Как сделать бакет Cloudflare R2 публичным

Собственный домен отдает бакет через сеть Cloudflare с кэшированием и позволяет позже использовать правила WAF или Cloudflare Access. Домен должен быть зоной в том же аккаунте Cloudflare, что и бакет (подходит как полная настройка, так и частичная через CNAME).

1. В панели Cloudflare перейдите в R2 Object Storage и выберите свой бакет.
2. Откройте Settings, найдите Custom Domains и выберите Add.
3. Введите поддомен, например files.example.com, и выберите Continue.
4. Проверьте DNS-запись, которую создаст Cloudflare, и выберите Connect Domain.

Через несколько минут статус сменится с Initializing на Active. После этого объект с ключом 2026/09/report.pdf доступен по адресу https://files.example.com/2026/09/report.pdf.

Для быстрой проверки R2 может выдать бакету адрес, которым управляет Cloudflare:

1. Откройте Settings бакета.
2. В разделе Public Development URL выберите Enable.
3. Введите allow для подтверждения и выберите Allow.

Теперь бакет доступен по адресу https://pub-<id>.r2.dev/<key>. Cloudflare ограничивает частоту запросов к этому URL и указывает, что он предназначен для разработки, поэтому перейдите на собственный домен, прежде чем широко делиться ссылками. Направить свой CNAME на адрес r2.dev нельзя.

• Только чтение. Публичный доступ позволяет любому читать объекты, ключ которых ему известен. Для загрузки и удаления по-прежнему нужны учетные данные API.
• Без списка файлов. Если открыть корень домена, содержимое бакета не отобразится. Случайные имена объектов делают ссылки трудноугадываемыми.
• Весь бакет целиком. Доступ настраивается для бакета, а не для папки. Храните приватные файлы в отдельном бакете.
• Кэширование. По умолчанию Cloudflare кэширует только файлы с определенными расширениями. Добавьте правило кэширования, если хотите кэшировать файлы любого типа.

Если ссылка возвращает Access Denied, 401 или 403, проверьте по порядку:

1. Ссылка использует ваш собственный домен или URL r2.dev, а не <account-id>.r2.cloudflarestorage.com. Этот хост служит для S3 API и всегда требует подписи.
2. Собственный домен в статусе Active, а доступ к бакету в его настройках имеет значение Allowed.
3. Ключ в URL в точности совпадает с объектом, включая папки и регистр букв.