Private RSS Feed

Le Private RSS Feed sert un flux qui doit rester privé : changelogs internes, mises à jour réservées aux abonnés, briefings personnels. Il est servi en direct depuis un Cloudflare Worker, protégé par un token secret par flux, jamais comme fichier statique et jamais lié par une balise link autodiscovery. Un token faux ou manquant reçoit un 404 discret, indiscernable d'un "il n'y a pas de flux ici". Le handler lit ?token= dans la query string, le compare au secret stocké dans la table des secrets du worker avec une comparaison en temps constant, et renvoie 404 'Not found' en texte brut à la moindre divergence. Aucune distinction entre "token existant mais faux" et "pas de token" : les deux donnent le même 404. Un token valide construit le flux en direct depuis la base (N derniers éléments, du plus récent au plus ancien, dates RFC-2822, contenu échappé pour XML) avec un header Cache-Control privé pour que les caches partagés ne stockent jamais un flux à token. Parce que le flux est privé, il peut transporter des lignes réservées à l'abonné qu'un flux public n'aurait jamais, comme le trafic d'hier vs avant-hier ou des compteurs non publiés. Elles restent clairement utiles et jamais sensibles. Si la requête de stats échoue, le flux reste valide sans la ligne privée : fail-open sur les extras, jamais fail-closed sur le flux lui-même. L'hygiène est tout l'enjeu : aucun feed.xml statique dans la sortie du build (à un déploiement d'être public), aucune balise link autodiscovery, aucun token dans des URL partagées publiquement. Si le token fuite, régénérez-le avec openssl rand -hex 32, mettez à jour le magasin de secrets, redéployez (Pages lie les secrets au moment du déploiement), et donnez la nouvelle URL à l'abonné. Ne réutilisez jamais un token fuité.