railplanner: gültiges CF_API_TOKEN mit Workers-Scope für wrangler-Deploys #69

New Issue

admin · 2026-09-13T14:49:09+02:00

admin commented

2026-09-13 14:49:09 +02:00

Aktion

Gültiges Cloudflare-API-Token mit Workers-Scope ausstellen und in den Secret-Store nachziehen, damit railplanner-Sessions künftig selbst wrangler deploy für den Worker railplanner (auf railplanner.emsenhuber.net) machen können — statt des Cloudflare-MCP-OAuth-Umwegs.

Kontext

Neues Repo admin/railplanner, CF-Worker railplanner live auf railplanner.emsenhuber.net (Zone 1b5bc02fdf61b6b989afde543f3f4134, Account 393c051f3accf51881d6c98fc5b66c36).
Deploy lief bisher nur über den Cloudflare-MCP (mcp.cloudflare.com, OAuth), weil das lokale Token nicht funktioniert.

Befund (Drift)

CF_API_TOKEN liefert an allen drei Fundorten Fehler 1000 „Invalid API Token" (verifiziert via GET /user/tokens/verify):

bf-infra/mcp/cloudflare/.env
bf-network-r6/mcp/cloudflare/.env
~/.secrets/credentials.env

Token-Format valide (cfat_…, 53 Zeichen, kein Inline-Kommentar/Trailing-Whitespace). Vermutlich nach TP41 (2026-09-01, „konsolidiert auf vollständiges Token id 493ed8bd…") rotiert/revoked, .env nicht nachgezogen.

Benötigte Permissions (exakt)

Account → Workers Scripts: Edit
Zone emsenhuber.net → Workers Routes: Edit (Custom-Domain-Anbindung)
Account → Account Settings: Read

Scope

Nur Token ausstellen + in Secret-Store (SSoT) nachziehen. Keine Änderungen an Zone/DNS/Worker-Routing/Access.

Stop-Bedingung

Keine bestehenden Tokens/Tunnel revoken ohne Rücksprache.

Checkpoint

Neues Token liegt in ~/.secrets/exports.zsh (SSoT) und credentials.env; GET /user/tokens/verify liefert success: true mit den drei Permissions.

Bei Fehler

Token ungültig → Befund zurückmelden statt weitere CF-Änderungen vorzunehmen.

## Aktion Gültiges Cloudflare-API-Token mit Workers-Scope ausstellen und in den Secret-Store nachziehen, damit railplanner-Sessions künftig selbst `wrangler deploy` für den Worker `railplanner` (auf `railplanner.emsenhuber.net`) machen können — statt des Cloudflare-MCP-OAuth-Umwegs. ## Kontext - Neues Repo `admin/railplanner`, CF-Worker `railplanner` live auf `railplanner.emsenhuber.net` (Zone `1b5bc02fdf61b6b989afde543f3f4134`, Account `393c051f3accf51881d6c98fc5b66c36`). - Deploy lief bisher nur über den Cloudflare-MCP (`mcp.cloudflare.com`, OAuth), weil das lokale Token nicht funktioniert. ## Befund (Drift) `CF_API_TOKEN` liefert an allen drei Fundorten **Fehler 1000 „Invalid API Token"** (verifiziert via `GET /user/tokens/verify`): - `bf-infra/mcp/cloudflare/.env` - `bf-network-r6/mcp/cloudflare/.env` - `~/.secrets/credentials.env` Token-Format valide (`cfat_…`, 53 Zeichen, kein Inline-Kommentar/Trailing-Whitespace). Vermutlich nach TP41 (2026-09-01, „konsolidiert auf vollständiges Token id `493ed8bd…`") rotiert/revoked, `.env` nicht nachgezogen. ## Benötigte Permissions (exakt) - Account → **Workers Scripts: Edit** - Zone `emsenhuber.net` → **Workers Routes: Edit** (Custom-Domain-Anbindung) - Account → **Account Settings: Read** ## Scope Nur Token ausstellen + in Secret-Store (SSoT) nachziehen. Keine Änderungen an Zone/DNS/Worker-Routing/Access. ## Stop-Bedingung Keine bestehenden Tokens/Tunnel revoken ohne Rücksprache. ## Checkpoint Neues Token liegt in `~/.secrets/exports.zsh` (SSoT) und `credentials.env`; `GET /user/tokens/verify` liefert `success: true` mit den drei Permissions. ## Bei Fehler Token ungültig → Befund zurückmelden statt weitere CF-Änderungen vorzunehmen.

admin closed this issue

2026-09-13 15:09:42 +02:00

admin added the status:done label 2026-09-13 15:09:42 +02:00

admin commented

2026-09-13 15:09:42 +02:00

Geschlossen: CF_API_TOKEN (id 493ed8bd…) am 2026-09-13 gerollt (neuer Wert, gleicher Scope). Workers-Scope verifiziert (/accounts/{id}/workers/scripts listet railplanner/blaueblueten-n8n/terpene). Wert realignt in ~/.secrets/exports.zsh (SSoT) + credentials.env + bf-infra/bf-network-r6 mcp/cloudflare/.env. Verify-Gotcha (account-owned → /accounts/{id}/tokens/verify, nicht /user/tokens/verify) ins Memory notiert.

Geschlossen: `CF_API_TOKEN` (id `493ed8bd…`) am 2026-09-13 gerollt (neuer Wert, gleicher Scope). Workers-Scope verifiziert (`/accounts/{id}/workers/scripts` listet `railplanner`/`blaueblueten-n8n`/`terpene`). Wert realignt in `~/.secrets/exports.zsh` (SSoT) + `credentials.env` + `bf-infra`/`bf-network-r6` `mcp/cloudflare/.env`. Verify-Gotcha (account-owned → `/accounts/{id}/tokens/verify`, nicht `/user/tokens/verify`) ins Memory notiert.

admin referenced this issue from a commit

2026-09-13 15:13:29 +02:00

Handoff: CF_API_TOKEN gerollt + Verify-Endpoint-Gotcha (Gitea #69 closed)

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: admin/bf-infra#69