Tester cf avec un inventaire Cloudflare en lecture seule

Le 28 septembre 2026, Cloudflare a présenté cf en bêta ouverte : une interface en ligne de commande pensée notamment pour les agents, avec des sorties JSON. Avant de lui confier votre infrastructure, faites-en un lecteur d’inventaire sur un environnement de test.

1. Définir un résultat limité

Votre premier objectif peut être de produire une liste des ressources d’une zone de test avec leurs identifiants. Excluez explicitement les achats, les déploiements et les changements DNS de cet essai. Cette procédure est notre proposition de qualification ; elle ne décrit pas une protection automatiquement activée par cf.

Préparez un compte technique doté uniquement des permissions de lecture nécessaires, limité aux ressources concernées lorsque le fournisseur le permet. Gardez le jeton dans le mécanisme d’authentification prévu par l’outil, jamais dans une consigne ou une capture d’écran. Vérifiez le compte et la zone sélectionnés avant de lancer l’agent.

Notez également la version installée et le périmètre attendu. Une bêta peut évoluer : une commande proposée par un modèle doit être confrontée à l’aide de la version réellement utilisée.

2. Donner un contrat de sortie à l’agent

Demandez d’abord un plan sans exécution, puis autorisez seulement la consultation nécessaire. Voici un exemple de contrat à adapter, pas une syntaxe de configuration cf :

Exigez que le compte rendu distingue un inventaire vide d’une lecture refusée. Un refus d’accès ne prouve pas qu’aucune ressource n’existe. Si la réponse est paginée, le rapport doit indiquer si toutes les pages ont été parcourues ; une première page n’est pas un inventaire complet.

Le JSON facilite le traitement, mais ne garantit ni le bon périmètre ni la complétude. Conservez les identifiants utiles et le statut des appels, en retirant les champs sensibles avant toute transmission à un modèle externe.

3. Comparer avec une référence humaine

Ouvrez le tableau de bord et choisissez quelques ressources connues, dont une récemment créée. Comparez leurs identifiants avec le résultat de l’agent. Vérifiez aussi qu’une ressource volontairement hors périmètre n’est pas accessible.

Faites ensuite un essai avec une permission manquante sur une ressource de test. Le comportement attendu est un arrêt explicite, sans demande automatique de privilèges supplémentaires. Archivez le résultat avec la version de l’outil et la date.

Vous pouvez accepter ce pilote lorsque le périmètre, la pagination et les refus sont correctement rapportés. Toute future autorisation d’écriture constitue un nouveau test, avec son propre contrôle et un retour arrière défini.

Sources : Cloudflare, présentation de cf.