R2

R2 nedir?

R2, S3 API’siyle uyumlu bir object storage servisidir. Resmî tanım:

“Cloudflare R2 is an S3-compatible object storage service with no egress fees, built on Cloudflare’s global network. It is strongly consistent and designed for high data durability.”

Çözdüğü problem tek cümleyle: “store large amounts of unstructured data without the costly egress bandwidth fees associated with typical cloud storage services.”

Dayanıklılık %99,999999999 (on bir dokuz), erişilebilirlik SLA’sı %99,9.

Nasıl çalışır?

Mimari

Dört bileşen: R2 Gateway (Workers üzerinde çalışan kimlik doğrulama ve yönlendirme katmanı), Metadata Service (Durable Objects üzerine kurulu dağıtık metadata katmanı), Tiered Read Cache ve dağıtık depolama altyapısı.

Yazma yolunun sonu önemli: “Only after this commit is an HTTP 200 success response sent to the client, preventing unacknowledged writes.”

Tutarlılık — R2’nin en güçlü yanı

Şunların hepsi güçlü tutarlı: yazma sonrası okuma, metadata güncellemeleri, silme, ve nesne listeleme. Yalnızca IAM eventual consistent (“may take up to a minute”).

S3 uyumluluğu — ne var, ne yok

Endpoint: https://<HESAP_ID>.r2.cloudflarestorage.com. Bölge her zaman auto; uyumluluk için boş değer ve us-east-1 de kabul edilir.

Uygulanmış nesne işlemleri: HeadObject, ListObjects, GetObject, PutObject, DeleteObject, DeleteObjects, CopyObject, ve tüm multipart işlemleri.

Uygulanmamış — dürüst boşluklar:

R2’ye özel eklentiler: PutObject’te cf-create-bucket-if-missing: true başlığı, CopyObject’te x-amz-metadata-directive: MERGE, ve 1.000’den fazla bucket’ı olan hesaplar için genişletilmiş ListBuckets.

Multipart upload

Genel erişim — iki ayrı mekanizma

Yaşam döngüsü (lifecycle)

Bucket başına en fazla 1.000 kural, önek bazlı. Nesneler x-amz-expiration değerinden sonra genellikle 24 saat içinde silinir.

Maliyet açısından kritik iki nokta:

• “When an object is transitioned from Standard storage to Infrequent Access storage, a Class A operation is incurred.” — her geçiş faturalanır.
• “Once an object is stored in Infrequent Access, it cannot be transitioned to Standard Access using lifecycle policies.” — geri dönüş yok.

Yargı bölgeleri ve konum ipuçları

Location Hint bir kez uygulanır: “Location Hints are only honored the first time a bucket with a given name is created.” Aynı adla silip yeniden oluşturursan eski konum korunur.

Türkiye için tanımlı bir yargı bölgesi yoktur. En yakını AB.

Ne zaman kullanılır, ne zaman kullanılmaz

Uygun olduğu işler

• Medya ve dosya dağıtımı — egress ücretsizliği burada en çok işe yarar
• Yedekleme ve arşiv
• Kullanıcı yüklemeleri
• Statik varlık barındırma
• Veri gölü depolama katmanı (Iceberg tabloları için)

Uygun olmadığı işler

• Versiyonlama gerekiyorsa. Uygulanmamış; yanlış yazma geri alınamaz.
• Object tagging ile maliyet dağıtımı yapıyorsan. Yalnızca önek bazlı kurallar var.
• İnce taneli IAM politikası gerekiyorsa. Policy dili yok, 4 izin seviyesi var.
• Bölgeler arası replikasyon gerekiyorsa. Yok.
• Derin arşiv katmanı arıyorsan. Yalnızca Standard ve Infrequent Access var; Glacier benzeri bir katman yok. IA’nın 0,01 USD/GB-ay fiyatı gerçek bir derin arşiv katmanının yaklaşık 3 katıdır.
• Tek bir sıcak nesneye yüksek eşzamanlı yazma yapıyorsan. Aynı anahtara saniyede 1 yazma sınırı var, aşınca 429.
• Verinin Türkiye’de kalması gerekiyorsa. tr yargı bölgesi yok.

S3 karşılaştırması

Bu, Türk kullanıcıların R2’ye bakma sebebinin neredeyse tamamı. Dürüst cevap şu:

Örnek hesap — medya dağıtımı

10 TB depolama, ayda 100 TB egress, 5 milyon yazma, 200 milyon okuma:

Aynı iş yükünü S3’te hesaplarken belirleyici satır veri çıkışıdır ve 100 TB’ta bu kalem tek başına yukarıdaki toplamın kat kat üstüne çıkar. AWS fiyatlarını bu portalda yayımlamıyoruz; kendi hesabını AWS’nin resmî fiyat sayfasından doğrula.

“Egress ücretsiz”in dört kaydı

1. Egress ücretsiz ama istek değil. Her okuma bir Class B işlemi. Çok sayıda küçük dosya sunan bir iş yükü bant genişliğinden değil, işlem sayısından faturalanır.
2. Worker üzerinden servis edersen Workers ücreti eklenir. Resmî ifade: “Since Cloudflare Workers runs before the Cloudflare cache, the caching of a request still incurs costs.”
3. r2.dev ücretsiz ama üretime uygun değil. Hız sınırlı.
4. Infrequent Access’te egress ücretsiz ama retrieval değil. 0,01 USD/GB, artı 30 günlük minimum.

Somut örnekler

1. Worker ile kimlik doğrulamalı yükleme ve indirme

{
  "r2_buckets": [{ "binding": "KOVA", "bucket_name": "medya-varliklari" }]
}

export default {
  async fetch(request, env) {
    const url = new URL(request.url);
    const anahtar = url.pathname.slice(1);

    switch (request.method) {
      case "PUT":
        await env.KOVA.put(anahtar, request.body, {
          httpMetadata: { contentType: request.headers.get("content-type") },
          storageClass: "Standard",
        });
        return new Response(`${anahtar} yüklendi`);

      case "GET": {
        const nesne = await env.KOVA.get(anahtar);
        if (nesne === null) return new Response("Bulunamadı", { status: 404 });

        const headers = new Headers();
        nesne.writeHttpMetadata(headers);
        headers.set("etag", nesne.httpEtag);
        return new Response(nesne.body, { headers });
      }

      default:
        return new Response("İzin verilmeyen metot", {
          status: 405, headers: { Allow: "PUT, GET" },
        });
    }
  },
};

2. Presigned URL ile doğrudan tarayıcıdan yükleme

Dosya senin sunucundan geçmez — bant genişliği ve CPU tasarrufu.

import { S3Client, PutObjectCommand } from "@aws-sdk/client-s3";
import { getSignedUrl } from "@aws-sdk/s3-request-presigner";

const S3 = new S3Client({
  region: "auto",   // SDK istiyor, R2 kullanmıyor
  endpoint: `https://${HESAP_ID}.r2.cloudflarestorage.com`,
  credentials: { accessKeyId: ANAHTAR_ID, secretAccessKey: GIZLI_ANAHTAR },
});

const yuklemeUrl = await getSignedUrl(
  S3,
  new PutObjectCommand({
    Bucket: "medya-varliklari",
    Key: `yuklemeler/${crypto.randomUUID()}.png`,
    ContentType: "image/png",   // yalnızca bu türe izin verir
  }),
  { expiresIn: 3600 },          // 1 saniye – 7 gün arası
);

3. Yedekleme — otomatik katman geçişi

import boto3

s3 = boto3.client(
    service_name="s3",
    endpoint_url=f"https://{HESAP_ID}.r2.cloudflarestorage.com",
    aws_access_key_id=ANAHTAR_ID,
    aws_secret_access_key=GIZLI_ANAHTAR,
    region_name="auto",
)
s3.upload_file("yedek.dump", "yedekler", "db/2026-09-01.dump")

import { S3Client, PutObjectCommand } from "@aws-sdk/client-s3";
import { readFile } from "node:fs/promises";

const s3 = new S3Client({
  region: "auto",
  endpoint: `https://${HESAP_ID}.r2.cloudflarestorage.com`,
  credentials: { accessKeyId: ANAHTAR_ID, secretAccessKey: GIZLI_ANAHTAR },
});

await s3.send(new PutObjectCommand({
  Bucket: "yedekler",
  Key: "db/2026-09-01.dump",
  Body: await readFile("yedek.dump"),
}));

npx wrangler r2 object put yedekler/db/2026-09-01.dump --file ./yedek.dump

Yaşam döngüsü kuralları:

# 30 gün sonra ucuz katmana geç
npx wrangler r2 bucket lifecycle add yedekler eskiyi-tasi "db/" --ia-transition-days 30
# 1 yıl sonra sil
npx wrangler r2 bucket lifecycle add yedekler eskiyi-sil "db/" --expire-days 365
# yarım kalan yüklemeleri temizle
npx wrangler r2 bucket lifecycle add yedekler mpu-temizle "" --abort-multipart-days 3

4. Olay tabanlı işlem hattı — yükleme → Queue → Worker

npx wrangler r2 bucket notification create medya-varliklari \
  --event-types object-create --queue islem-kuyrugu --suffix ".mp4"

Kuyruğa düşen mesaj:

{
  "account": "3f4b7e3d...",
  "action": "PutObject",
  "bucket": "medya-varliklari",
  "object": { "key": "video/tanitim.mp4", "size": 65536, "eTag": "c846ff..." },
  "eventTime": "2026-09-01T19:36:44.379Z"
}

Bucket başına en fazla 100 bildirim kuralı; önek ve sonek filtresi var, regex yok.

5. Uyum arşivi — WORM

npx wrangler r2 bucket lock add uyum-loglari
npx wrangler r2 bucket lock list uyum-loglari

Resmî tanım: “Bucket locks prevent the deletion and overwriting of objects in an R2 bucket for a specified period — or indefinitely.”

Demo 1: Bucket kurup custom domain ile yayınlama

Adım 1 — Bucket oluştur

npx wrangler r2 bucket create demo-kova --location weur
npx wrangler r2 bucket info demo-kova

Adım 2 — Nesne yükle

npx wrangler r2 object put demo-kova/merhaba.txt --file ./merhaba.txt
npx wrangler r2 object get demo-kova/merhaba.txt

Adım 3 — Custom domain bağla

npx wrangler r2 bucket domain add demo-kova \
  --domain varlik.alanadin.com --zone-id <ZONE_ID> --min-tls 1.2
npx wrangler r2 bucket domain list demo-kova

Adım 4 — dev URL’i kapat

npx wrangler r2 bucket dev-url disable demo-kova

Adım 5 — WAF kuralının çalıştığını doğrula

Adım 6 — Presigned URL ile tarayıcıdan yükleme

Demo 2: Şirket içi MinIO’dan R2’ye geçiş

Bu demoyu senin on-prem MinIO kurulumunla yapacağız — S3 uyumluluğunun gerçekte ne kadar sorunsuz olduğunu ölçmek için.

Adım 1 — Kaynak MinIO’yu hazırla

Adım 2 — Super Slurper ile toplu taşıma

Adım 3 — Aynı kodu iki hedefe karşı çalıştır

Uygulama kodunda yalnızca endpoint değiştirilir.

Adım 4 — Uyumsuzlukları bul

Versioning, tagging ve multipart parça boyutu testlerini çalıştır.

Adım 5 — Gecikme ve maliyet karşılaştırması

Ölçüm

Fiyatlandırma

Rakamlar 1 Eylül 2026’da üç bağımsız resmî sayfadan doğrulanmıştır.

Ücretsiz katman: ayda 10 GB-ay depolama, 1 milyon Class A, 10 milyon Class B. Yalnızca Standard için geçerlidir.

Ücretsiz işlemler: DeleteObject, DeleteBucket, AbortMultipartUpload. Ayrıca yetkisiz istekler (HTTP 401) faturalanmaz.

Infrequent Access tuzağı

Cloudflare’in kendi iki örneği:

IA yalnızca gerçekten seyrek okunan ve uzun süre duran veri için ucuzdur.

Lisanslama ve hukuki çerçeve

R2 tescilli bir hizmettir; Cloudflare Hizmet Şartları kapsamındadır. Yüklediğin verinin mülkiyeti sende kalır.

Şifreleme. Dinlenme hâlinde AES-256 GCM, Cloudflare yönetimli anahtarlarla, otomatik ve kapatılamaz. Kendi anahtarını kullanmak istersen SSE-C desteklenir — ama resmî uyarı sert: “In the event you misplace them, Cloudflare will be unable to recover the body of any objects encrypted using those keys.”

Veri yerleşimi ve KVKK. Yargı bölgesi kısıtı gerçek bir garantidir: eu seçildiğinde endpoint değişir ve o yargı alanı dışından erişilemez. Türkiye için tanımlı bölge yoktur. Verinin Türkiye’de kalması gereken bir yükümlülüğün varsa R2 tek başına bunu karşılamaz.

Limitler

Bucket adı kuralları: 3–63 karakter, yalnızca küçük harf, rakam ve tire; tireyle başlayamaz veya bitemez.

Sık yapılan hatalar

Custom domain ekleyip r2.dev’i açık bırakmak. WAF, Access ve Bot Management sessizce atlatılabilir hâle gelir.

r2.dev’e CNAME çekmek. Resmî olarak desteklenmeyen erişim yolu.

Object seviyesi token’ı REST API’ye karşı kullanmak. Object token’ları yalnızca S3 API içindir; REST API 401 veya 403 döner.

REST API ile toplu nesne işlemi yapmak. 5 dakikada 1.200 istek sınırı var; S3 API veya Workers API kullan.

Değişken boyutlu multipart parçalar. S3’te çalışır, R2’de çalışmaz.

Location Hint’i garanti sanmak. En iyi çabadır ve bucket adının ilk oluşturulmasına sabitlenir.

Infrequent Access’i her zaman ucuz sanmak. 30 günlük minimum ve retrieval ücreti kısa ömürlü veride onu pahalı yapar.

list() sonucunu limit ile karşılaştırmak. Resmî uyarı: “applications must be careful to avoid comparing the amount of returned objects against your limit. Instead, use the truncated property.”

CORS sorununu CORS sanmak. Önce cf-mitigated başlığına (WAF engellemiş) ve cf-cache-status eksikliğine (Hotlink Protection engellemiş) bak.

Lifecycle geçişinin Class A ücreti doğurduğunu unutmak. Her Standard → IA geçişi faturalanır.