Cloudflare Access cho tùy biến trang đăng nhập và từ chối truy cập

Trang bị chặn có thể giải thích đúng việc cần làm

Cloudflare công bố tùy biến các trang Access ngày 27/10/2026: đăng nhập, từ chối theo danh tính, từ chối truy cập và phê duyệt đăng nhập CLI. Quản trị viên có thể dùng HTML cùng Liquid, ngôn ngữ mẫu để điền dữ liệu được hỗ trợ, rồi gán mẫu cho ứng dụng hoặc làm mặc định của tài khoản. Bản tin được biên tập ngày 28/10, dựa trên changelog và tài liệu của nhà cung cấp.

Thay đổi này đáng chú ý với doanh nghiệp có cổng nhân sự, trang nội bộ hoặc công cụ dành cho đối tác. Thay vì người dùng chỉ thấy một thông báo khó hiểu, trang có thể chỉ ra kênh hỗ trợ và tình huống cần kiểm tra. Tuy nhiên, tùy biến giao diện không cấp thêm quyền truy cập: Access vẫn quyết định cho phép hay từ chối theo chính sách.

Bốn loại trang phục vụ những điểm khác nhau trong luồng

Trang đăng nhập xuất hiện trước khi người dùng hoàn tất xác thực. Trang từ chối theo danh tính hữu ích khi người dùng đã đăng nhập nhưng vẫn không đủ điều kiện vào ứng dụng. Trang forbidden phục vụ các trường hợp từ chối khác; trang CLI approval xử lý bước phê duyệt tương tác cho công cụ dòng lệnh. Chọn sai loại có thể làm người dùng nhận hướng dẫn không đúng thời điểm.

Một tài khoản xác thực thành công chưa đồng nghĩa có quyền vào mọi ứng dụng. Nếu nhân viên thấy bị chặn sau đăng nhập, đội hỗ trợ cần kiểm tra chính sách, nhóm và điều kiện truy cập, không hứa rằng đổi mật khẩu sẽ giải quyết mọi trường hợp. Mẫu trang nên hướng người đọc tới thao tác hợp lệ, thay vì tiết lộ chi tiết cấu hình mà người ngoài không cần biết.

Có bộ soạn thảo, nhưng kiểm tra mẫu chưa phải xem trước hoàn chỉnh

Theo tài liệu, quản trị viên vào Reusable components → Custom pages → Access custom pages, mở phần quản lý và tạo mẫu theo loại. Bộ soạn thảo có biến hỗ trợ và khu vực Problems để kiểm tra. Sau khi publish, mẫu mới cần được gán vào ứng dụng phù hợp hoặc làm mặc định tài khoản. Tạo và lưu mẫu không có nghĩa mọi ứng dụng đã dùng nó.

Cloudflare lưu ý kiểm tra hợp lệ trong editor không thay thế bản xem trước đã render. Friday Works khuyến nghị thử trên ứng dụng riêng, với phiên được phép, phiên bị từ chối và các tình huống thiếu biến. Kiểm tra điện thoại, nội dung tiếng Việt dài, liên kết hỗ trợ và khả năng dùng bàn phím trước khi thay mặc định cho cả tài khoản.

Trong trang login phải có đúng một thẻ cf-access-authbox hiển thị ngoài điều kiện và vòng lặp Liquid. Trang CLI approval cần đúng một cf-access-cli-approval. Đây là các thành phần phục vụ luồng Access; không thay chúng bằng form đăng nhập hoặc nút phê duyệt tự viết để làm giao diện giống website chính.

Giới hạn mẫu là một phần của thiết kế an toàn

Tài liệu giới hạn JavaScript tùy ý, sự kiện inline và các thành phần có thể làm lệch luồng xác thực. Liquid cũng là tập con được hỗ trợ, không phải toàn bộ môi trường chạy mã phía máy chủ. Biến không có dữ liệu có thể trở thành chuỗi rỗng, nên thông báo cần có cách diễn đạt vẫn hiểu được khi thiếu tên, email hoặc kết quả đánh giá chi tiết.

Mẫu demo chính thức trong bài cố ý từ chối mọi lượt đăng nhập và dùng điều kiện mẫu. Nó minh họa cách hiển thị kết quả chính sách, không phải ảnh lỗi của khách hàng Friday Works hoặc bằng chứng đã triển khai trên tài khoản sản xuất. Không sao chép nguyên các điều kiện demo vào chính sách thực tế.

Khi đưa lý do bị chặn lên trang, hãy cân nhắc dữ liệu danh tính, mã truy vết và chi tiết chính sách nào thật sự cần hiển thị. Chúng hữu ích cho hỗ trợ nhưng không nên biến thành danh sách gợi ý cách vượt điều kiện. Giữ thông báo dễ hiểu cho người dùng, còn thông tin điều tra chi tiết ở kênh quản trị được kiểm soát.

Phạm vi áp dụng quyết định mức độ ảnh hưởng khi sửa

Mẫu gán riêng cho ứng dụng được ưu tiên hơn mặc định tài khoản; nếu không có, hệ thống dùng mẫu mặc định phù hợp rồi trang tích hợp sẵn. Sửa một mẫu đang được nhiều ứng dụng dùng có thể thay đổi trải nghiệm ở nhiều nơi. Friday Works khuyến nghị ghi danh sách ứng dụng sử dụng mẫu và lưu bản HTML bên ngoài trước mỗi lần sửa.

Sau áp dụng, xác minh trang đúng loại đã xuất hiện ở đúng ứng dụng và người được phép vẫn vào bình thường, người không đủ điều kiện vẫn bị từ chối. Theo dõi yêu cầu hỗ trợ sau thay đổi, thay vì lấy việc trang đẹp hơn làm bằng chứng phân quyền đã chính xác. Với tổ chức cần thống nhất trải nghiệm truy cập nhiều hệ thống, đây là thay đổi có thể thử nhỏ mà không phải viết lại cơ chế xác thực.