KeyKeeper服务商
Cloudflare · User API Token
Agent 怎样通过 KeyKeeper 拿到 Cloudflare · User API Token 的 key，在 dash.cloudflare.com 该选什么，KeyKeeper 怎么验证。
| 模板 id | cloudflare（别名 cf、cloudflare-token、wrangler） |
|---|---|
| 字段 | cloudflare-api-token → CLOUDFLARE_API_TOKEN · 密钥 |
| key 长什么样 | 创建时只显示一次 |
| 创建页面 | dash.cloudflare.com |
| KeyKeeper 的验证 | 不验证 |
| 模板核实日期 | 2026-09-15 |
Agent 做什么
keykeeper providers show cloudflare
keykeeper save --provider cloudflare --from-clipboard --create --purpose "这个任务是做什么的"
keykeeper run -c cloudflare -- <你的命令>--provider cloudflare 会补上凭据 ID 和字段名。这些环境变量就是 Cloudflare 自家工具读的那个，不需要任何映射。
只有你能做的
登录 dash.cloudflare.com（开了 2FA 就要过 2FA）
选 Create Token → 一个模板或 Create Custom Token
选权限、zone/账号资源，可选 TTL
复制 key，然后在 KeyKeeper 的窗口里确认保存。
该选什么
Create Custom Token：能用 Read 就用 Read，Zone Resources 选 Specific zone（绝不选 All zones），并设 TTL。只有任务需要时才用账号级 token（它的验证接口不同）。
Agent 被告知的是同一件事。它替你打开页面、说明该选什么；它从不替你登录、过 2FA 或付费。
KeyKeeper 检查什么
- 写入前： 值必须像一把 Cloudflare · User API Token 的 key（没有形状规则）。贴错了会在存入之前被拒绝，并告诉 Agent 原因——不含值。
- 保存后： Cloudflare · User API Token 没有 KeyKeeper 可用的只读接口，第一次真实调用就是测试。
轮换与过期
创建时没设 TTL 就不过期；Roll 会换掉密文、保留权限。 在 dash.cloudflare.com 轮换或撤销。