ResidenciaTus recibos viven donde los pones.
Cada workspace tiene una ubicación de datos, elegida al crearlo: cualquiera de las ofrecidas (las siete regiones de datos más otras ubicaciones de AWS). Tus datos se almacenan allí. Los recibos y los contadores de cuota se procesan en la región de producto que la atiende; una ubicación que no sea una de las siete usa la más cercana. Cada recibo se firma en su región, con la clave de AWS KMS propia de esa región. Esta página dice exactamente qué es regional, qué no, y qué promete y qué no promete una región.
La elección de región depende de su planFree: consulte los límites del planUn workspace no se mueve
- Regiones de producto
- 7
- Bajo jurisdicción de la UE
- 3
- Claves de firma de recibos, una por región (AWS KMS)
- 7
- Respaldos silenciosos a otra región
- 0
Siete regiones, un servicio cada una
Cada región es su propio servicio y su propia base de datos. Los pines del mapa son aproximados. No afirman qué edificio aloja la base de datos.
- Región de AWS asociada
- Guardado en la jurisdicción UE de Cloudflare
- Guardado con location hint de Cloudflare
- Plano de cuentas y entrada: Panel, acceso, facturación y la entrada de la API
Mapa esquemático. Costas simplificadas; la posición de los pines es aproximada.
| Región | Código | Región de AWS asociada | Jurisdicción | Almacén |
|---|---|---|---|---|
| Este de EE. UU. | enam | us-east-1 N. Virginia | ENAM | Location hint |
| Oeste de EE. UU.Región plan Free | wnam | us-west-2 Oregón | WNAM | Location hint |
| Europa Central | weur-1 | eu-central-1 Fráncfort | WEUR-1 | Jurisdicción UE, aplicada |
| Europa Oeste | weur-2 | eu-west-1 Irlanda | WEUR-2 | Jurisdicción UE, aplicada |
| Europa Norte | neur | eu-north-1 Estocolmo | NEUR | Jurisdicción UE, aplicada |
| Asia-Pacífico | apac | ap-southeast-1 Singapur | APAC | Location hint |
| Oceanía | oc | ap-southeast-2 Sídney | OC | Location hint |
Los códigos son los valores de region en el estado de tu workspace. En las tres regiones europeas Cloudflare mantiene los datos dentro de la UE y elige el datacenter, así que no se nombra ciudad. En las otras cuatro la base se crea con un location hint, que es un pedido de ubicación, no una garantía.
La descripción de Cloudflare de jurisdicciones y location hints de D1, a octubre de 2026: Ubicación de datos de D1 ↗
Qué queda en la región, y qué sale de ella.
Solo el plano de datos es regional. El plano de cuentas se sirve desde EE. UU. (US West), sea cual sea tu región. Una llamada se autentica contra datos de cuenta en EE. UU. y luego pasa a tu región, donde se procesa y guarda.
- Recibos y sus cuerpos guardados, si se retienen
- Contadores de cupo del mes
- La clave de firma de recibos (AWS KMS) y la copia Object Lock de escritura única de los hashes de recibos, ambas en la región de AWS correspondiente
- Retención, purga automática y redacción de tus datos
- El panel y el sitio web público
- Acceso, sesiones y datos de cuenta: nombre, correo, membresías
- Facturación, a través de Avonao Billing
- Chequeo de claves y tokens, y límites de tasa, en la entrada
- El plano de control y el log de auditoría
- La página de estado
Una región dice dónde se guardan y procesan los datos. No dice que el tráfico nunca salga de un borde de red: Cloudflare acepta la conexión en el punto más cercano a quien llama, que puede estar en cualquier lugar, y el contenido pasa por la entrada que lo recibe. El panel y los datos de cuenta están en EE. UU. siempre. Para una declaración contractual, lee el Anexo de Tratamiento de Datos y la Política de privacidad, o pregúntanos.
Anexo de Tratamiento (DPA) →Tu privacidad →Pregunta a privacidad →
Cómo llega la llamada a tu región.
La entrada conoce la región de datos del workspace de tu credencial y reenvía cada llamada al servicio de esa región, que solo lee y escribe en la base de datos de esa región.
Cuatro reglas que no se doblan
Sin respaldo oculto
Si no se puede alcanzar el servicio de tu región, la llamada falla. Nunca la responde otra región, porque eso guardaría tus datos en un lugar que no elegiste. No se procesó nada.
Sin regiones extrañas
Un valor de región que no es una de las siete se rechaza antes de hacer nada.
Una clave de firma por región
Los recibos de cada región los firma la clave de AWS KMS propia de esa región. Ninguna región firma con la clave de otra.
Verificar no exige región
Revisar un recibo es criptografía de clave pública sobre el recibo que tienes. No pide cuenta, ni región, ni llamarnos.
| 503 | workspace_region_unavailableLa región del workspace no está disponible; no se procesó nada. Reintenta luego. |
| 503 | workspace_region_unknownEl valor de región del workspace no es una de las siete. |
| 503 | signing_unprovisionedNo se pudo contactar con la clave de firma (KMS); el recibo queda en espera como «Recibo pendiente» y se reintenta. |
| 400 | region_requires_paid_planSe pidió una región que su plan no incluye. |
Los recibos se firman en la región, por Trustvice.
Trustvice firma sus propios recibos. Cada uno se firma con Ed25519 mediante una clave de AWS KMS que Trustvice guarda en la región de datos del recibo; la clave privada nunca sale de KMS.
Publicado por Trustvice
Trustvice publica sus claves públicas como conjunto de claves en https://trustvice.com/.well-known/receipt-keys.json. Un recibo indica la clave que lo firmó en signatureKeyId.
Una clave por región
Cada una de las siete regiones tiene su propia clave de firma de recibos en AWS KMS, en esa región de AWS. El Worker solo tiene una credencial que únicamente sirve para firmar.
Los recibos antiguos se siguen verificando
Las claves retiradas permanecen en el conjunto de claves publicado, y los recibos antiguos siguen indicando la clave que los firmó.
/.well-known/receipt-keys.json{
"kty": "OKP",
"crv": "Ed25519",
"x": "…",
"kid": "…",
"alg": "EdDSA",
"use": "sig"
}- Lo que prueba
- Cualquiera puede comprobar la firma de un recibo con el conjunto de claves publicado de Trustvice.
- Lo que no logra probar
- Una región indica dónde procesa y guarda Trustvice tus datos. No demuestra dónde se almacenan los datos en reposo, ni dónde los conservan los subencargados o las copias de seguridad.
Qué cruza regiones.
Tres tipos de datos salen de una región, y cada uno figura aquí. Nada pasa de una región a otra.
Nada
El servicio de una región no accede a los recibos de otra. Cada uno lee solo su propia base de datos.
Cuenta y medición
Los metadatos que la entrada necesita para autenticarte y medir tu plan, y todo lo servido desde EE. UU.
Hashes para firmar y para bloquear
Cada recibo lo firma la clave KMS de la región en la misma región de AWS. Cada hora, los hashes de recibos de las horas cerradas se escriben en el bucket Object Lock de esa región. El contenido, el workspace y la cuenta, no.
Cómo un workspace obtiene región.
Eliges la región al crear el workspace. Una cuenta puede tener workspaces en varias regiones.
- Al registro
El formulario preselecciona la más cercana de las siete según tu ubicación y te deja cambiarla.
- Cada workspace posterior
El formulario de workspace tiene el mismo selector, así un equipo separa el trabajo UE del de EE. UU.
- Luego queda fija
No hay traslado. Para usar otra región, crea un workspace ahí y emite recibos nuevos desde él. Tus recibos siguen verificables donde sea que se emitieron.
Regiones por plan
Las regiones que puede elegir dependen de su plan. Consulte la página de precios para ver qué incluye su plan; pedir una región que su plan no incluye se rechaza.
¿Residencia en UE?
Elige Europa Central, Europa Oeste o Europa Norte. Las tres regiones europeas guardan datos bajo la jurisdicción UE de Cloudflare: Cloudflare los mantiene dentro de la UE pero elige el datacenter, y una base de datos de Cloudflare no se puede fijar a una ciudad concreta. Lo que cambia entre las tres es el servicio que atiende tus llamadas y la clave que firma tus recibos.
Región preseleccionada, por ubicación
Solo un valor por defecto del registro, según la ubicación de la solicitud. Siempre puedes elegir otra.
| Si te registras desde | Preselección |
|---|---|
| Los países nórdicos y bálticos | Europa Norte neur |
| Islas británicas, Francia, el Benelux, Iberia, Italia e Islandia | Europa Oeste weur-2 |
| Europa central y del este, los Balcanes, el Mediterráneo oriental, Oriente Medio y África | Europa Central weur-1 |
| Los estados y provincias del oeste de EE. UU. y Canadá, México, y EE. UU. o Canadá sin estado conocido | Oeste de EE. UU. wnam |
| Los estados y provincias del este de EE. UU. y Canadá, Centro y Sudamérica y el Caribe | Este de EE. UU. enam |
| Asia | Asia-Pacífico apac |
| Australia, Nueva Zelanda y las islas del Pacífico | Oceanía oc |
Si no se puede leer la ubicación, el formulario preselecciona US West.
Latencia
El trabajo se hace cerca de los datos, pero toda llamada pasa antes por la entrada. No publicamos cifras de latencia por región y no damos ninguna aquí.
- Origen
- Punto Cloudflare cercano
- Entrada
- Servicio regional
- Base de la región
Mide desde tu propia red con tu propio cliente.
Los documentos de una región
Esta página explica. Estos documentos obligan. Si un regulador o cliente necesita una declaración contractual de dónde están los datos, son los que debe leer.
Anexo de Tratamiento (DPA)
Sección 11 sobre transferencias: dónde se guardan los datos de cuenta y workspace, y las Cláusulas Contractuales Tipo.
Leer →Subprocesadores
Cloudflare y AWS con las ubicaciones que usa cada región, y 30 días de aviso antes de cualquier cambio.
Leer →Tu privacidad
Qué datos personales se tratan, dónde, cuánto tiempo y cómo ejercer tus derechos.
Leer →Enterprise
Requisitos de residencia, retención a medida, el SLA y los papeles de compras, pactados por contrato.
Leer →Entérate si una región cambia
Un correo cuando abre una región de datos o cambia lo que guarda una región. Nada más.
¿La residencia es un requisito? Dinos cuál.
Ventas puede guiar a tu equipo por las regiones, los documentos y qué promete y qué no una región.