Cloudflare 11 月 6 日更新：Access 支持 Passkey，AI Gateway 增加密钥巡检
2026 年 11 月 6 日，Cloudflare 的更新日志里有四项与日常运维直接相关。
1. 四项更新
| 产品 | 更新 | 实际影响 |
|---|---|---|
| Access | 可用 Passkey 登录应用与 App Launcher，支持用户自助注册与管理 | 减少对邮箱验证码与 TOTP 的依赖，抗钓鱼能力更强 |
| AI Gateway | 显示 provider key 的活动情况，标记不活跃的密钥 | 密钥轮换有了依据，不用靠猜哪个 key 还在用 |
| Cloudflare One | 用户风险评分中的 UEB 增加 fast flux 检测 | 对用快速换 IP 规避封锁的基础设施多一层识别 |
| 账号 | 用户 API token 创建界面改版，与 Account API token 对齐 | 权限范围的选择更直观，减少"给多了"的概率 |
2. 为什么 Passkey 这条最值得动手
Passkey 是绑定域名的公钥凭据，天然抗钓鱼：假站点拿到的签名在真域名上无效。相比之下，TOTP 可以被实时中间人转发（30 秒内有效），短信更差。
把它用在 Access 上，收益是双重的：员工登录内网应用不再依赖一次性密码，攻击面从"骗验证码"变成"骗不到"。
代价是恢复流程要提前设计：设备丢失、跨平台同步、备用管理员，这三件事不规划好，Passkey 反而会成为新的单点。
3. 密钥巡检解决的是"隐形债务"
AI Gateway 显示 provider key 的活动时间，看起来是小功能，实际解决一个常见问题：一个团队接了三家模型供应商，每家的 key 都发过好几版，哪一版在用、哪一版该删，往往没人说得清。
有了活动标记，轮换就能变成例行操作：先看哪些 key 长期无调用，确认后删除；再对在用的 key 做定期替换。
4. 一个观察
这四项更新没有一项是"大功能"，方向却很一致：把安全能力下沉到默认路径（Passkey 登录）、把运维信息暴露到界面上（key 活动）、把风险识别做成可选项（fast flux）。
对使用者的意义是：安全配置从"要专门做"变成"顺手就能做"。
小结
四项更新里，建议优先落地的是 Access 的 Passkey，其次是 AI Gateway 的密钥巡检。前者降低账号被接管的风险，后者降低密钥管理的不确定性。
其余两项属于锦上添花：fast flux 检测对特定攻击面有效，token 界面改版只影响上手体验。
数据来源与检索时间
检索时间 2026-11-10。
| 来源 | URL | 对应数据 |
|---|---|---|
| Cloudflare 开发者文档（What's new） | https://developers.cloudflare.com | 2026-11-06 四项更新：Access 支持 Passkey、AI Gateway 显示 provider key 活动、Cloudflare One UEB 增加 fast flux 检测、用户 API token 创建界面改版 |
核验说明
- 四项更新的内容与日期取自官方文档的 What's new 列表。
- 未做：没有在账号内实际配置 Passkey 或查看 AI Gateway 的 key 活动面板（账号 token 无对应权限），文中对效果的描述基于机制分析，不是实测。