cloudflare-oidc-broker
Broker OIDC serverless en Cloudflare Workers que federiza logins sociales para apps self-hosted sin infraestructura. Cumple OAuth 2.1 con validación criptográfica upstream y mapeo granular de usuarios por aplicación.
Ficha actualizada 27 sept 2026, 5:33 · upstream 27 sept 2026, 5:01 · release sin release detectada
Qué es cloudflare-oidc-broker
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Este proyecto implementa un broker de identidad federada basado en Cloudflare Workers, D1 y KV. Permite a las aplicaciones downstream autenticarse contra proveedores sociales (Google, GitHub) sin exponer credenciales directas. A diferencia de Cloudflare Access, ofrece mapeo granular por app y aislamiento del claim sub mediante hashing SHA-256.
El flujo incluye validación criptográfica de tokens upstream y emisión de tokens RS256 bajo tu propio issuer. El sistema nunca almacena tokens upstream, intercambiándolos inmediatamente para garantizar la seguridad. Incluye consola administrativa protegida por Zero Trust o token API opcional.
- Autenticación segura para Home Assistant
- Integración con Nextcloud sin exponer credenciales Google
- Acceso federado a Synology DSM mediante OIDC
- Gestión centralizada de usuarios multi-proveedor para dashboards self-hosted
- Arquitectura serverless en Cloudflare Workers con cero infraestructura gestionada
- Mapeo granular usuario-aplicación (per-app mapping) mediante base de datos D1
- Aislamiento criptográfico del claim sub mediante hashing SHA-256 por cliente
- Cumplimiento estricto OAuth 2.1 con PKCE S256 y flujo Authorization Code
- Validación criptográfica upstream sin almacenamiento de tokens de proveedor
- Dependencia de límites de la capa gratuita de Cloudflare Workers
- Configuración manual de secretos y base de datos D1 requerida tras despliegue
- Necesidad de dominio personalizado para configurar el issuer correctamente
- No sustituye políticas globales de Zero Trust para todo el stack de seguridad
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Requiere Wrangler CLI, creación de D1 y KV namespace. Generar par clave RS256, configurar secrets (UPSTREAM_*, BROKER_PRIVATE_KEY_JWK), desplegar con wrangler deploy y añadir ruta en dashboard Cloudflare.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.