Aller au contenu
Project Delta
Tous les signaux
Signal publié

Cloudflare Access : option d’authentification stricte des jetons de service

Fournisseur
Cloudflare
Date de l'entrée
2 octobre 2026
Contrôle de la source
11/11/2026

Date de publication annoncée dans le flux officiel. La date d'entrée en vigueur et l'applicabilité contractuelle restent à vérifier.

En bref

Faits issus de la source officielle

Cloudflare introduit un paramètre de comportement strict pour les requêtes portant des jetons de service Access.

Ce qui change

Explication documentaire

Lorsque ce paramètre est activé, un échec d’authentification ou d’autorisation renvoie systématiquement une réponse HTTP 401 ou 403, plutôt qu’une redirection 302 vers une page de connexion. L’annonce précise également le rôle des politiques Service Auth.

Et après ?

Scénario de suivi · conditionnel

L'activation du mode strict peut faire apparaître des erreurs 401/403 là où une intégration recevait auparavant une redirection ; cela doit être testé sans supposer son activation par défaut sur l'existant.

À surveiller

Surveiller les échecs d'authentification des clients machine-à-machine et la cohérence des politiques Service Auth configurées.

Hypothèse de suivi opérationnel, et non annonce d'une future fonctionnalité ni d'un calendrier du fournisseur.

Pourquoi cette évolution mérite attention

Portée possible

Ce changement peut avoir un intérêt pour les intégrations machine-à-machine qui attendent un code d’erreur exploitable plutôt qu’un parcours de connexion interactif.

Ces repères mettent en contexte l'annonce officielle ; ils ne préjugent ni de l'applicabilité à un contrat déterminé ni d'une validation juridique humaine.

Points à vérifier

Selon vos contrats et votre environnement
  1. 01Les applications ou scripts utilisent-ils des jetons de service Access ?
  2. 02Leurs clients HTTP et leur supervision traitent-ils correctement les codes 401 et 403 ?
  3. 03Le paramètre doit-il être testé avec les politiques Service Auth réellement configurées ?

Source et traçabilité

Document officiel

Lire la publication du fournisseur (nouvel onglet)

Consulter l'extrait original du fournisseur
The strict service token authentication setting applies consistent behavior to requests made with service tokens. When the setting is on for a Zero Trust organization, Access handles requests with service token headers as follows: If authentication or authorization fails, Access always returns 401 or 403 instead of redirecting the client to the login page with 302. Only Service Auth policies can a

Extrait conservé tel qu'admis dans le catalogue. Il peut être tronqué : la publication liée fait foi pour le contenu intégral et ses éventuelles mises à jour.

Détection : 11/11/2026 18:13:45 · Vérification : 11/11/2026 18:14:08

Empreintes et historique du signal

Après : d7ab046999726061e435e349b9caac1c43fea13d5c1b0a2a48518779574a746b

  • 2026-11-11T17:14:08.824Z · published · Annonce datée dans un flux officiel, confirmée par une seconde lecture indépendante.