Le 15 octobre 2026, Cloudflare ajoute une action Forward et des Custom Functions à Cloudflare Gateway, qui exécutent votre propre code au moment précis où la politique de sécurité tranche. Si vous maintenez des pools de proxies NGINX pour injecter des en-têtes ou des pipelines Logpush pour alerter, remplacez-les par un Worker unique.
Le 15 octobre 2026, Cloudflare ajoute des profils de filtrage BGP réutilisables aux tunnels IPsec et GRE de Cloudflare WAN et Magic Transit, appliqués sans réinitialiser la session. Si vous annoncez des préfixes via Cloudflare, configurez dès maintenant un filtre d’export en allow-list pour empêcher toute fuite de routes.
Le 16 octobre 2026, quatre mois après le rachat de VoidZero, Cloudflare publie en open source Void, une plateforme que les entreprises peuvent auto-héberger pour déployer et gouverner les applications internes construites par l’IA. Si vos employés « vibe-codent » déjà leurs outils, Void donne un toit aux applications — mais pas encore de revue de sécurité obligatoire.
Le 9 octobre 2026, Cloudflare généralise le profiling CPU et mémoire à la demande pour Workers et Durable Objects, avec des flamegraphs interactifs générés directement en production. Utilisez-le pour traquer les fuites mémoire et les fonctions les plus gourmandes, au lieu de deviner à partir de logs et de métriques agrégées.
Cloudflare intègre l’équipe de Ryan Dahl et fusionne workerd avec celld, l’implémentation ouverte de Workers publiée par Deno en août. Évaluez celld si vous voulez exécuter vos applications Workers sur votre propre infrastructure plutôt que sur le réseau Cloudflare.
Le 29 septembre 2026, Cloudflare annonce son intention de devenir une autorité de certification publique, douze ans après avoir lancé Universal SSL, avec une racine rachetée à GlobalSign et une candidature aux programmes racines de Chrome, Apple, Microsoft et Mozilla. L’éditeur vise des certificats post-quantiques et des Merkle Tree Certificates dès le premier trimestre 2027 : un deuxième fournisseur gratuit de masse se prépare, et votre chaîne de déploiement ACME doit pouvoir basculer.
Cloudflare regroupe journaux, traces, alertes et analytics dans une plateforme unique, et ouvre Traces en bêta pour suivre une requête de bout en bout. La tarification unifiée entre en vigueur le 1er décembre 2026, alors auditez vos volumes de journaux dès maintenant.
Le 24 septembre 2026, Cloudflare a révélé qu’un réglage de thin provisioning dans Cloudflare Containers permettait à un client de lire les données qu’un autre client avait laissées sur le même serveur. Les clients n’ont rien à faire, mais la faille rappelle que l’isolation multi-locataire, promise par le cloud, tient parfois à un paramètre par défaut.
Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.
Le 31 août 2026, entre 07 h 35 et 21 h 45 UTC, un acteur a compromis une clé API Cloudflare de Coder et redirigé une partie du trafic du registre de modules vers un serveur malveillant qui exfiltre les identifiants cloud. Vérifiez vos journaux pour coder-infra[.]com et révoquez les secrets concernés.
Le 1er juillet 2026, Cloudflare a remplacé son interrupteur « bloquer les bots IA » par trois classes distinctes — Search, Agent et Training. Le 15 septembre 2026, Training et Agent seront bloqués par défaut sur les pages à publicité : vérifiez vos réglages avant cette date.
Fin août 2026, Cloudflare a publié EmDash, un CMS en TypeScript présenté comme le successeur spirituel de WordPress, et y a migré son propre blog. L’idée maîtresse tient en un mécanisme, isoler chaque plugin dans un sandbox avec des permissions déclarées, là où 96 % des failles WordPress viennent des plugins.
Le 1er septembre 2026, Cloudflare détaille Cache Transcoding, un prototype qui compresse les actifs éligibles en Zstandard directement dans Pingora. L’encodage réduit la taille sur disque au tiers environ, contre quelques points de CPU, et diminue la bande passante entre datacenters.
Entre le 7 et le 14 août 2026, Cloudflare a consigné treize incidents distincts en huit jours, touchant R2, Workers KV, Durable Objects et le trafic régional sur quatre continents. La leçon n’est pas de fuir l’edge, mais d’instrumenter le chemin entre l’origine et l’utilisateur — là où les pannes échappent à votre monitoring.
Le rapport DDoS H1 2026 de Cloudflare documente une explosion des attaques hyper-volumétriques et des vecteurs par réflexion DNS et CLDAP. Les attaques durent quelques secondes, ce qui rend toute mitigation manuelle structurellement hors jeu.
Cloudflare dévoile Kitesurf, un navigateur headless bâti en Rust pour les agents IA, 3 à 7 fois plus économe en CPU et mémoire que Chromium. Les équipes DevOps qui hébergent des agents autonomes doivent l’évaluer avant la sortie de bêta.
Le 5 août 2026, Cloudflare publie en open source Cloudflare OS, une plateforme qui donne à chaque employé un agent IA connecté aux systèmes internes, avec un cadre de gouvernance qui suit ce que l’agent a lu.
Cloudflare absorbe 500 Tbps de trafic réseau et OVHcloud protège tous ses serveurs contre des attaques jusqu’à 1,3 Tbit/s sans surcoût. Comprendre la différence entre une amplification DNS et un Slowloris change tout dans le choix de votre protection.
Le NIST a publié le standard SP 800-207 en août 2020, l’administration Biden a imposé le Zero Trust à toutes les agences fédérales américaines en janvier 2022, et Google fait tourner BeyondCorp en interne depuis 2011 sans VPN. Si votre sécurité réseau repose encore sur l’idée qu’un paquet est propre parce qu’il arrive du LAN, vous avez déjà perdu.
