Cloudflare оголошує про повне зняття обмежень OAuth, розробники AI Agent більше не потребують ручної перевірки.

Cloudflare оголосила, що відкриває самостійне керування OAuth для всіх розробників, більше не вимагаючи ручного затвердження реєстрації. За цим стоїть вибухове зростання потреб у делегованому авторизації з боку інструментів AI-агентів (AI Agent), а також заміна покоління базового двигуна, яка торкнулася міграції 130 мільйонів рядків даних.
(Передісторія: Дані Cloudflare: 34% трафіку в мережі не є людським, AI-сканери зростають у 8 разів швидше)
(Додатковий контекст: UBS та TD Cowen одночасно підвищили цільову ціну Arm до 475 доларів, обґрунтовуючи це майбутніми доходами від власних CPU)

Зміст статті

Toggle

• Чому відкрили саме зараз?
• Заміна базового двигуна, яка торкнулася 130 мільйонів рядків даних
• Проблема ланцюжкового збою refresh token у MCP-клієнтах

Cloudflare, яка керує 20% світового інтернет-трафіку, цього тижня прийняла ключове рішення: дозволити всім розробникам самостійно створювати та керувати OAuth-клієнтами, більше не вимагаючи ручного затвердження реєстрації. Рушійною силою цього є величезний попит інструментів AI-агентів на «делеговану авторизацію». Коли AI-моделі потребують доступу до ресурсів Cloudflare замість користувача, раніше можна було покладатися лише на API-токени, які важко керувати та не підходять для агентських робочих процесів, що потребують чітко визначених меж згоди.

Чому відкрили саме зараз?

Cloudflare не є новачком у OAuth. Ще коли розробники використовували інструмент Wrangler CLI або підключалися до сервісів партнерів, як-от PlanetScale, OAuth вже працював у фоновому режимі. Але ці інтеграції були закритими моделями з «ручною реєстрацією», і сторонні розробники взагалі не могли самостійно створювати стандартні OAuth-процеси.

У офіційному блозі Cloudflare зазначається, що за останній рік вони поступово залучали ранніх партнерів, постійно вдосконалюючи механізми згоди, процедури відкликання та модель безпеки. Але з розширенням платформи для розробників і стрімким зростанням попиту на делегований доступ з боку інструментів AI-агентів, «відкриття OAuth для всіх користувачів» стало необхідною умовою успіху платформи, а не опцією.

Самостійне керування OAuth дозволяє розробникам надавати стандартний процес авторизації: користувачі безпосередньо надають доступ з обмеженим обсягом, додаток знає, що йому дозволено робити, а користувач може будь-коли відкликати доступ. Для створення SaaS-інтеграцій, внутрішніх платформ для розробників та різноманітних інструментів AI-агентів це чистіша інфраструктура, ніж API-токени.

Заміна базового двигуна, яка торкнулася 130 мільйонів рядків даних

Однак, щоб масштабувати OAuth, Cloudflare мала спочатку вирішити інженерну проблему: базовий двигун авторизації Hydra вже не витримував навантаження.

Hydra — це відкритий OAuth-двигун, який Cloudflare розгорнула багато років тому для підтримки OAuth-інфраструктури. У період обмеженого використання він працював стабільно, але з розширенням платформи для розробників і поширенням AI-робочих процесів обмеження продуктивності та функціональності оригінальної Hydra ставали все більш очевидними.

План оновлення був розділений на два етапи. Перший етап — оновлення Hydra до версії 1.X. Інженери виявили, що навіть міграція мінорної версії вимагає значних змін структури бази даних. Вони переписали скрипти SQL-міграції, використовуючи техніки без блокування запису, як-от CREATE INDEX CONCURRENTLY, та налаштували власну збірку Hydra, замінивши оригінальний запит SELECT * на явне зазначення полів, що зменшило непотрібну передачу даних.

Другий етап — розгортання Hydra 2.X за схемою blue-green deployment. Так зване blue-green розгортання означає одночасне підтримання роботи старої та нової систем, трафік поступово перемикається лише після підтвердження стабільності нової системи, і в будь-який момент можна миттєво відкотитися, зводячи ризик простою системи до майже нуля. Cloudflare зазначає, що в цій структурі вони створили систему черг на основі Cloudflare Queues, яка дозволяє правильно синхронізувати події відкликання між старою та новою системами.

Масштаб міграції бази даних був значним: всього оновлено 132,5 мільйонів рядків даних, вставлено 114,7 мільйонів нових рядків, створено 136,97 ГБ тимчасових даних.

Проблема ланцюжкового збою refresh token у MCP-клієнтах

Після завершення blue-green перемикання моніторинг виявив неочікуваний сигнал: зростання частоти помилок refresh token.

Розслідування показало, що нова версія Hydra застосовує суворіший механізм анулювання для повторного використання refresh token: якщо виявляється повторне використання одного й того ж refresh token, весь набір облікових даних (access token і refresh token) анулюється.

Це створювало проблеми для Wrangler та MCP-клієнтів, оскільки в умовах нестабільної мережі або конкурентних запитів ці інструменти можуть спровокувати повторне використання refresh token.

Рішення полягало в додаванні «механізму об'єднання refresh token» у Worker, який маршрутизує OAuth-трафік: коли виявляється, що одночасно надходять кілька запитів на оновлення одного й того ж токена, система об'єднує їх в один запит, уникаючи запуску логіки ланцюжкового збою. Це виправлення повернуло інтеграцію MCP-клієнтів до нормального стану.

Цей епізод також виявив реальність: модель поведінки авторизації інструментів AI-агентів структурно відрізняється від традиційних OAuth-процесів, якими керує людина. Агенти можуть за короткий час надсилати велику кількість конкурентних запитів на оновлення токенів, тоді як традиційна реалізація OAuth не була розроблена для такого сценарію використання.

Після завершення оновлення покращення показників продуктивності були значними. P95 затримки API знизилася з 185 мс до 101 мс (зменшення на 45%); постійне використання пам'яті впало з 888 МБ до 763 МБ (зменшення на 14%); виділення пам'яті Go heap зменшилося з 449 МБ до 271 МБ (зменшення на 40%); кількість Goroutine знизилася з 4015 до 3076 (зменшення на 23%); використання CPU впало з 1,07 ядра до 0,67 ядра (економія 37%).

Cloudflare заявляє, що відкриття самостійного керування OAuth дозволяє розробникам будувати інтеграції з більш прозорими межами згоди користувача та легшим відкликанням, що особливо важливо для здоров'я екосистеми інструментів AI-агентів. Коли AI-моделі виконують операції замість людини, «що цьому агенту дозволено робити» та «як відкликати його доступ» стають неминучими питаннями в рамках довіри.