ResidenciaTus recibos viven donde tú los pones.
Cada workspace tiene una ubicación de datos, elegida al crearlo: cualquiera de las ofrecidas (las siete regiones de datos más otras ubicaciones de AWS). Tus datos se almacenan allí. Los recibos y los contadores de cuota se procesan en la región de producto que la atiende; una ubicación que no sea una de las siete usa la más cercana. Cada recibo se firma en su región, con la clave de AWS KMS propia de esa región. Esta página dice exactamente qué es regional, qué no, y qué promete y qué no promete una región.
La elección de región depende de su planFree: consulte los límites del planUn workspace no se mueve
- Regiones de producto
- 7
- Bajo jurisdicción de la UE
- 3
- Claves de firma de recibos, una por región (AWS KMS)
- 7
- Desvíos ocultos hacia otra región
- 0
Siete regiones, un servicio cada una
Cada región es su propio servicio y su propia base de datos. Los pines del mapa son aproximados. No indican qué edificio aloja la base de datos.
- Región de AWS asociada
- Guardado bajo jurisdicción UE de Cloudflare
- Con pista de ubicación de Cloudflare
- Plano de cuentas y entrada: Panel, acceso, facturación y entrada de la API
Mapa esquemático. Costas simplificadas; las posiciones de los pines son aproximadas.
| Región | Código | Región de AWS asociada | Jurisdicción | Almacén |
|---|---|---|---|---|
| US East | enam | us-east-1 N. Virginia | ENAM | Pista ubicación |
| US WestRegión plan Free | wnam | us-west-2 Oregón | WNAM | Pista ubicación |
| Europa Central | weur-1 | eu-central-1 Fráncfort | WEUR-1 | Jurisdicción UE, impuesta |
| Europa Oeste | weur-2 | eu-west-1 Irlanda | WEUR-2 | Jurisdicción UE, impuesta |
| Europa Norte | neur | eu-north-1 Estocolmo | NEUR | Jurisdicción UE, impuesta |
| Asia-Pacific | apac | ap-southeast-1 Singapur | APAC | Pista ubicación |
| Oceania | oc | ap-southeast-2 Sídney | OC | Pista ubicación |
Los códigos son los valores de region en el estado de tu workspace. En las tres regiones europeas, Cloudflare mantiene los datos en la UE y elige el centro de datos, así que no se nombra ciudad para los datos. En las otras cuatro, la base de datos se crea con una pista de ubicación, que es una petición de colocación, no una garantía.
Descripción de Cloudflare de las jurisdicciones y pistas de ubicación de D1, a octubre de 2026: Ubicación de datos en D1 ↗
Qué se queda en la región y qué no se queda.
Solo el plano de datos es regional. El plano de cuentas se sirve desde Estados Unidos (US West), elijas la región que elijas. Una llamada se autentica con datos de cuenta en EE. UU. y pasa luego a tu región, donde se procesa y guarda.
- Recibos y sus cuerpos guardados, si se retienen
- Contadores de cuota del mes
- La clave de firma de recibos (AWS KMS) y la copia Object Lock de escritura única de los hashes de recibos, ambas en la región de AWS correspondiente
- Tareas de retención, purga y redacción de tus datos
- El panel y el sitio web público
- Acceso, sesiones y datos de cuenta: nombre, email, membresías
- Facturación, a través de Avonao Billing
- Control de claves API y tokens, y límite de tasa, en la entrada
- El plano de control y el log de auditoría
- Página de estado pública
Una región dice dónde se guardan y procesan los datos. No dice que el tráfico nunca salga de un borde de red: Cloudflare acepta la conexión en la ubicación más cercana a quien llama, que puede estar en cualquier sitio, y el contenido pasa por la entrada que lo recibe. El panel y los datos de cuenta están en EE. UU. en todo caso. Para una declaración contractual, lee el Anexo de tratamiento y la Política de privacidad, o pregúntanos.
Anexo de tratamiento (DPA) →Pol. privacidad →Pregunta a privacidad →
Cómo llega la llamada a tu región.
La entrada sabe la región de datos del workspace al que pertenece tu credencial y reenvía cada llamada al servicio de esa región, que lee y escribe solo en su base de datos.
Cuatro reglas que no se doblan
Sin desvío oculto
Si el servicio de tu región no está accesible, la llamada falla. Nunca se responde desde otra región, porque eso guardaría tus datos en un lugar que no elegiste. No se ha procesado nada.
Sin regiones extrañas
Un valor de región que no sea una de las siete se rechaza antes de hacer nada.
Una clave de firma por región
Los recibos de cada región los firma la clave de AWS KMS propia de esa región. Ninguna región firma con la clave de otra.
Verificar no necesita región
Comprobar un recibo es criptografía de clave pública sobre el recibo que tienes. No pide cuenta, ni región, ni llamarnos.
| 503 | workspace_region_unavailableLa región del workspace no está disponible; no se procesó nada. Reinténtalo. |
| 503 | workspace_region_unknownEl valor de región del workspace no es una de las siete. |
| 503 | signing_unprovisionedNo se pudo contactar con la clave de firma (KMS); el recibo queda en espera como «Recibo pendiente» y se reintenta. |
| 400 | region_requires_paid_planSe pidió una región que su plan no incluye. |
Los recibos se firman en la región, por Trustvice.
Trustvice firma sus propios recibos. Cada uno se firma con Ed25519 mediante una clave de AWS KMS que Trustvice guarda en la región de datos del recibo; la clave privada nunca sale de KMS.
Publicado por Trustvice
Trustvice publica sus claves públicas como conjunto de claves en https://trustvice.com/.well-known/receipt-keys.json. Un recibo indica la clave que lo firmó en signatureKeyId.
Una clave por región
Cada una de las siete regiones tiene su propia clave de firma de recibos en AWS KMS, en esa región de AWS. El Worker solo tiene una credencial que únicamente sirve para firmar.
Los recibos antiguos se siguen verificando
Las claves retiradas permanecen en el conjunto de claves publicado, y los recibos antiguos siguen indicando la clave que los firmó.
/.well-known/receipt-keys.json{
"kty": "OKP",
"crv": "Ed25519",
"x": "…",
"kid": "…",
"alg": "EdDSA",
"use": "sig"
}- Qué demuestra
- Cualquiera puede comprobar la firma de un recibo con el conjunto de claves publicado de Trustvice.
- Qué no llega a probar
- Una región indica dónde procesa y guarda Trustvice tus datos. No demuestra dónde se almacenan los datos en reposo, ni dónde los conservan los subencargados o las copias de seguridad.
Qué cruza regiones.
Tres tipos de datos salen de una región, y cada uno figura aquí. Nada pasa de una región a otra.
Nada
El servicio de una región no accede a los recibos de otra. Cada uno lee solo su propia base de datos.
Cuenta y medición
Los metadatos que la entrada necesita para autenticarte y medir tu plan, y todo lo que se sirve desde EE. UU.
Hashes para firmar y para bloquear
Cada recibo lo firma la clave KMS de la región en la misma región de AWS. Cada hora, los hashes de recibos de las horas cerradas se escriben en el bucket Object Lock de esa región. El contenido, el workspace y la cuenta, no.
Cómo recibe su región un workspace.
Eliges la región al crear el workspace. Una cuenta puede tener workspaces en varias regiones.
- Al alta
El formulario preselecciona la más cercana de las siete según tu ubicación y te deja cambiarla.
- Cada workspace después
El formulario de nuevo workspace tiene el mismo selector: el trabajo UE y EE. UU., aparte.
- Luego queda fija
No hay traslado. Para usar otra región, crea allí un workspace y emite recibos nuevos desde él. Los recibos que tienes siguen verificables, se emitieran donde se emitieran.
Regiones por plan
Las regiones que puede elegir dependen de su plan. Consulte la página de precios para ver qué incluye su plan; pedir una región que su plan no incluye se rechaza.
¿Residencia UE?
Elige Europa Central, Europa Oeste o Europa Norte. Las tres regiones europeas guardan datos bajo la jurisdicción UE de Cloudflare: Cloudflare los mantiene dentro de la UE pero elige el centro de datos, y una base de datos de Cloudflare no se puede fijar a una ciudad concreta. Lo que cambia entre las tres es el servicio que atiende tus llamadas y la clave que firma tus recibos.
Región preseleccionada, por ubicación
Solo un valor inicial del registro, según la ubicación de la petición. Siempre puedes elegir otra.
| Si te registras desde | Preselección |
|---|---|
| Los países nórdicos y bálticos | Europa Norte neur |
| Islas británicas, Francia, Benelux, península ibérica, Italia, Islandia | Europa Oeste weur-2 |
| Europa central y oriental, los Balcanes, el Mediterráneo oriental, Oriente Medio y África | Europa Central weur-1 |
| Estados y provincias del oeste de EE. UU. y Canadá, México, y EE. UU. o Canadá si no se sabe el estado | US West wnam |
| Estados y provincias del este de EE. UU. y Canadá, Centroamérica, Sudamérica y el Caribe | US East enam |
| Asia | Asia-Pacific apac |
| Australia, Nueva Zelanda e islas del Pacífico | Oceania oc |
Si no se puede leer la ubicación, el formulario preselecciona US West.
Latencia
El trabajo se hace cerca de los datos, pero cada llamada pasa antes por la entrada. No hemos publicado cifras de latencia por región y aquí no damos ninguna.
- Origen
- Punto Cloudflare más cercano
- Entrada
- Servicio regional
- BD de la región
Mide desde tu propia red con tu propio cliente.
Los documentos tras una región
Esta página explica; estos documentos vinculan. Si un regulador o un cliente pide una declaración contractual de dónde están los datos, hay que leer estos.
Anexo de tratamiento (DPA)
Sección 11 sobre transferencias: dónde se guardan los datos de cuenta y de workspace, y las Cláusulas contractuales tipo.
Leer →Subencargados
Cloudflare y AWS con las ubicaciones que usa cada región, y 30 días de aviso antes de cualquier cambio.
Leer →Pol. privacidad
Qué datos personales se tratan, dónde, cuánto tiempo y cómo ejercer tus derechos.
Leer →Enterprise
Requisitos de residencia, retención a medida, el SLA y el papeleo de compras, pactados por contrato.
Leer →Entérate si cambia una región
Un email cuando se abre una región o cambia lo que guarda una región. Nada más.
¿La residencia es un requisito? Dinos cuál es.
Ventas puede guiar a tu equipo por las regiones, los documentos y lo que una región promete y no promete.