---
title: "Protected Quick Tunnels: chia sẻ bản demo local an toàn chỉ với một cờ --allowed-mail"
description: "Quick Tunnels của Cloudflare nay hỗ trợ xác thực email bằng --allowed-mail, không cần tài khoản. LionTech tóm tắt và gợi ý khi nào dùng Tunnel + Access."
url: "https://liontech.vn/cloudflare-protected-quick-tunnels"
author: "Tinh Nguyen"
published: "2026-10-17T03:24:00.000Z"
updated: "2026-10-05T06:38:00.407Z"
category: "Cloudflare"
language: "vi"
---

# Protected Quick Tunnels: chia sẻ bản demo local an toàn chỉ với một cờ --allowed-mail

> Ngày 2/10/2026, Cloudflare ra Protected Quick Tunnels: thêm --allowed-mail (cloudflared 2026.9.3+) để chỉ email/domain được chọn mới mở được bản demo local, xác thực PIN qua Access, miễn phí. Khác Quick Tunnel công khai trước đây.

Gửi link demo từ máy local cho khách, nhưng ai có link cũng mở được? Ngày 2/10/2026, Cloudflare giới thiệu Protected Quick Tunnels: chỉ cần thêm cờ `--allowed-mail` vào câu lệnh quen thuộc, bản demo chỉ mở cho những email hoặc domain bạn chọn. Không bên nào cần tài khoản Cloudflare, và danh sách khách mời không rời khỏi máy bạn.

[**Xem thêm: Quick Tunnel là gì?**](https://liontech.vn/quick-tunnel-la-gi-cach-expose-localhost-ra-internet-mien-phi-voi-cloudflare)

## 1. Quick Tunnels tiện, nhưng link công khai là rủi ro

Quick Tunnels ra mắt năm 2021, cho phép đưa một ứng dụng đang chạy trên máy local lên một URL `trycloudflare.com` ngẫu nhiên chỉ bằng một câu lệnh. Không cần tài khoản, không cần tên miền, không tốn phí.

Điểm yếu lâu nay là **ai có link cũng mở được**. Link có thể bị chuyển tiếp trong nhóm chat, dán nhầm vào kênh chung hoặc lộ qua ảnh chụp màn hình. Với bản demo chứa dữ liệu thật, bản staging chưa sẵn sàng công khai hay buổi làm việc riêng với khách hàng, đây là rủi ro thực tế.

Rủi ro càng lớn khi AI agent cũng tự mở tunnel để chia sẻ kết quả. Trên Hacker News, một người dùng đã đặt câu hỏi: bao lâu nữa thì agent của ai đó mở tunnel công khai cho cả thế giới xem một ứng dụng chưa an toàn? Protected Quick Tunnels là câu trả lời của Cloudflare.

## 2. Bật bảo vệ chỉ với một cờ --allowed-mail

Từ `cloudflared` phiên bản 2026.9.3, bạn chỉ cần thêm `--allowed-mail` vào câu lệnh đang dùng. Ví dụ chỉ cho một khách xem:

cloudflared tunnel --url http://localhost:8080 \  
`  --allowed-mail `[`khach@congty.vn`](mailto:khach@congty.vn)

Muốn mời thêm người, lặp lại cờ hoặc mở cho cả domain công ty khách:

cloudflared tunnel --url http://localhost:8080 \  
  --allowed-mail [khach@congty.vn](mailto:khach@congty.vn) \  
  --allowed-mail [pm@congty.vn](mailto:pm@congty.vn) \  
`  --allowed-mail '*@congty.vn'`

Một vài lưu ý khi dùng:

- Đặt wildcard trong dấu nháy đơn (`'*@congty.vn'`) để terminal không tự xử lý ký tự `*`.
- Không cần tạo bản ghi DNS, viết file cấu hình hay mở dashboard.
- Bỏ cờ `--allowed-mail` thì Quick Tunnel công khai vẫn chạy như trước.
- Tính năng **miễn phí**, giống Quick Tunnels.

## 3. Khách mở link thế nào? Nhập email, nhận mã PIN

Trải nghiệm phía khách rất đơn giản:

1. Khách mở link, trang đăng nhập Cloudflare Access hiện ra.
2. Khách nhập email và mã PIN một lần được gửi vào hộp thư.
3. Nếu email nằm trong danh sách bạn cho phép, khách vào thẳng bản demo. Nếu không, khách nhận một thông báo chung, không lộ thông tin gì về danh sách.

Phiên truy cập kéo dài **tối đa 4 giờ**, ngắn hơn nếu phiên đăng nhập Access của khách hết hạn sớm hơn, và kết thúc ngay khi bạn dừng `cloudflared`. Muốn thêm hoặc bớt người, bạn dừng tunnel và chạy lại với danh sách mới.

Về an toàn, một tunnel đã bật bảo vệ **không bao giờ tự chuyển về chế độ công khai**. Nếu không xác nhận được chế độ xác thực, `cloudflared` sẽ từ chối khởi động thay vì trả cho bạn một URL công khai do nhầm lẫn.

**Hạn chế cần biết:** đăng nhập bằng email được thiết kế cho người dùng trình duyệt. Nếu bản demo là API, webhook hay MCP server được gọi bằng code, bước nhập PIN sẽ chặn các lời gọi đó. Trường hợp này cần giải pháp khác (xem phần chuyển sang Tunnel + Access bên dưới).

## 4. Danh sách khách mời không rời khỏi máy bạn

Điểm khác biệt nằm ở cách Cloudflare chia việc:

- **Cloudflare Access xác minh danh tính:** người này có thật sự sở hữu địa chỉ email đó không.
- **`cloudflared`****trên máy bạn quyết định cho vào hay không:** so email đã xác minh với danh sách bạn gõ trong câu lệnh.

![Cloudflare Access xác minh danh tính](https://liontech.vn/media/cloudflare-access-xac-minh-danh-tinh.webp)

Vì vậy Cloudflare chỉ biết tunnel của bạn có yêu cầu xác thực email, chứ không biết bạn mời những ai. Ứng dụng của bạn cũng không nhận được thông tin đăng nhập của khách, nên không phải tự làm luồng đăng nhập.

Với agency và freelancer, đây là điểm đáng giá: bạn kiểm soát ai xem được bản demo mà không phải lập policy trên dashboard, và không phải gửi danh sách email khách hàng lên bất kỳ hệ thống nào.

## 5. Cài làm mặc định cho AI agent và Wrangler

AI coding agent ngày càng hay tự mở Quick Tunnel để bạn xem thử kết quả trên điện thoại. Vì bảo vệ chỉ là một cờ, bạn có thể đặt nó thành mặc định bằng một dòng trong file hướng dẫn mà agent đọc, ví dụ `AGENTS.md`:

`Khi mở Quick Tunnel, luôn thêm --allowed-mail `[`ban@congty.vn`](mailto:ban@congty.vn)`.`

Agent không phải lúc nào cũng làm đúng hướng dẫn, nên hãy kiểm tra lệnh nó đã chạy. `cloudflared` sẽ in ra tunnel có bật xác thực email hay không và có bao nhiêu quy tắc, nhưng không in các địa chỉ email.

Nếu làm việc trên Cloudflare Workers, bạn mở tunnel bảo vệ ngay từ Wrangler bản mới nhất:

npx wrangler tunnel quick-start http://localhost:8080 \  
`  --allowed-mail `[`khach@congty.vn`](mailto:khach@congty.vn)

## 6. Khi nào nên chuyển sang Cloudflare Tunnel + Access?

Protected Quick Tunnels hợp nhất cho demo ngắn ngày. Cloudflare khuyến nghị dùng Cloudflare Tunnel kết hợp Cloudflare Access khi bạn cần:

- **Hostname ổn định** trên tên miền của bạn, thay cho URL `trycloudflare.com` ngẫu nhiên.
- **Quy tắc truy cập phong phú hơn**, ví dụ theo nhóm trong hệ thống quản lý danh tính (Google Workspace, Microsoft Entra…).

Nếu chỉ cần truy cập agent hoặc máy ở nhà từ thiết bị của chính mình mà không cần URL công khai, Cloudflare gợi ý dùng Cloudflare Mesh.

Theo kinh nghiệm của LionTech, khi dự án đã có môi trường staging dùng lâu dài, có nhiều bên cùng truy cập, hoặc cần cho API và webhook đi qua, đó là lúc nên lên Tunnel + Access thay vì tiếp tục dùng Quick Tunnel.

## 7. Quy trình demo an toàn cho đội dev và agency

Với đội thường xuyên demo sản phẩm cho khách, có thể áp dụng ngay 5 bước:

1. **Cập nhật** **`cloudflared`** lên bản 2026.9.3 trở lên.
2. **Chỉ mời đúng người:** email của khách hoặc cả domain công ty khách, không mở rộng hơn mức cần.
3. **Kiểm tra trước khi gửi link:** mở thử bằng một email ngoài danh sách để chắc chắn bị chặn.
4. **Dừng** **`cloudflared`****ngay sau buổi demo** để kết thúc quyền truy cập của tất cả mọi người.
5. **Cập nhật file hướng dẫn của AI agent** để mọi tunnel agent tự mở đều có `--allowed-mail`.

## Kết luận

Protected Quick Tunnels giữ nguyên sự tiện lợi của Quick Tunnel (một câu lệnh, không tài khoản, miễn phí) nhưng bịt được lỗ hổng lớn nhất: link không còn mở cho bất kỳ ai. Với agency và đội dev tại Việt Nam, đây là cách nhanh nhất để demo bản local cho khách mà không lo lộ dữ liệu.

Khi dự án lớn dần và cần môi trường ổn định, LionTech có thể giúp đội bạn xây lộ trình Zero Trust trọn vẹn, từ demo nhanh bằng Quick Tunnel đến triển khai Cloudflare Tunnel + Access cho staging và production. Liên hệ **LionTech** qua website liontech.vn.

## Nguồn

- [Cloudflare Blog – Protected Quick Tunnels: simple accountless authentication for your next dev project](https://blog.cloudflare.com/protected-quick-tunnels/) (2/10/2026)

---
Nguồn: [LionTech](https://liontech.vn/cloudflare-protected-quick-tunnels) · Liên hệ: support@liontech.vn