Ajustes

Abre la zona CDN → pestaña Settings en my.cubepath.com.

Dominio personalizado

Cada zona recibe un dominio generado por el sistema (<nombre>.cubecdn.io) que funciona de inmediato. Para servir el tráfico bajo tu propio hostname:

Nota

Haz el CNAME primero. Si el registro no está vivo cuando se pide el certificado, la emisión falla — usa Re-request SSL cuando el DNS haya propagado.

SSL

SSL Status muestra Valid, Pending, Error o Not configured. Hay dos tipos:

• Automatic (Let's Encrypt) — gratuito, aprovisionado y renovado por nosotros. La opción correcta salvo que tengas un motivo concreto para no usarla.
• Custom Certificate — elige uno de los tuyos en Certificados SSL, o sube uno nuevo. Disponible en planes superiores, y necesario para certificados EV o para uno que deba coincidir con el que usas en otro sitio.

URLs firmadas (Token Auth)

Token Auth sirve el contenido de la zona solo a quien tú autorices. Cada enlace que publicas lleva una firma criptográfica y una caducidad; quien pida sin una URL firmada válida recibe 403 Forbidden.

Es el patrón estándar para vídeo de pago, descargas restringidas, galerías privadas, enlaces temporales y para mantener el contenido fuera de los buscadores y lejos del hotlinking.

Cómo funciona

Al activar Token Auth, CubePath genera un secreto compartido para la zona. Tu backend calcula un HMAC-SHA256 sobre la ruta más una marca de caducidad más el secreto, lo codifica en base64url y añade ?token=...&expires=... a la URL. El edge recalcula el mismo HMAC con su copia del secreto y compara: si coincide, sirve; si no, 403. El secreto nunca viaja en la URL.

Activarlo

Abre la tarjeta Signed URLs (Token Auth) y activa Enable Token Auth. El secreto se genera y se muestra una sola vez.

Aviso: Copia el secreto de inmediato a un gestor de secretos o una variable de entorno. Lo guardamos cifrado para que el edge pueda validar firmas, pero no volvemos a mostrarlo. Si lo pierdes, tu única opción es rotarlo — lo que invalida todas las URLs ya en circulación.

Firmar URLs en tu backend

La operación es HMAC-SHA256(secreto, ruta + str(expires)), codificado en base64url sin relleno.

import hmac, hashlib, base64, time

SECRET = "<secreto_de_tu_zona>"

def sign(path: str, ttl_seconds: int = 3600) -> str:
    expires = int(time.time()) + ttl_seconds
    msg = f"{path}{expires}".encode()
    mac = hmac.new(SECRET.encode(), msg, hashlib.sha256).digest()
    token = base64.urlsafe_b64encode(mac).rstrip(b"=").decode()
    return f"https://tu-zona.cubecdn.io{path}?token={token}&expires={expires}"

const crypto = require('crypto');
const SECRET = process.env.CDN_SECRET;

function sign(path, ttlSeconds = 3600) {
  const expires = Math.floor(Date.now() / 1000) + ttlSeconds;
  const mac = crypto.createHmac('sha256', SECRET).update(`${path}${expires}`).digest();
  const token = mac.toString('base64url').replace(/=+$/, '');
  return `https://tu-zona.cubecdn.io${path}?token=${token}&expires=${expires}`;
}

function sign($path, $ttlSeconds = 3600) {
    $secret = getenv('CDN_SECRET');
    $expires = time() + $ttlSeconds;
    $mac = hash_hmac('sha256', $path . $expires, $secret, true);
    $token = rtrim(strtr(base64_encode($mac), '+/', '-_'), '=');
    return "https://tu-zona.cubecdn.io{$path}?token={$token}&expires={$expires}";
}

La tarjeta de Settings incluye además un subformulario Generate signed URL: pegas una ruta, defines una ventana de validez y obtienes una URL lista para usar. Es para pruebas y envíos puntuales — el tráfico de producción debe firmarse en tu backend, sin una llamada a la API por URL.

Elegir la caducidad

La validez está limitada a 7 días (604800 s) para acotar el daño de una filtración.

Vincular tokens a la IP del cliente

El conmutador Bind tokens to client IP incorpora la IP de origen a la firma, de modo que una URL filtrada solo funciona desde la IP a la que se emitió. Es una defensa fuerte frente a enlaces compartidos en chats y foros.

El coste es real: los clientes cuya IP cambia a mitad de sesión — redes móviles con CGNAT, WiFi de hotel, VPNs, saltos entre 4G y WiFi de casa — pierden el acceso en mitad de la reproducción.

Importante

Para streaming de vídeo de consumo esto suele ser un mal negocio. Una caducidad corta consigue casi el mismo beneficio sin romperle la experiencia a los usuarios móviles.

Si lo activas, pasa la IP pública del cliente al firmar (normalmente la primera entrada de X-Forwarded-For si estás detrás de un proxy). Las IPv6 deben ir en forma canónica comprimida (2001:db8::1, no [2001:db8::1]).

Rotar el secreto

La rotación es inmediata y retroactiva: todas las URLs firmadas con el secreto anterior empiezan a devolver 403 al instante, y el contenido que se esté reproduciendo en ese momento se corta. Planifica las rotaciones en una franja de poco tráfico, o mantén caducidades cortas para que la interrupción sea mínima.

Qué no hace Token Auth

• No es un WAF. No filtra bots, no limita la tasa, no bloquea por país — eso son las reglas WAF.
• No es autenticación de usuarios. Autoriza una URL contra un secreto compartido; quien tenga esa URL puede usarla, salvo que el IP binding esté activo.
• No cifra el contenido. El transporte es HTTPS, pero los bytes son los mismos que hay en tu origen.

Diagnóstico

CORS

CORS (cross-origin fetch) permite que JavaScript de otros dominios descargue contenido de esta zona. Lo necesitas para reproductores HLS/DASH, llamadas fetch() y cualquier XHR entre dominios — sin él el navegador bloquea la respuesta aunque el CDN la haya servido correctamente.

Actívalo y define los Allowed origins: o bien * para cualquier origen, o una lista de orígenes completos, uno por línea o separados por comas. Cada uno debe incluir el esquema (https://example.com) y ninguna ruta.

Nota

Debes añadir al menos un origen permitido (o *) antes de poder activar el conmutador. Con CORS activo, las respuestas incluyen Access-Control-Allow-Origin y el edge responde por ti a las peticiones OPTIONS de preflight.

Consejo

Prefiere una lista explícita a * cuando el contenido no esté pensado para incrustarse en cualquier sitio. Con *, cualquier web de internet puede construir una página con tus recursos — a costa de tu ancho de banda.