Cloudflare включил поддержку ML-DSA-44 в своих резолверах: каждый такой DNSSEC-сигнатурный блок весит 2420 байт — в 38 раз больше ECDSA P-256. Resolver 1.1.1.1 теперь проверяет постквантовые подписи, не позволяя откатываться на классические алгоритмы. Цель — полная постквантовая защита DNS к 2029 году.
Новый реестр модулей в Workers runtime включает import.meta.url/main/resolve, корректную валидацию import attributes, require(esm) по правилам Node.js и source phase imports для WebAssembly. Включается флагом new_module_registry, а лимит сжатого бандла убран: до 64 MiB на всех планах. Все стабильные Node.js API теперь включены по умолчанию.
Новая система вместо статической догадки X25519 измеряет поддержку алгоритмов на каждом origin. HelloRetryRequests упали с 52% до 3.7%, задержка p90 сократилась на 150 мс. Постквантовые соединения теперь включаются автоматически для сотен тысяч доменов.
Новый сервис Cloudflare использует модели GPT-5.6 Cyber для рекогносцировки и валидации уязвимостей в коде клиентов. Система учитывает активные маршруты, трафик и существующие WAF-правила, чтобы ранжировать 4000 находок. Патчи и митигации предлагаются автоматически, но внедрение остаётся за клиентом.
Прототип Cache Transcoding сжимает текстовые активы (HTML, JSON, CSS, JS) алгоритмом zstd уровня 3 перед записью на диск. Средний коэффициент сжатия — 2,83x. Кодирование стоит 4,31 нс/байт (один раз при заполнении), декодирование — 1,56 нс/байт (при каждой отдаче). Это расширяет эффективную ёмкость кеша и уменьшает трафик между дата-центрами.
Cloudflare представила Adaptive Intelligence — новый движок обнаружения ботов, который не пытается построить «непробиваемую стену», а делает каждую атаку медленной и дорогой. Система динамически меняет сигнатуры, не давая атакующим обратной связи для адаптации.
Cloudflare расширила BotBase: теперь у операторов ботов есть отдельный раздел в панели — Protect & Connect → Application Security → BotBase. Там можно просматривать каталог ботов, отправлять новую заявку, смотреть историю со статусами Waiting for review, Accepted и Rejected, а ещё редактировать уже отправленную запись или отменять её, пока она ждёт проверки. Идея простая: если сайты хотят видеть, кто к ним стучится, то ботам тоже пришлось бы научиться объясняться по-человечески.
Пять оптимизаций структуры хранения сократили расход памяти на запись кэша более чем вдвое. Замена Vec на Box<[T]> и объединение списков ответов дали 15 TB экономии, а в сумме по флоту высвободилось 100 TB — эквивалент 130 серверов Gen 13.
Новая функция Bot Preference Sync автоматически обновляет robots.txt в соответствии с тем, что вы настроили для AI-ботов (Search, Agent, Training). Доступна всем тарифам, включая Free. Призвана устранить расхождения между заявленными правилами и реальной блокировкой.
Cloudflare опубликовала исследование: исследователи нашли брешь в механизме Dynamic Process Isolation (DyPrIs) и смогли надёжно утекать 12 бит/с с точностью 99%. В ответ внедрили V8 Sandbox и дополнительную изоляцию внутри процесса. За три лет активной эксплуатации не обнаружено.
Пользователи заметили, что при переводе nameservers на Cloudflare в сайт молча добавляется Real User Measurement. Представитель Cloudflare подтвердил: для бесплатных планов RUM включен по умолчанию с сентября, отключается вручную и заодно открывает Observatory; платные планы — только opt-in.
Теперь можно включить Cloudflare Access на уровне аккаунта, чтобы все Workers были за корпоративным логином по умолчанию — без участия разработчика. Доступны пресеты для превью и продакшена, а личность пользователя доступна в коде через ctx.access. Открыт пример internal static site platform.
В отчете за первое полугодие 2026 года Cloudflare пишет, что сгасила 935 network-layer DDoS-атак мощнее 1 Тбит/с и увидела скачок на 519% между Q1 и Q2. DNS Floods теперь уже не экзотика: на них пришлось 34,3% всей network-layer активности, а CLDAP Floods выросли на 580% и вылезли в топ в Q2.
Cloudflare сливает Workers AI и AI Gateway: теперь можно вызывать модели через единый AI binding или REST API /ai/. Для всех запросов автоматически включается observability и логирование, даже без явного создания gateway.
Новый инструмент Agent Readiness сканирует robots.txt, sitemap, заголовки и Markdown — выдаёт оценку от «Not Ready» до «Agent-Native». AEO-вкладка показывает, рекомендует ли AI-ассистент ваш сайт или конкурента, хотя раньше это было невозможно отследить.
Новый подход Web Integrity & Trust: вместо деления на «человек/бот» анализируется непрерывное поведение. В BotBase теперь каталог всех известных ботов и агентов с фактами, а не только «хороших» — прозрачность объявления себя считается ключевым признаком доверия.
Kitesurf — браузер без Chrome, работающий в V8 на Cloudflare Workers. Разработан за 12 недель; на основе порта Rust-движка obscura. Эффективнее Chromium для задач агентов: скриншоты, извлечение HTML. Доступен бесплатно в бета-версии в Browser Run.
Cloudflare OS даёт каждому сотруднику агента и рабочее пространство, привязанное к контексту компании. Платформа включает изолированный рантайм, фреймворк безопасности и поддержку MCP-серверов. Внутри Cloudflare её используют тысячи человек.
Новая интеграция с Cloudflare Access позволяет привязать каждый запрос к конкретному пользователю через SAML-провайдера. User Insights строит поведенческий профиль для каждого аккаунта и выявляет аномалии — от сбесившегося агента до скачка трафика.
Новый CI SDK на Cloudflare Workflows позволяет запускать сборку, линтинг, тесты и деплой прямо на платформе. Пайплайн описывается на TypeScript вместо YAML, каждый шаг выполняется в изолированном sandbox. Поддерживается кэширование зависимостей, self-healing через AI-агента и условный деплой.
Cloudflare анонсировала набор инструментов для «софтверных фабрик»: CI/CD для миллионов репозиториев, OpenTelemetry-трейсы в локальной разработке, Agent Traces для наблюдения за агентами. Идея — перейти от SDLC, где человек управляет каждым шагом, к ADLC, где агенты автономно проходят весь цикл от идеи до деплоя.
Новый open-source пакет даёт каждому агенту виртуальный компьютер с общей файловой системой, работающей поверх изолятов и контейнеров. Агент сам выбирает среду: для файловых операций — быстрый изолят, для Linux/npm — контейнер, а Cloudflare обещает бесконечное горизонтальное масштабирование, в отличие от традиционных контейнеров.
Cloudflare посвящает неделю AI-агентам. Компания заявляет, что текущее облако и веб заточены под человека, а агентам нужны другие примитивы — скорость, структура, доступ. В течение недели обещают рассказать про «Agent Cloud», новый цикл разработки (ADLC) и безопасную интеграцию.
Cloudflare полностью перевёл cdnjs на свою платформу — Workers, Workflows, D1, Queues, R2, KV и Containers. CDN обслуживает 12% всех сайтов, 108 000 запросов в секунду, 9 млрд в день. Миграция заняла годы: раньше пайплайн публикации висел на GCP, теперь всё работает внутри Cloudflare. LLM-агенты активно используют cdnjs для генерации HTML-демок.
Cloudflare запустил поддержку ML-DSA (Module-Lattice-Based Digital Signature Algorithm) в Authenticated Origin Pulls и Custom Origin Trust Store. Это первый шаг к полной постквантовой безопасности к 2029 году — соединение между Cloudflare и origin теперь защищено от квантовых атак. Благодаря пулингу соединений накладные расходы на подписи амортизируются.
Cloudflare выпустил WAF-правила для CVE-2026-60137 (SQL-инъекция, версии 6.8+) и CVE-2026-63030 (удалённое выполнение кода, версии 6.9+). Исправления вышли в 7.0.2, 6.9.5, 6.8.6. WordPress принудительно обновляет затронутые сайты. Cloudflare-правила включены по умолчанию для всех тарифов, включая бесплатный.
Willison описывает, как Managed Challenge от Cloudflare начал срабатывать даже на простые запросы вроде ?q=term. Он ковырял правила вместе с Claude Code, чтобы не устраивать пользователям квест на тему «докажи, что ты не бот», когда они всего лишь ищут по сайту.
Разбор того, как Turnstile у Cloudflare упирается в fingerprintable WebGL, а не просто в «выберите все светофоры». Автор показывает, что проверка завязана на графический стек и может быть использована как дополнительный идентификатор устройства, то есть антибот внезапно становится еще и системой слежки за браузером.
Еще один сигнал, что тема Turnstile и WebGL явно задела людей: у обсуждения на HN 575 очков и 326 комментариев. Сам кейс крутится вокруг того, что антибот-проверка использует fingerprintable WebGL, а значит в браузере теперь нужно не только проходить капчу, но и терпеть маленький инвентарный номер своего GPU.