Guía independiente de Cloudflare Tunnel

Cuándo usarlo

Cloudflare Tunnel sirve para publicar PlexSub sin abrir directamente puertos entrantes hacia tu servidor. Es útil si quieres exponer https://tu-dominio hacia la app local que escucha en Docker.

Configuración esperada en PlexSub

En .env:

Variable	Valor recomendado
APP_BASE_URL	URL pública HTTPS final.
TRUST_PROXY_LEVEL	1, si Cloudflare Tunnel es el proxy de confianza delante de PlexSub.
FORCE_SECURE_COOKIES	1.

No actives PLEXSUB_ALLOW_PRIVATE_TARGETS por usar Cloudflare Tunnel. Esa variable tiene otro propósito y afecta a seguridad de destinos internos.

Flujo general

1. Compra o configura un dominio en Cloudflare.
2. Crea un tunnel hacia el servidor donde corre Docker.
3. Apunta el hostname público a http://localhost:5000 o al puerto local publicado por Compose.
4. Configura APP_BASE_URL con la URL pública.
5. Reinicia la app.
6. Prueba login desde una ventana privada.

Demo pública

El compose de demo publica por defecto:

127.0.0.1:${DEMO_PORT:-5001}:5000

Esto encaja con Cloudflare Tunnel porque la demo queda accesible localmente para el túnel, pero no queda publicada en todas las interfaces del host.

Problemas típicos

Síntoma	Causa probable	Resolución
Login no persiste	Cookies/proxy mal configurados	Revisa APP_BASE_URL, TRUST_PROXY_LEVEL y HTTPS.
Redirecciones raras	URL pública no coincide	Ajusta APP_BASE_URL.
Error 502	Tunnel no llega al puerto local	Revisa puerto publicado y estado de contenedores.
Funciona local pero no externo	DNS/tunnel incompleto	Revisa hostname en Cloudflare.