So fügst du einem Cloudflare Worker ein Secret hinzu
Einen API-Schlüssel für einen Worker so speichern, dass er nie im Code, im Chat oder in einem Browser-Tab liegt.
Ein Worker-Secret ist ein Wert, den Cloudflare verschlüsselt speichert und genau einem Worker als Umgebungsvariable bereitstellt. Du schreibst ihn einmal; danach kann niemand, auch du nicht, ihn im Dashboard wieder auslesen. So bewahrt seops selbst jeden Anbieter-Schlüssel auf, und so solltest du Schlüssel in deinen eigenen Workers halten.
Was in seops freigeschaltet wird
- Schlüssel bleiben aus Code, Commits, Chat-Verläufen und Browser-Tabs heraus
- Einen Schlüssel zu rotieren heißt, ihn unter demselben Namen neu anzulegen
- Funktioniert aus dem Dashboard genauso wie mit
wrangler secret put
Schritte
-
Die Einstellungen des Workers öffnen
Im Cloudflare-Dashboard zu Workers & Pages gehen, den Worker auswählen, dann Settings.
-
Variables and Secrets finden
Zu Variables and Secrets scrollen und auf + Add klicken.
-
Den Typ Secret wählen
Type auf Secret setzen. Unter Variable name den Namen eintippen, den dein Code liest (zum Beispiel
BING_WEBMASTER_API_KEY); den Wert in Value einfügen. -
Deployen
Auf Deploy klicken. Der Worker sieht das Secret innerhalb von Sekunden. Aus dem Terminal ist dasselbe
wrangler secret put BING_WEBMASTER_API_KEY.wrangler secret put BING_WEBMASTER_API_KEY
So nutzt du es in seops
- Im Worker als
env.BING_WEBMASTER_API_KEYlesen - Nie loggen; maskieren, wenn du zeigen musst, dass es existiert (seops zeigt nur die letzten 4 Zeichen)
Fragen
Ich habe den falschen Wert eingegeben
Unter demselben Namen noch einmal anlegen; der neue Wert ersetzt den alten beim nächsten Deploy.
Secret oder normale Variable?
Alles, was Zugriff gewährt (API-Schlüssel, Tokens, Passwörter), ist ein Secret. Einstellungen, die man problemlos zurücklesen darf (eine Region, ein Feature-Flag), können normale Variablen sein.