bf-infra/docs/handoff-20260913-cf-api-token-rolled.md

Handoff 2026-09-13 — CF_API_TOKEN gerollt (Gitea bf-infra #69)

Was passiert ist

CF_API_TOKEN (id 493ed8bd…, konsolidiert) war nach TP41 tot (Fehler 1000 an allen drei Fundorten). Statt eines separaten railplanner-Tokens wurde das konsolidierte Token am 2026-09-13 im CF-Dashboard gerollt (neuer Wert, gleicher Scope). Workers-Scope verifiziert: GET /accounts/{id}/workers/scripts listet railplanner / blaueblueten-n8n / terpene.

Drift behoben

Der neue Wert lag zunächst nur in credentials.env. Realignt auf identischen Wert in:

• ~/.secrets/exports.zsh (SSoT) — vorher gar kein CF_API_TOKEN
• ~/.secrets/credentials.env
• bf-infra/mcp/cloudflare/.env (vorher …4148)
• bf-network-r6/mcp/cloudflare/.env (vorher …2174)

Gotcha (hat die Session zweimal „Token kaputt" fehldeuten lassen)

Account-owned Tokens verifizieren an GET /accounts/{account_id}/tokens/verify — am alten /user/tokens/verify liefern sie 1000 "Invalid API Token", obwohl gültig. Siehe docs/tp16.1-warp-mesh-native-crs326.md:164 und docs/teilprojekte-archiv.md:830. Ins Memory notiert (reference_cf_account_token_verify.md).

Status

Gitea #69 closed (status:done). Kein Repo-Code geändert — alles Secret-Store + Gitea-Status.