos principais: Self-hosted<\/strong>, em que o administrador protege aplica\u00e7\u00f5es pr\u00f3prias com pol\u00edticas definidas no Dashboard, e SaaS<\/strong>, para controlar acesso a aplica\u00e7\u00f5es de terceiros. Em ambos, a combina\u00e7\u00e3o de Cloudflare Tunnel<\/strong> para conectar origens privadas e Gateway<\/strong> para filtragem de DNS e HTTP forma a base do Cloudflare One<\/strong>, a plataforma SASE da empresa. O cliente WARP<\/strong> completa o cen\u00e1rio para dispositivos corporativos, estabelecendo um t\u00fanel seguro at\u00e9 a rede Cloudflare sem expor portas de entrada.<\/p>\n

Os novos recursos do Cloudflare Access lan\u00e7amento<\/strong> se encaixam nessa arquitetura ao ampliar a governan\u00e7a e a integra\u00e7\u00e3o. Service tokens s\u00e3o credenciais de m\u00e1quina usadas por scripts, pipelines e integra\u00e7\u00f5es server-to-server. Diferentemente de credenciais de usu\u00e1rio, eles n\u00e3o passam por login interativo, o que torna sua expira\u00e7\u00e3o e rota\u00e7\u00e3o um desafio operacional. O gerenciamento autom\u00e1tico resolve isso com pol\u00edtica declarativa de inatividade. J\u00e1 o suporte a MCP privado estende o papel do Access como camada de autoriza\u00e7\u00e3o para o tr\u00e1fego de agentes de IA.<\/p>\n

Para entender a relev\u00e2ncia, \u00e9 \u00fatil pensar no ciclo de vida de um token em uma empresa m\u00e9dia. Uma equipe de dados cria um token para que o Airflow acesse uma API interna protegida pelo Access. Seis meses depois, o pipeline \u00e9 desativado, mas o token permanece v\u00e1lido. Sem o novo recurso, esse token esquecido poderia ser usado por um atacante que obtivesse acesso ao cofre de segredos. Com a limpeza autom\u00e1tica, o Access monitora a \u00faltima autentica\u00e7\u00e3o bem-sucedida e desativa ou exclui o token quando ele atinge o limite definido.<\/p>\n

Gerenciamento autom\u00e1tico de service tokens: Cloudflare Access lan\u00e7amento em detalhes<\/h3>\n

O recurso de gerenciamento de service tokens inativos opera com uma l\u00f3gica simples, por\u00e9m rigorosa. O administrador configura um per\u00edodo de inatividade<\/strong> entre 30 e 365 dias. Esse per\u00edodo define a idade m\u00ednima de inatividade para que um token seja considerado eleg\u00edvel. Ou seja, se o per\u00edodo configurado for 90 dias, apenas tokens que n\u00e3o autenticam h\u00e1 mais de 90 dias entram na fila de limpeza.<\/p>\n

Al\u00e9m do crit\u00e9rio de idade, o token precisa satisfazer duas condi\u00e7\u00f5es adicionais. Primeiro, ele n\u00e3o pode ter realizado uma autentica\u00e7\u00e3o bem-sucedida durante o per\u00edodo configurado. Isso exclui tokens que falham silenciosamente ou que s\u00e3o usados esporadicamente. Segundo, o token n\u00e3o pode estar diretamente referenciado por uma regra de pol\u00edtica do Access. Se uma pol\u00edtica usa o token como credencial v\u00e1lida, a limpeza autom\u00e1tica o ignora para evitar quebra de acesso em produ\u00e7\u00e3o.<\/p>\n

A execu\u00e7\u00e3o \u00e9 gradual e ass\u00edncrona. A Cloudflare executa a limpeza em segundo plano, o que significa que tokens eleg\u00edveis podem permanecer ativos por algum tempo ap\u00f3s o vencimento do per\u00edodo antes de serem desativados ou exclu\u00eddos. Esse design evita picos de carga no backend de identidade e d\u00e1 aos administradores uma janela para revisar a a\u00e7\u00e3o, caso necess\u00e1rio. O comportamento \u00e9 documentado na refer\u00eancia Manage inactive service tokens<\/strong> dos changelogs oficiais.<\/p>\n

Os administradores podem escolher entre desativar<\/strong> ou excluir<\/strong> o token. A desativa\u00e7\u00e3o \u00e9 revers\u00edvel: o token continua existindo, mas n\u00e3o pode mais autenticar at\u00e9 ser reativado manualmente. A exclus\u00e3o \u00e9 permanente e remove o token do sistema. Para ambientes com requisitos de auditoria, a op\u00e7\u00e3o de desativar primeiro e excluir depois \u00e9 uma pr\u00e1tica recomendada, permitindo um per\u00edodo de observa\u00e7\u00e3o antes da remo\u00e7\u00e3o definitiva.<\/p>\n

Esse recurso complementa outras capacidades do Access, como pol\u00edticas por identidade<\/strong>, regras de acesso tempor\u00e1rio<\/strong> e approval flows<\/strong>. Em conjunto, elas formam uma camada de governan\u00e7a mais completa para credenciais de m\u00e1quina, um tema ainda negligenciado em muitas organiza\u00e7\u00f5es. A JRT Technology Solutions<\/strong> observa em implanta\u00e7\u00f5es corporativas que tokens de servi\u00e7o frequentemente representam a maior categoria de credenciais n\u00e3o gerenciadas, e a automa\u00e7\u00e3o desse ciclo de vida reduz materialmente o risco operacional.<\/p>\n

Cloudflare Access lan\u00e7amento: suporte a servidores MCP privados em portais<\/h3>\n

O segundo pilar do Cloudflare Access lan\u00e7amento<\/strong> \u00e9 a integra\u00e7\u00e3o com servidores MCP privados<\/strong>. O Model Context Protocol<\/strong> permite que agentes de IA \u2014 como assistentes de c\u00f3digo, copilotos de opera\u00e7\u00f5es e sistemas de automa\u00e7\u00e3o \u2014 se conectem a ferramentas e fontes de dados por meio de servidores MCP. Esses servidores exp\u00f5em recursos como fun\u00e7\u00f5es, prompts e recursos de dados a modelos de linguagem.<\/p>\n

At\u00e9 o an\u00fancio, os portais MCP da Cloudflare s\u00f3 conseguiam se conectar a servidores acess\u00edveis publicamente. Isso limitava o uso em ambientes corporativos, onde muitos dados e APIs vivem em redes privadas: bancos de dados internos, sistemas de ERP, APIs de backoffice e microsservi\u00e7os em clusters Kubernetes protegidos. O novo recurso permite que o portal use o Cloudflare Gateway<\/strong> para alcan\u00e7ar hostnames e IPs privados, roteando o tr\u00e1fego atrav\u00e9s da rede Cloudflare sem expor o servidor MCP \u00e0 internet p\u00fablica.<\/p>\n

Para habilitar a conex\u00e3o, o servidor MCP precisa estar conectado \u00e0 rede Cloudflare por meio de Cloudflare Tunnel<\/strong>, Cloudflare Mesh<\/strong> ou outro conector da su\u00edte Cloudflare One. O administrador configura um hostname privado<\/strong> ou uma rota CIDR<\/strong> no Gateway e, ao adicionar o servidor no portal, ativa a op\u00e7\u00e3o Route traffic through Cloudflare Gateway<\/strong>. A partir da\u00ed, o tr\u00e1fego entre o portal e o servidor MCP flui pela rede privada virtual da Cloudflare.<\/p>\n

H\u00e1 um detalhe de seguran\u00e7a importante: os endpoints do servidor de autoriza\u00e7\u00e3o OAuth, como authorization endpoint<\/strong> e token endpoint<\/strong>, precisam ser acess\u00edveis na internet p\u00fablica. Isso \u00e9 necess\u00e1rio para que o fluxo OAuth funcione com provedores de identidade e para que a Cloudflare possa registrar o cliente OAuth, se aplic\u00e1vel. Se a Cloudflare usar Dynamic Client Registration (DCR)<\/strong>, o endpoint de registro tamb\u00e9m deve ser p\u00fablico. A recomenda\u00e7\u00e3o \u00e9 manter o plano de controle OAuth p\u00fablico e o plano de dados do MCP privado.<\/p>\n

Esse modelo \u00e9 especialmente relevante para equipes que est\u00e3o adotando agentes de IA em opera\u00e7\u00f5es de infraestrutura. Um agente pode consultar um servidor MCP privado para executar diagn\u00f3sticos em um cluster interno, consultar m\u00e9tricas de um sistema de monitoramento ou acionar playbooks de remedia\u00e7\u00e3o, tudo sem abrir portas de entrada na rede corporativa. A integra\u00e7\u00e3o com o Access garante que cada intera\u00e7\u00e3o seja autorizada pela pol\u00edtica Zero Trust, mantendo o trilho de auditoria centralizado.<\/p>\n

Tabela t\u00e9cnica consolidada dos novos recursos do Cloudflare Access<\/h3>\n\n\n\n\n\n\n\n\n\n\n
Aspecto<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
Produto<\/td>\nCloudflare Access \u2014 Zero Trust \/ SASE (Cloudflare One)<\/td>\n<\/tr>\n
Recursos anunciados<\/td>\nGerenciamento autom\u00e1tico de service tokens inativos; suporte a servidores MCP privados em portais MCP<\/td>\n<\/tr>\n
Disponibilidade<\/td>\nJ\u00e1 dispon\u00edvel em contas Zero Trust compat\u00edveis (planos Enterprise e Business com Access); configura\u00e7\u00e3o via Dashboard e APIs<\/td>\n<\/tr>\n
Caso de uso principal<\/td>\nGovernan\u00e7a de credenciais de m\u00e1quina e integra\u00e7\u00e3o segura de agentes de IA com sistemas privados sem VPN<\/td>\n<\/tr>\n
Diferencial vs. alternativas<\/td>\nExecu\u00e7\u00e3o na rede Anycast global da Cloudflare, integra\u00e7\u00e3o nativa com WARP, Tunnel e Gateway, sem backhaul de VPN; gerenciamento declarativo de tokens e suporte a MCP privado nativo<\/td>\n<\/tr>\n
Como acessar<\/td>\nCloudflare Dashboard \u2192 Zero Trust \u2192 Access \u2192 Service Tokens; para MCP, Dashboard \u2192 Zero Trust \u2192 MCP Server Portals; ou via APIs Cloudflare One<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A tabela acima resume os dois recursos do Cloudflare Access lan\u00e7amento<\/strong>. Al\u00e9m dos detalhes funcionais, vale destacar que a entrega \u00e9 parte de um movimento maior da Cloudflare em dire\u00e7\u00e3o a uma plataforma unificada de CDN, seguran\u00e7a e computa\u00e7\u00e3o na borda. A empresa opera o AS13335<\/strong>, um dos maiores autonomous systems do mundo, e sua rede Anycast entrega conte\u00fado e valida identidade em menos de 50 ms<\/strong> para a maioria dos usu\u00e1rios brasileiros, dependendo da rota.<\/p>\n

Outra tabela relevante para o leitor t\u00e9cnico compara a abordagem da Cloudflare com as alternativas tradicionais de acesso remoto e CDN:<\/p>\n\n\n\n\n\n\n\n\n\n
Crit\u00e9rio<\/th>\nCloudflare Access<\/th>\nVPN legada<\/th>\n<\/tr>\n<\/thead>\n
Modelo de acesso<\/td>\nPor identidade e contexto, aplica\u00e7\u00e3o a aplica\u00e7\u00e3o, sem exposi\u00e7\u00e3o de rede<\/td>\nPor rede, acesso amplo a segmentos inteiros<\/td>\n<\/tr>\n
Lat\u00eancia no Brasil<\/td>\nValida\u00e7\u00e3o em PoPs locais ou regionais, baixa lat\u00eancia<\/td>\nBackhaul para data center central, frequentemente no exterior<\/td>\n<\/tr>\n
Gerenciamento de tokens<\/td>\nAutomatizado por pol\u00edtica de inatividade (novo recurso)<\/td>\nManual, frequentemente sem expira\u00e7\u00e3o<\/td>\n<\/tr>\n
Suporte a MCP privado<\/td>\nNativo via Gateway e Tunnel<\/td>\nInexistente ou requer adapta\u00e7\u00f5es complexas<\/td>\n<\/tr>\n
Granularidade de pol\u00edtica<\/td>\nAlta, por usu\u00e1rio, grupo, dispositivo e geolocaliza\u00e7\u00e3o<\/td>\nBaixa, geralmente por IP ou sub-rede<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Por que importa para equipes de seguran\u00e7a e opera\u00e7\u00f5es em 2026<\/h3>\n

O cen\u00e1rio de amea\u00e7as em 2026 exige que credenciais de m\u00e1quina recebam a mesma aten\u00e7\u00e3o que credenciais humanas. Tokens de servi\u00e7o s\u00e3o usados por integra\u00e7\u00f5es de CI\/CD, automa\u00e7\u00f5es de infraestrutura, scripts de monitoramento e ferramentas internas. Quando n\u00e3o gerenciados, eles se acumulam e se tornam um vetor de ataque<\/p>\n

\n

Sua empresa ainda n\u00e3o usa Cloudflare de forma estrat\u00e9gica?<\/p>\n

A JRT Technology Solutions implementa Cloudflare CDN, WAF, Zero Trust e Workers para empresas que precisam de performance, seguran\u00e7a e escalabilidade.<\/p>\n


\n <\/svg>
\n Falar com especialista
\n <\/a>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Descubra o lan\u00e7amento do Cloudflare Access: tokens inativos e MCP privado. Aprenda como essas novas funcionalidades podem proteger sua rede!<\/p>\n","protected":false},"author":1,"featured_media":3047,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"iawp_total_views":0,"footnotes":""},"categories":[1721],"tags":[2210,1793,2211,3512,198,3511],"class_list":["post-3048","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cdn-cloudflare","tag-autenticacao-em-nuvem","tag-cloudflare-access","tag-gerenciamento-de-acesso","tag-mcp-privado","tag-seguranca-na-nuvem","tag-tokens-inativos"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t