Cloudflare está lanzando su Cloudflare OHTTP Gateway, un servicio gestionado que realiza descapsulación criptográfica para tráfico de Oblivious HTTP (OHTTP), anunció la empresa el 2 de octubre de 2026.
OHTTP es un protocolo estándar de la IETF diseñado para permitir que los servidores de aplicaciones reciban solicitudes HTTP sin conocer identificadores del cliente como la dirección IP o la huella digital TLS. Las solicitudes viajan a través de dos saltos independientes: un relé que reenvía tráfico cifrado de forma ciega, y una puerta de enlace que lo descifra y devuelve respuestas cifradas. Esta separación de confianza garantiza que ninguna parte vea simultáneamente los metadatos del cliente y el contenido de la solicitud.
En un intercambio típico cliente-servidor, un servidor de app conoce la dirección IP del cliente, el cifrado TLS y otros datos de huella digital. El blog de Cloudflare explica que un relé OHTTP elimina estos identificadores antes de reenviar las solicitudes, de modo que el servidor de app ve solo la ubicación del relé y una huella digital TLS genérica. La empresa ofrece un ejemplo concreto: en lugar de un cliente de Campbell, California con un cifrado único, el servidor recibe una solicitud desde un relé en Austin, Texas con un cifrado diferente, rompiendo el vínculo entre la solicitud y la identidad del usuario.
La puerta de enlace utiliza cifrado híbrido de clave pública (HPKE) para encapsular solicitudes de modo que solo el cliente y el servidor de app puedan leerlas. El relé ve texto cifrado, la puerta de enlace ve el contenido descifrado y el servidor de app ve HTTP normal. Esto crea un modelo de privacidad doblemente ciego: ninguna parte ve ambos lados de la misma transacción.
Cloudflare sitúa la puerta de enlace como solución para desarrolladores que ya tienen sus servidores de app detrás del CDN o Workers de Cloudflare. Anteriormente, los clientes que usaban el relé OHTTP de Cloudflare (antes Privacy Gateway) tenían que suministrar su propia puerta de enlace para mantener la separación de confianza requerida. Ahora pueden usar un relé de terceros con la puerta de enlace gestionada de Cloudflare. Se citan el Private Cloud Compute y el SDK LiveCallerID de Apple como casos de uso existentes.
La puerta de enlace ofrece escalado automático, gestión de claves y protección contra abusos. Los clientes la configuran habilitando el complemento y haciendo que los clientes envíen solicitudes OHTTP bien formadas a https://your-zone.com/.well-known/ohttp-gateway. El servicio se niega a descifrar solicitudes desde Cloudflare Workers o hosts proxyados en Cloudflare, preservando el modelo de privacidad al garantizar que Cloudflare nunca vea simultáneamente identificadores del cliente y contenido descifrado.
El rendimiento depende del uso de OHTTP fragmentado para procesamiento incremental, que Cloudflare recomienda. La empresa también implementó prevención de abusos: un cliente que envía solicitudes a example.com solo puede apuntar a subdominios de esa zona, no a dominios arbitrarios como wikipedia.com.
Para desarrolladores que quieran seguir con OHTTP, Cloudflare indica que la puerta de enlace está lista para uso en producción, aunque los clientes deben seguir suministrando su propio relé e implementando un cliente OHTTP. La empresa proporciona una biblioteca de cliente de muestra y código de relé de muestra para ayudar a comenzar.