Guia completo dos Quick Tunnels do Cloudflare para expor servidores locais
O que é um Quick Tunnel
O Quick Tunnel do Cloudflare é uma ferramenta que expõe um servidor local na internet com um único comando, cloudflared tunnel --url http://localhost:8000, sem conta, sem registro de DNS e sem porta aberta no roteador. Em poucos segundos, o usuário recebe uma URL pública aleatória como https://<quatro-palavras>.trycloudflare.com, válida até interromper o processo com Ctrl-C. O recurso existe nessa forma desde 2021, mas ganhou visibilidade em setembro de 2026, quando o Cloudflare lançou uma nova página em try.cloudflare.com e o post chegou à frente do Hacker News, com boa parte dos 300 comentários de pessoas que descobriam a ferramenta ali.
A mecânica inverte a direção da conexão: a máquina abre uma conexão QUIC de saída para o data center Cloudflare mais próximo, e as requisições do visitante descem por esse túnel até o servidor local. O roteador e o firewall nunca veem uma conexão de entrada, e apenas o origin passado em --url fica exposto. O TLS do visitante termina no Cloudflare, que consegue ler o tráfego em texto claro - diferença central em relação ao Tailscale Funnel, que só repassa bytes cifrados.
Diferenças e usos práticos
O mesmo binário cloudflared opera dois produtos. O quick tunnel é uma ferramenta de demonstração, sem garantia de uptime e explicitamente não recomendada para produção, segundo a própria primeira linha de log. O named tunnel exige conta gratuita e domínio no Cloudflare DNS, mas entrega hostname fixo, múltiplos serviços, reconexão automática como serviço de sistema, Cloudflare Access na frente e ausência das limitações do modo rápido.
Os casos de uso cobertos no guia incluem: receber webhooks de provedores como Creem, Paddle, Stripe e GitHub durante o desenvolvimento (com a ressalva de verificar sempre a assinatura, já que qualquer pessoa com a URL pode fazer POST); testar o dev server no celular por HTTPS real, liberando APIs de contexto seguro como câmera e Web Bluetooth; expor um Ollama local para chamadas de outra máquina - o que exige a flag --http-host-header localhost:11434, pois o Ollama rejeita hosts desconhecidos, e cuidado extra, já que não há autenticação; e compartilhar pastas de arquivos com um servidor estático simples.
Detalhes técnicos e armadilhas
Para servidores de desenvolvimento como Vite e Astro, o hostname aleatório dispara a proteção contra DNS rebinding, e o desenvolvedor precisa autorizar .trycloudflare.com em server.allowedHosts (ou usar a mesma flag de host header). Scripts que automatizam o túnel precisam parsear os logs no stderr e lidar com a "corrida de DNS": o registro pode levar de 3 a 33 segundos após a URL aparecer, e a zona permite cache negativo de 30 minutos, o que pode travar resolvidores que consultaram cedo demais.
Sobre streaming, medições do autor em 22 de setembro de 2026 com cloudflared 2026.9.1 mostram: respostas GET são bufferizadas até terminarem, o que quebra Server-Sent Events (o navegador usa GET no EventSource); respostas POST fazem streaming normalmente, o que explica por que APIs de LLM funcionam; e WebSockets funcionam nos dois sentidos, incluindo HMR do Vite. O autor avisa que isso é comportamento observado, não documentado, e pode mudar.
Limites e segurança
Os limites documentados: 200 requisições simultâneas (a 201ª recebe 429), sem SSE, sem SLA e uso restrito a testes e desenvolvimento. A URL muda a cada reinício, cada túnel serve um único origin e um corpo de 105 MB passou sem problema.
Em segurança, quem tem a URL pode usar o servidor; o autor recomenda senha via HTTP Basic, tunelar apenas a porta pretendida, encerrar o cloudflared quando terminar e nunca tunelar dados reais de clientes. O fundador do ngrok apareceu no Hacker News afirmando que túneis anônimos foram a maior fonte de abuso da plataforma, o que levou a empresa a removê-los; o Cloudflare mantém os anônimos desde 2021 e depende dos termos de uso. O autor conclui que não construiria fluxos que quebram se os quick tunnels desaparecerem - a migração natural é o named tunnel, ou alternativas como ngrok, Tailscale Funnel, Pinggy, localtunnel ou ssh -R em um VPS próprio.