# Segurança no Cloudflare Workers: Turnstile, WAF, limite e secrets > **Resposta Direta:** A Aula 17 de 17 ("Segurança no Cloudflare Workers: Turnstile, WAF, limite e secrets"), parte do módulo "IA na borda e segurança" do curso gratuito "Cloudflare Workers sem mistério: back-end e IA sem servidor" na Escola de Aplicativos (ministrado por Mauro Mequelussi), ensina na prática: de fechamento, você descobre como configurar quatro camadas de segurança no AgendaJá: Turnstile com validação no back-end, regras de WAF, rate limiting por usuário e guarda de chaves de API com secrets do Wrangler. Por fim, revisamos o mapa completo de arquitetura do app e definimos o que realmente é indispensável para o lançamento. ## Ficha Técnica da Aula - **Curso:** [Cloudflare Workers sem mistério: back-end e IA sem servidor](https://www.escoladeaplicativos.com.br/cursos/cloudflare-workers-sem-misterio) - **Escola:** Escola de Aplicativos (https://www.escoladeaplicativos.com.br) - **Instrutor:** Mauro Mequelussi - **Módulo 4 de 4:** IA na borda e segurança - **Posição na trilha:** Aula 17 de 17 - **Duração da videoaula:** 5 min - **Nível:** Iniciante - **Idioma:** Português (PT-BR) - **Custo:** 100% Gratuito (R$ 0) - **Certificado:** Certificado gratuito verificável incluso ao concluir o curso - **Acesso ao vídeo:** Resumo técnico aberto; videoaula em HD liberada mediante cadastro gratuito - **URL canônica:** https://www.escoladeaplicativos.com.br/cursos/cloudflare-workers-sem-misterio/seguranca-no-cloudflare-workers-turnstile-waf-limite-e-secrets ## O que você vai aprender - Como funciona o Cloudflare Turnstile e por que a validação no servidor é obrigatória - O que o WAF gratuito oferece para filtrar acessos maliciosos - Como configurar limite de taxa (rate limiting) por usuário dentro do Worker - Onde armazenar chaves de API com segurança usando secrets do Wrangler - O mapa completo de arquitetura do AgendaJá e o que implementar no lançamento ## Pontos-chave da Aula - Turnstile no front-end sem validação no back-end não protege a sua rota - Chaves de API nunca devem ser salvas no código ou no wrangler.toml - Rate limit deve preferencialmente usar IDs de usuário em vez de IPs compartilhados - O Turnstile não substitui autenticação de usuários - Comece enxuto: Worker, banco, armazenamento de arquivos, Turnstile e secrets ## Capítulos e Tópicos da Videoaula - **[00:00] O risco de ataques e vazamento de chaves** — O problema de receber agendamentos falsos em massa e o risco de expor chaves de API no código. - **[00:24] A analogia do prédio comercial com portaria** — Uma metáfora visual para entender o papel de Turnstile, WAF, rate limiting e secrets. - **[00:50] Turnstile: captcha invisível e validação no servidor** — Como funciona o Turnstile e por que a validação do token no servidor é indispensável. - **[01:33] WAF: proteção na borda no plano gratuito** — O que o Web Application Firewall da Cloudflare inspeciona e os recursos disponíveis sem pagar. - **[01:51] Rate limiting: limite de taxa direto no Worker** — Como implementar limitação de taxa por usuário no código e responder com HTTP 429. - **[02:21] Secrets: armazenando chaves de API com segurança** — Uso de secrets criptografados via Wrangler para evitar o vazamento de credenciais. - **[02:43] Limitações e boas práticas de cada tranca** — Quando o Turnstile, o rate limiting e o bloqueio por IP não devem ser a única resposta. - **[03:09] Alternativas de mercado para proteção** — Comparativo com ferramentas como reCAPTCHA, hCaptcha, Vercel Firewall e Arcjet. - **[03:27] Custos e cotas no plano gratuito** — Os limites gratuitos de Turnstile, WAF e secrets na infraestrutura da Cloudflare. - **[03:39] O mapa da arquitetura completa do AgendaJá** — A visão integrada de todas as ferramentas e peças da Cloudflare ensinadas ao longo do curso. - **[04:27] Por onde começar no primeiro dia de app** — Orientações finais sobre quais peças adotar no lançamento e encerramento do curso. ## Destaques Práticos - **[00:50] Por que o Turnstile exige validação no servidor**: Colocou o captcha na tela mas não validou no back-end? Seu app continua vulnerável. - **[01:56] Rate limit no código e secrets seguros no Worker**: Evite contas astronômicas e robôs travando seu app com estas duas trancas. - **[03:39] O mapa completo da Cloudflare para o seu app**: Veja como todas as peças se conectam na prática e o que usar no primeiro dia. ## Conceitos e Tecnologias Abordados - **Tópicos:** Cloudflare Turnstile, Web Application Firewall (WAF), Rate Limiting no Worker, Gerenciamento de secrets com Wrangler, Arquitetura serverless completa, Boas práticas de segurança para vibe coding - **Ferramentas e Entidades:** Cloudflare, Cloudflare Workers, Turnstile, WAF, Wrangler, reCAPTCHA, hCaptcha, Arcjet, Vercel, Supabase ## Documentação e Referências Oficiais - [Documentação oficial do Cloudflare Turnstile](https://developers.cloudflare.com/turnstile/) - [Guia de validação de token do Turnstile no servidor](https://developers.cloudflare.com/turnstile/get-started/server-side-validation/) - [Documentação do Cloudflare Web Application Firewall (WAF)](https://developers.cloudflare.com/waf/) - [Como criar e usar secrets no Cloudflare Workers](https://developers.cloudflare.com/workers/configuration/secrets/) - [Documentação de Rate Limiting binding no Workers](https://developers.cloudflare.com/workers/runtime-apis/bindings/rate-limit/) ## Perguntas Frequentes (FAQ) ### O que é ensinado na Aula 17 (Segurança no Cloudflare Workers: Turnstile, WAF, limite e secrets) do curso Cloudflare Workers sem mistério: back-end e IA sem servidor? Nesta aula do módulo "IA na borda e segurança" na Escola de Aplicativos, você aprende de forma prática: Como funciona o Cloudflare Turnstile e por que a validação no servidor é obrigatória; O que o WAF gratuito oferece para filtrar acessos maliciosos; Como configurar limite de taxa (rate limiting) por usuário dentro do Worker; Onde armazenar chaves de API com segurança usando secrets do Wrangler. ### Como assistir ao vídeo completo da aula "Segurança no Cloudflare Workers: Turnstile, WAF, limite e secrets" gratuitamente? O resumo técnico estruturado desta aula é público e gratuito. Para assistir à videoaula completa em HD, basta entrar ou criar sua conta 100% gratuita na Escola de Aplicativos — o cadastro leva segundos e libera todas as 17 aulas do curso "Cloudflare Workers sem mistério: back-end e IA sem servidor", controle de progresso, Tutor IA e emissão de certificado gratuito. ### Quais tecnologias e conceitos são abordados em "Segurança no Cloudflare Workers: Turnstile, WAF, limite e secrets"? A aula cobre diretamente os seguintes tópicos técnicos aplicados em produção: Cloudflare Turnstile, Web Application Firewall (WAF), Rate Limiting no Worker, Gerenciamento de secrets com Wrangler, Arquitetura serverless completa, Boas práticas de segurança para vibe coding. ### O curso "Cloudflare Workers sem mistério: back-end e IA sem servidor" oferece certificado gratuito? Sim. Ao assistir às 17 aulas do curso gratuito "Cloudflare Workers sem mistério: back-end e IA sem servidor" na Área de Membros da Escola de Aplicativos, você emite gratuitamente um certificado digital em português com código de verificação pública. ## Como assistir à videoaula completa gratuitamente Crie sua conta gratuita em segundos em https://www.escoladeaplicativos.com.br/login?redirect=%2Fm%2Fcursos%2Fcloudflare-workers-sem-misterio%2Faula%2Fseguranca-no-cloudflare-workers-turnstile-waf-limite-e-secrets para assistir ao vídeo completo desta aula em HD na Área de Membros da Escola de Aplicativos, com progresso salvo, Tutor IA e certificado gratuito verificável. ## Navegação do Curso - **Aula anterior:** [Aula 16: Cloudflare Browser Run e Containers: quando o Worker não basta](https://www.escoladeaplicativos.com.br/cursos/cloudflare-workers-sem-misterio/cloudflare-browser-run-e-containers-quando-o-worker-nao-basta)