Ajouter des commentaires à un blog Astro avec Cloudflare uniquement

Ajouter des commentaires à un site statique revient à ajouter de l’état.

Pour Acecore, nous n’avons pas utilisé de service externe de commentaires. Dans PR #101, la fonctionnalité reste entièrement sur Cloudflare.

• Astro affiche l’interface.
• Cloudflare Pages Functions expose /api/comments.
• Cloudflare D1 stocke les commentaires.
• Cloudflare Turnstile protège les envois.
• wrangler.jsonc sépare preview et production.

Le point fort est clair : la zone de commentaires n’est pas un îlot tiers dans la page.

Architecture

L’interface lit avec GET /api/comments?slug=...&locale=... et publie avec POST /api/comments.

La Function valide origin, payload, Turnstile, limites, doublons et contenu bloqué avant insertion.

Pourquoi D1

Les commentaires demandent des requêtes simples mais relationnelles : filtrer par article, trier par date, masquer avec deleted_at, limiter par client et détecter les doublons.

D1 permet de le faire en SQL. Les lignes visibles sont celles où deleted_at IS NULL.

Les requêtes passent par des prepared statements et bind(), sans concaténer les entrées utilisateur dans le SQL.

Wrangler comme contrat

Le binding COMMENTS_DB est défini dans wrangler.jsonc. Preview pointe vers acecore-comments-preview; production vers acecore-comments-production.

C’est important : une preview de Pull Request ne doit pas écrire dans la base de production.

La documentation Cloudflare Pages indique aussi que la configuration Wrangler devient la source de vérité du projet Pages.

Turnstile côté serveur

Le widget visible dans le navigateur ne suffit pas.

Le token est envoyé à la Pages Function, puis validé via Cloudflare Siteverify avec TURNSTILE_SECRET_KEY.

Le hostname retourné est également vérifié pour éviter d’accepter un token émis depuis un domaine inattendu.

Anti-spam

La première version est stricte :

• pas d’URL
• pas d’adresse e-mail
• pas de HTML
• pas de lien Markdown
• pas de répétitions excessives
• pas de termes promotionnels courants
• champ honeypot

Le rate limit existe en mémoire et dans D1. Le client est identifié par un hash salé, pas par une IP brute stockée telle quelle.

SEO

Les commentaires sont chargés côté client et la section utilise data-pagefind-ignore. Ils ne sont pas indexés comme contenu principal.

Pour un blog d’entreprise, c’est un choix sain : l’article est éditorial, les commentaires sont interactifs.

Résumé

Un service externe de commentaires est pratique, mais pas obligatoire.

Avec Cloudflare Pages, Pages Functions, D1, Turnstile et Wrangler suffisent pour une fonctionnalité légère et maîtrisée.

Références

• Cloudflare Pages: Configuration
• Cloudflare Pages Functions: Bindings
• Cloudflare D1: Prepared statement methods
• Cloudflare D1: Wrangler commands
• Cloudflare Turnstile: Server-side validation
• Cloudflare Turnstile: Any Hostname
• PR #101: Commentaires avec Cloudflare