Configuración de Amazon CloudFront

• Con el reenvío del Host del espectador deshabilitado, CloudFront usa el dominio de origen personalizado para su encabezado Host y para la Indicación de Nombre de Servidor (SNI) de TLS. Conserva esta configuración en ambas políticas en el paso 3.
• El endpoint de CloudFront de Profound devuelve cache-control: no-store por sí mismo, de modo que CloudFront nunca almacena una segunda copia, más desactualizada, del contenido que Profound ya almacena en caché.

​

Por qué el diseño es así

1. Una función de viewer request no puede cambiar el comportamiento de caché (cache behavior) con el que coincide una solicitud. CloudFront selecciona el comportamiento antes de que se ejecute la función, y reescribir el URI no hace que vuelva a evaluarse. Por lo tanto, el tráfico de asistentes permanece en el mismo comportamiento que el tráfico humano, en lugar de en un comportamiento dedicado con su propia política de caché.
2. Una función de viewer request puede cambiar el origen, incluida la creación de un grupo de orígenes por solicitud con conmutación por error (cf.createRequestOriginGroup, runtime cloudfront-js-2.0).

• El enrutamiento se realiza cambiando el origen, no el comportamiento. Como Origin path es una configuración por origen, una conmutación por error a tu origen predeterminado usa automáticamente la ruta original, sin prefijo. No es necesario reescribir rutas.
• Las solicitudes de asistentes y humanas comparten la política de caché del comportamiento, por lo que la clave de caché debe dividirse con un encabezado marcador (paso 3). Sin él, CloudFront puede servir a un asistente una copia almacenada en caché para humanos, o viceversa.

​

Requisitos previos

• Una distribución de CloudFront existente
• Permisos de AWS Identity and Access Management (IAM) para distribuciones, funciones y políticas de caché de CloudFront
• Tu clave de API de Dynamic Bot Rendering, un dominio registrado, una política de servicio vigente y una página de prueba publicada conocida. Consulta Antes de empezar.
• Solo páginas públicas y no personalizadas. El ejemplo permite /, /pricing, /docs y /docs/getting-started. Reemplázalas por páginas públicas revisadas; no incluyas rutas de API, autenticación, cuenta, administración ni recursos del framework.
• Registra las asociaciones de funciones, los orígenes y las políticas existentes para poder revertir los cambios. Conserva la lógica existente de seguridad, autenticación y reescritura. Si combinarla requiere un cambio en el diseño del enrutamiento, detente y revísalo por separado.
• Confirma que las reglas de firewall, los desafíos para bots y las listas de orígenes permitidos admiten tanto el tráfico de asistentes como las solicitudes de origen/scraper de Profound. El marcador de bucle no es una forma de eludir la autenticación ni el firewall.

​

Configuración

import cf from 'cloudfront';

// Keep this list in sync with the supported assistants in the Profound docs.
var BOT_RE = /duckassistbot|chatgpt-user|gemini-deep-research|perplexity-user|amzn-user|mistralai-user|claude-user|claude-code|codex/i;

// Replace with reviewed public, non-personalized page paths.
var PUBLIC_PATHS = ['/', '/pricing', '/docs', '/docs/getting-started'];
var PUBLIC_HOSTS = ['www.example.com'];

function handler(event) {
    var request = event.request;
    var headers = request.headers;

    // Never trust these from a client. The API key and host come from the
    // origin's custom headers; the route marker feeds the cache key, so a
    // spoofed value could pollute the assistant cache entry.
    delete headers['x-concierge-api-key'];
    delete headers['x-concierge-host'];
    delete headers['x-concierge-url'];
    delete headers['x-concierge-route'];

    // Loop protection: Profound stamps x-concierge-request on its own origin
    // fetches. Never route those back to Profound.
    if (request.method !== 'GET' || headers['x-concierge-request']) {
        return request;
    }

    // CloudFront exposes cookies separately from request.headers.
    if (headers.authorization || Object.keys(request.cookies || {}).length > 0) {
        return request;
    }

    var ua = headers['user-agent'] ? headers['user-agent'].value : '';

    var isAssistant = BOT_RE.test(ua);
    var isPublicPage = PUBLIC_PATHS.indexOf(request.uri) !== -1;
    var host = headers.host ? headers.host.value : '';

    if (!isAssistant || !isPublicPage || PUBLIC_HOSTS.indexOf(host) === -1) {
        return request;
    }

    // Split the cache key. This header is in the behavior's cache policy,
    // so assistant responses never collide with human cache entries.
    headers['x-concierge-route'] = { value: 'bot' };

    // Multi-domain distributions only (see Step 1): derive the host from
    // the viewer Host header instead of a static origin custom header.
    // headers['x-concierge-host'] = { value: headers.host.value };

    // Try Profound first; fall back to your own origin if Profound is down
    // or misconfigured. CloudFront accepts 400, 403, 404, 416, 429, 500,
    // 502, 503 and 504 as failover criteria. 401 is not allowed, so a 401
    // from a bad API key surfaces to the assistant instead of failing over.
    // 404 is deliberately omitted: Profound fails open internally and
    // returns your origin's own status, so a 404 is your real 404 and
    // retrying would double-fetch. 429 is also omitted and passes through.
    cf.createRequestOriginGroup({
        originIds: [
            { originId: 'Profound_Origin' },
            { originId: 'YOUR_DEFAULT_ORIGIN' }
        ],
        failoverCriteria: {
            statusCodes: [400, 403, 500, 502, 503, 504]
        }
    });

    return request;
}

curl -sD - -o /dev/null https://www.example.com/pricing -A 'chatgpt-user'

​

Cómo se comporta la división de caché

• Las solicitudes humanas nunca llevan el marcador, porque la función elimina cualquier copia proporcionada por el cliente. El marcador separa sus entradas de las de los asistentes, pero los cambios en las políticas de consultas y encabezados pueden afectar las tasas de aciertos de caché para humanos.
• Las solicitudes de asistentes que cumplen los requisitos llevan x-concierge-route: bot y obtienen sus propias entradas.
• Las respuestas de Profound establecen cache-control: no-store, por lo que, con Minimum TTL en 0, las entradas con clave de asistente solo se llenan con respuestas de conmutación por error de tu propio origen: contenido correcto, que vence según el TTL de tu propio origen.

​

Revertir los cambios