Gửi link demo từ máy local cho khách, nhưng ai có link cũng mở được? Ngày 2/10/2026, Cloudflare giới thiệu Protected Quick Tunnels: chỉ cần thêm cờ --allowed-mail vào câu lệnh quen thuộc, bản demo chỉ mở cho những email hoặc domain bạn chọn. Không bên nào cần tài khoản Cloudflare, và danh sách khách mời không rời khỏi máy bạn.
1. Quick Tunnels tiện, nhưng link công khai là rủi ro
Quick Tunnels ra mắt năm 2021, cho phép đưa một ứng dụng đang chạy trên máy local lên một URL trycloudflare.com ngẫu nhiên chỉ bằng một câu lệnh. Không cần tài khoản, không cần tên miền, không tốn phí.
Điểm yếu lâu nay là ai có link cũng mở được. Link có thể bị chuyển tiếp trong nhóm chat, dán nhầm vào kênh chung hoặc lộ qua ảnh chụp màn hình. Với bản demo chứa dữ liệu thật, bản staging chưa sẵn sàng công khai hay buổi làm việc riêng với khách hàng, đây là rủi ro thực tế.
Rủi ro càng lớn khi AI agent cũng tự mở tunnel để chia sẻ kết quả. Trên Hacker News, một người dùng đã đặt câu hỏi: bao lâu nữa thì agent của ai đó mở tunnel công khai cho cả thế giới xem một ứng dụng chưa an toàn? Protected Quick Tunnels là câu trả lời của Cloudflare.
2. Bật bảo vệ chỉ với một cờ --allowed-mail
Từ cloudflared phiên bản 2026.9.3, bạn chỉ cần thêm --allowed-mail vào câu lệnh đang dùng. Ví dụ chỉ cho một khách xem:
cloudflared tunnel --url http://localhost:8080 \ --allowed-mail khach@congty.vn
Muốn mời thêm người, lặp lại cờ hoặc mở cho cả domain công ty khách:
cloudflared tunnel --url http://localhost:8080 \
--allowed-mail khach@congty.vn \
--allowed-mail pm@congty.vn \ --allowed-mail '*@congty.vn'
Một vài lưu ý khi dùng:
- Đặt wildcard trong dấu nháy đơn (
'*@congty.vn') để terminal không tự xử lý ký tự*. - Không cần tạo bản ghi DNS, viết file cấu hình hay mở dashboard.
- Bỏ cờ
--allowed-mailthì Quick Tunnel công khai vẫn chạy như trước. - Tính năng miễn phí, giống Quick Tunnels.
3. Khách mở link thế nào? Nhập email, nhận mã PIN
Trải nghiệm phía khách rất đơn giản:
- Khách mở link, trang đăng nhập Cloudflare Access hiện ra.
- Khách nhập email và mã PIN một lần được gửi vào hộp thư.
- Nếu email nằm trong danh sách bạn cho phép, khách vào thẳng bản demo. Nếu không, khách nhận một thông báo chung, không lộ thông tin gì về danh sách.
Phiên truy cập kéo dài tối đa 4 giờ, ngắn hơn nếu phiên đăng nhập Access của khách hết hạn sớm hơn, và kết thúc ngay khi bạn dừng cloudflared. Muốn thêm hoặc bớt người, bạn dừng tunnel và chạy lại với danh sách mới.
Về an toàn, một tunnel đã bật bảo vệ không bao giờ tự chuyển về chế độ công khai. Nếu không xác nhận được chế độ xác thực, cloudflared sẽ từ chối khởi động thay vì trả cho bạn một URL công khai do nhầm lẫn.
Hạn chế cần biết: đăng nhập bằng email được thiết kế cho người dùng trình duyệt. Nếu bản demo là API, webhook hay MCP server được gọi bằng code, bước nhập PIN sẽ chặn các lời gọi đó. Trường hợp này cần giải pháp khác (xem phần chuyển sang Tunnel + Access bên dưới).
4. Danh sách khách mời không rời khỏi máy bạn
Điểm khác biệt nằm ở cách Cloudflare chia việc:
- Cloudflare Access xác minh danh tính: người này có thật sự sở hữu địa chỉ email đó không.
cloudflaredtrên máy bạn quyết định cho vào hay không: so email đã xác minh với danh sách bạn gõ trong câu lệnh.
Vì vậy Cloudflare chỉ biết tunnel của bạn có yêu cầu xác thực email, chứ không biết bạn mời những ai. Ứng dụng của bạn cũng không nhận được thông tin đăng nhập của khách, nên không phải tự làm luồng đăng nhập.
Với agency và freelancer, đây là điểm đáng giá: bạn kiểm soát ai xem được bản demo mà không phải lập policy trên dashboard, và không phải gửi danh sách email khách hàng lên bất kỳ hệ thống nào.
5. Cài làm mặc định cho AI agent và Wrangler
AI coding agent ngày càng hay tự mở Quick Tunnel để bạn xem thử kết quả trên điện thoại. Vì bảo vệ chỉ là một cờ, bạn có thể đặt nó thành mặc định bằng một dòng trong file hướng dẫn mà agent đọc, ví dụ AGENTS.md:
Khi mở Quick Tunnel, luôn thêm --allowed-mail ban@congty.vn.
Agent không phải lúc nào cũng làm đúng hướng dẫn, nên hãy kiểm tra lệnh nó đã chạy. cloudflared sẽ in ra tunnel có bật xác thực email hay không và có bao nhiêu quy tắc, nhưng không in các địa chỉ email.
Nếu làm việc trên Cloudflare Workers, bạn mở tunnel bảo vệ ngay từ Wrangler bản mới nhất:
npx wrangler tunnel quick-start http://localhost:8080 \ --allowed-mail khach@congty.vn
6. Khi nào nên chuyển sang Cloudflare Tunnel + Access?
Protected Quick Tunnels hợp nhất cho demo ngắn ngày. Cloudflare khuyến nghị dùng Cloudflare Tunnel kết hợp Cloudflare Access khi bạn cần:
- Hostname ổn định trên tên miền của bạn, thay cho URL
trycloudflare.comngẫu nhiên. - Quy tắc truy cập phong phú hơn, ví dụ theo nhóm trong hệ thống quản lý danh tính (Google Workspace, Microsoft Entra…).
Nếu chỉ cần truy cập agent hoặc máy ở nhà từ thiết bị của chính mình mà không cần URL công khai, Cloudflare gợi ý dùng Cloudflare Mesh.
Theo kinh nghiệm của LionTech, khi dự án đã có môi trường staging dùng lâu dài, có nhiều bên cùng truy cập, hoặc cần cho API và webhook đi qua, đó là lúc nên lên Tunnel + Access thay vì tiếp tục dùng Quick Tunnel.
7. Quy trình demo an toàn cho đội dev và agency
Với đội thường xuyên demo sản phẩm cho khách, có thể áp dụng ngay 5 bước:
- Cập nhật
cloudflaredlên bản 2026.9.3 trở lên. - Chỉ mời đúng người: email của khách hoặc cả domain công ty khách, không mở rộng hơn mức cần.
- Kiểm tra trước khi gửi link: mở thử bằng một email ngoài danh sách để chắc chắn bị chặn.
- Dừng
cloudflaredngay sau buổi demo để kết thúc quyền truy cập của tất cả mọi người. - Cập nhật file hướng dẫn của AI agent để mọi tunnel agent tự mở đều có
--allowed-mail.
Kết luận
Protected Quick Tunnels giữ nguyên sự tiện lợi của Quick Tunnel (một câu lệnh, không tài khoản, miễn phí) nhưng bịt được lỗ hổng lớn nhất: link không còn mở cho bất kỳ ai. Với agency và đội dev tại Việt Nam, đây là cách nhanh nhất để demo bản local cho khách mà không lo lộ dữ liệu.
Khi dự án lớn dần và cần môi trường ổn định, LionTech có thể giúp đội bạn xây lộ trình Zero Trust trọn vẹn, từ demo nhanh bằng Quick Tunnel đến triển khai Cloudflare Tunnel + Access cho staging và production. Liên hệ LionTech qua website liontech.vn.
