10月2日，Cloudflare 为 Quick Tunnels 增加了邮件认证。Quick Tunnels 不需要账户，就能通过临时 trycloudflare.com 地址公开本地服务。
在 cloudflared 2026.9.3 及以上版本中，--allowed-mail 可以指定允许的邮箱地址或域名。访客使用 Cloudflare Access 发送的一次性 PIN 认证。
创建隧道的人和访客都不需要 Cloudflare 账户。但如果省略 --allowed-mail，任何知道链接的人仍能访问。
因此是否启用限制取决于实际执行的命令。尤其是自动化工具创建的隧道，需要检查是否带上了该选项。
请求数量与认证方式的限制
Quick Tunnels 用于开发和测试，没有可用性保证。每条隧道最多同时处理200个请求，超过后返回 HTTP 429。
它不支持让服务器持续推送事件的 Server-Sent Events（SSE）。邮件认证还需要交互式浏览器，并不适合非交互式客户端。
每次创建隧道都会分配新的临时主机名，因此不适合作为生产环境的固定地址或长期流式连接。
分别检查允许和拒绝的访客
Cloudflare 文档给出的单邮箱允许命令如下。
cloudflared tunnel --url http://localhost:8080 --allowed-mail alice@example.com分别使用允许和未允许的邮箱访问，可以确认预期的认证限制是否启用。修改允许名单需要重启隧道，进程结束后访问也会终止。
这些是依据文档提出的检查方法，并非本文实际运行隧道的结果。
Quick Tunnels 的邮件保护适合临时浏览器演示，但不能保证生产可用性，也不能为所有客户端提供认证。