Jak udostępniać prywatne pliki z S3 i R2 przez presigned URL

URL zawiera wszystko, czego S3 potrzebuje do sprawdzenia żądania: klucz, którym go podpisano, czas podpisania, okres ważności i podpis. Wygląda tak:

https://your-bucket.s3.eu-central-1.amazonaws.com/contract.pdf
  ?X-Amz-Algorithm=AWS4-HMAC-SHA256
  &X-Amz-Credential=AKIA…/20260930/eu-central-1/s3/aws4_request
  &X-Amz-Date=20260930T120000Z
  &X-Amz-Expires=3600
  &X-Amz-SignedHeaders=host
  &X-Amz-Signature=…

Podpisywanie odbywa się na Twoim komputerze. Do dostawcy nic nie trafia, dopóki ktoś nie otworzy linku, a zmiana dowolnej jego części unieważnia podpis.

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400

Ten link działa przez 24 godziny. Dla Cloudflare R2 lub innej usługi zgodnej z S3 wskaż w CLI jej endpoint:

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400 \
  --endpoint-url https://<ACCOUNT_ID>.r2.cloudflarestorage.com

• Maksymalnie 7 dni. Signature Version 4 pozwala na maksymalnie 604 800 sekund, zarówno w S3, jak i w R2.
• Tymczasowe dane uwierzytelniające kończą się wcześniej. URL podpisany sesją STS lub SSO przestaje działać, gdy ta sesja wygaśnie, nawet jeśli prosiłeś o dłuższy czas.
• R2 wymaga domeny API. Presigned URL w R2 działają z <ACCOUNT_ID>.r2.cloudflarestorage.com, a nie z własną domeną.
• Każdy, kto ma link, może go użyć. Traktuj go jak hasło, dopóki nie wygaśnie.
• Nie da się unieważnić pojedynczego linku. Aby wcześniej odciąć dostęp, usuń obiekt lub zmień jego nazwę albo dezaktywuj klucz dostępu, którym go podpisano.

Używaj publicznego bucketu dla plików, które mają być widoczne i działać bez końca: zrzutów ekranu w dokumentacji, obrazów w README. Presigned URL używaj do wszystkiego, co wrażliwe lub krótkotrwałe. Wiele osób trzyma po jednym buckecie każdego rodzaju i wybiera dla każdego pliku.