Como compartilhar arquivos privados do S3 e R2 com URLs pré-assinadas

A URL contém tudo o que o S3 precisa para verificar a requisição: a chave com que foi assinada, quando foi assinada, por quanto tempo é válida e uma assinatura. Ela tem esta cara:

https://your-bucket.s3.eu-central-1.amazonaws.com/contract.pdf
  ?X-Amz-Algorithm=AWS4-HMAC-SHA256
  &X-Amz-Credential=AKIA…/20260930/eu-central-1/s3/aws4_request
  &X-Amz-Date=20260930T120000Z
  &X-Amz-Expires=3600
  &X-Amz-SignedHeaders=host
  &X-Amz-Signature=…

A assinatura é feita no seu computador. Nada é enviado ao provedor até alguém abrir o link, e alterar qualquer parte dele invalida a assinatura.

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400

Esse link funciona por 24 horas. Para o Cloudflare R2 ou outro serviço compatível com S3, aponte o CLI para o endpoint dele:

aws s3 presign s3://your-bucket/contract.pdf --expires-in 86400 \
  --endpoint-url https://<ACCOUNT_ID>.r2.cloudflarestorage.com

• No máximo 7 dias. A Signature Version 4 permite até 604.800 segundos, tanto no S3 quanto no R2.
• Credenciais temporárias acabam antes. Uma URL assinada com uma sessão STS ou SSO para de funcionar quando essa sessão expira, mesmo que você tenha pedido mais tempo.
• O R2 exige o domínio da API. URLs pré-assinadas no R2 funcionam com <ACCOUNT_ID>.r2.cloudflarestorage.com, não com um domínio personalizado.
• Qualquer pessoa com o link pode usá-lo. Trate-o como uma senha até ele expirar.
• Não dá para revogar um link específico. Para cortar um link antes da hora, exclua ou renomeie o objeto, ou desative a access key que o assinou.

Use um bucket público para arquivos que são feitos para serem vistos e devem continuar funcionando: capturas de tela em documentação, imagens em um README. Use URLs pré-assinadas para tudo o que é sensível ou de curta duração. Muita gente mantém um bucket de cada tipo e escolhe arquivo por arquivo.