Private Origins, serviço da Cloudflare, agora está em disponibilidade geral (GA), permitindo que clientes apontem um registro DNS proxied para um endereço IP privado e façam com que a Cloudflare alcance a origem por meio de uma conexão Cloudflare One já existente, de acordo com a postagem do blog da Cloudflare que anuncia o lançamento. A origem nunca expõe um IP público, e os serviços de aplicação da empresa — WAF, gerenciamento de bots, limitação de taxa, cache e Workers — se aplicam a esse tráfego da mesma forma que se aplicam a origens públicas.
O mecanismo é um atributo de registro DNS. Um registro A ou AAAA proxied padrão recebe um flag private_routing, e a plataforma de proxy da Cloudflare consulta o que a postagem chama de Origin API da Cloudflare para decidir para onde enviar o tráfego. Quando essa resposta da API inclui private_routing: true, o proxy entrega a requisição à camada de rede privada da Cloudflare em vez de tentar uma conexão direta pela internet pública. Essa camada então roteia a conexão pela conectividade privada que o cliente já utiliza: IPsec, GRE, Cloudflare Tunnel, CNI ou Cloudflare Mesh, segundo a postagem.
O roteamento de rede privada é ativado automaticamente para três faixas de endereço: endereços IPv4 privados RFC 1918, endereços CGNAT RFC 6598 (100.64.0.0/10) e endereços IPv6 locais únicos RFC 4193 (fc00::/7). A postagem da Cloudflare é explícita ao afirmar que isso não pode ser desativado para essas faixas — tentativas de desligá-lo pela API retornam um erro. Para origens que usam um IP público alcançável apenas por meio de uma rede privada, a configuração precisa ser ativada manualmente. A terminação TLS, o WAF, as regras e o cache continuam rodando na rede da Cloudflare independentemente do caminho.
Do lado do operador, o Cloudflare WAN não exige nenhum software conector na origem; o Cloudflare Mesh executa um conector dentro da rede privada que pode atender múltiplas origens. De qualquer forma, equipes que se conectam via Cloudflare WAN ou Mesh precisam configurar uma rota de retorno para as faixas de origem da Cloudflare — 100.64.0.0/12 para IPv4 e 2606:4700:cf1:5000::/64 para IPv6. A postagem sinaliza isso diretamente a partir de sua própria experiência em beta: «Uma rota ausente para a faixa de origem da Cloudflare foi a falha de configuração mais comum que vimos», e a recomendação geral quando as requisições expiram sem que nada chegue à origem é verificar primeiro essa rota de retorno.
O conjunto de recursos tem lacunas reais na GA. Argo Smart Routing e Dedicated CDN Egress IPs não são suportados, e verificações de saúde de origem exigem Load Balancing — limitações que a Cloudflare lista diretamente na postagem, remetendo à sua documentação para desenvolvedores para o conjunto completo. O acesso também não é self-serve no sentido usual: o direito de uso do Private Origins precisa ser ativado pela equipe de conta do cliente, e as contas precisam ter o Unified Routing habilitado, a menos que estejam se conectando especificamente via Cloudflare Tunnel, que não precisa disso.
O que foi lançado hoje cobre apenas o tráfego público que alcança origens privadas — requisições da internet vindas de parceiros, clientes ou, como a postagem especifica, backends de agentes de IA e servidores MCP atingindo infraestrutura que nunca foi construída para ficar voltada para a internet. O tráfego privado-para-privado, em que serviços ou agentes em uma rede privada alcançam aplicações em outra rede privada por meio da Cloudflare, ainda está em desenvolvimento. A Cloudflare afirma que o objetivo é um beta fechado para isso no início de 2027, aberto a clientes que falarem com sua equipe de conta.
Para equipes que já operam infraestrutura de origem atrás da Cloudflare, a mudança prática é estreita e específica: isso elimina a necessidade de expor um IP público, abrir uma porta de firewall ou executar o cloudflared junto à origem apenas para obter WAF e limitação de taxa em uma API interna ou backend de agente, mas isso só fecha a etapa público-para-privado — qualquer coisa que cruze entre duas redes privadas ainda depende do beta de 2027.