Cómo añadir comentarios a un blog Astro usando solo Cloudflare

Los sitios estáticos son sencillos hasta que necesitan guardar estado. Un sistema de comentarios es un buen ejemplo.

En Acecore no usamos un servicio externo de comentarios. En PR #101 lo resolvimos solo con Cloudflare:

• Astro muestra la UI.
• Cloudflare Pages Functions expone /api/comments.
• Cloudflare D1 guarda los comentarios.
• Cloudflare Turnstile protege el POST.
• wrangler.jsonc separa preview y production.

La ventaja es que el comentario no queda como una isla de terceros dentro de la página.

Arquitectura

La UI lee con GET /api/comments?slug=...&locale=... y publica con POST /api/comments.

La Function valida origin, payload, Turnstile, límites, duplicados y contenido bloqueado antes de insertar.

D1 como almacenamiento

Los comentarios necesitan consultas simples pero relacionales:

• filtrar por post_slug
• ordenar por created_at
• ocultar con deleted_at
• detectar duplicados con body_hash
• limitar por client_hash

Por eso D1 es más cómodo que un almacén key-value. Además, las consultas usan prepared statements con bind(), evitando concatenar input del usuario en SQL.

Configuración por Wrangler

El binding COMMENTS_DB se define en wrangler.jsonc. Preview apunta a acecore-comments-preview; production apunta a acecore-comments-production.

Esta separación evita que una preview de Pull Request escriba en la base real.

Turnstile en servidor

El widget del navegador no basta. El token se envía a Pages Functions y allí se valida contra Cloudflare Siteverify con TURNSTILE_SECRET_KEY.

También se comprueba el hostname devuelto. Esto es importante para aceptar previews legítimas y rechazar tokens emitidos desde orígenes inesperados.

Controles anti-spam

La primera versión es estricta:

• rechaza URLs
• rechaza emails
• rechaza HTML
• rechaza enlaces Markdown
• rechaza texto repetitivo
• rechaza palabras promocionales
• usa honeypot

También combina límites en memoria con límites persistentes en D1. El identificador del cliente se guarda como hash con salt, no como IP sin procesar.

SEO

Los comentarios se cargan en cliente y la sección usa data-pagefind-ignore. Por tanto, no se indexan como contenido principal.

Para un blog corporativo, esto es razonable: el artículo es contenido revisado; los comentarios son interacción.

Resumen

Un servicio externo puede ser práctico, pero si el sitio ya vive en Cloudflare Pages, una función de comentarios ligera puede vivir enteramente en Cloudflare.

Pages Functions, D1, Turnstile y Wrangler son suficientes para mantener UI, datos, seguridad y entornos bajo el mismo modelo operativo.

Referencias

• Cloudflare Pages: Configuration
• Cloudflare Pages Functions: Bindings
• Cloudflare D1: Prepared statement methods
• Cloudflare D1: Wrangler commands
• Cloudflare Turnstile: Server-side validation
• Cloudflare Turnstile: Any Hostname
• PR #101: Comentarios con Cloudflare