Bun.Image: sharp se queda corto en este benchmark
Aparte del HTTP/3, Bun 1.3.14 mete Bun.Image como API nativa: JPEG, PNG, WebP, GIF, BMP y formatos por plataforma, con una pipeline encadenable (resize, rotate, flip). Los números que publica el equipo son agresivos: metadata 70× más rápido que sharp, decoding hasta 5× más rápido. Si hoy disparás un child_process a libvips para thumbnails, esto es un caso real para revisitar. Y todo viene sin dependencias nativas que romper en producción.
Astro 6.3: traete tu propio router (Hono incluido) y rompé el pipeline fijo
Astro 6.3 abrió la caja negra del pipeline. Hasta acá, middleware, actions, i18n y rendering corrían en un orden fijo decidido por el framework. Ahora podés exportar un handler fetch propio y componer la cadena vos — incluso traer Hono como router de primera. Mirá esto: app.use(logger()); app.use(async (c, next) => { if (new URL(c.req.url).pathname.startsWith("/admin")) {…} }), y al final delegás a Astro. Es experimental, pero abre la puerta a meter middleware Hono dentro de Astro sin proxies. Además: redirects en URLs de imágenes externas (hasta 10 saltos), procesamiento SVG off by default por seguridad y un consume() nuevo en AstroCookies.
Cloudflare Containers: SSH vía Wrangler queda activo por defecto
Hasta ayer, para hacer wrangler containers ssh tenías que poner ssh.enabled: true en la config del Container. Cloudflare lo prende por defecto a partir del 12 de mayo. Importante: no expone puertos públicos en tu container — el túnel sigue siendo via Wrangler, así que el blast radius es cero. Agregás tu clave pública para conectarte y listo, o lo apagás explícitamente si no querés la capability. Ojo si tu policy interna prohíbe SSH en prod: tocá la config para opt-out antes del próximo deploy.
CodeQL 2.25.4: análisis de seguridad llega a las funciones serverless de Vercel
GitHub publicó CodeQL 2.25.4 el 12 de mayo con varios cambios concretos. El más jugoso para nosotros: el motor extiende su análisis a las funciones serverless de Vercel, así que el code scanning va a reconocer los handlers de App Router, Pages API y Server Functions como entrypoints de taint analysis sin que tengas que escribir queries custom. Suma soporte de Swift 6.3.1, mejor precisión en C# y un nuevo mecanismo de data flow barrier extensions en casi todos los lenguajes — incluyendo TypeScript/JavaScript — para que puedas cortar falsos positivos sin tocar las queries base. Si tenés Advanced Security en repos Next.js o monorepos con functions, este upgrade vale.
Cloudflare Agents SDK v0.12.4: chat recovery, retries de routing y Voice más predecible
El SDK de Agents en Workers tira v0.12.4 con cuatro cambios que valen leer: chat recovery para volver de cortes sin perder estado del agente, routing retries para que un fallo transitorio no mate la conversación, durable Think submissions que persisten el paso intermedio del razonamiento, y control fino del connection lifecycle en Voice. Si tenés agentes corriendo sobre Durable Objects, esto te baja la cantidad de logs "connection dropped, user re-tried" en producción.
Tendencias Destacadas
El bombazo de la semana es Bun 1.3.14 con HTTP/3 server + cliente. Pasamos de «Bun, una alternativa rápida a Node» a «Bun, el primer runtime JS con QUIC nativo». Si servís APIs detrás de CDN, mirá el ahorro de RTT en serio.
OpenTelemetry Graduated cierra un capítulo: las trazas, métricas y logs OTLP son ahora la lengua franca del cloud. Si todavía tenés agentes propietarios, el costo de cambio sólo va a subir.
Astro metiendo Hono como router y Bun trayendo HTTP/3 muestran la misma tendencia: los frameworks fullstack ya no quieren reinventar el server runtime, sino delegar en piezas chicas y rápidas.
Bun.Image: sharp comes up short in this benchmark
Beyond HTTP/3, Bun 1.3.14 ships Bun.Image as a native API: JPEG, PNG, WebP, GIF, BMP, plus platform-specific formats, with a chainable pipeline (resize, rotate, flip). The team's numbers are aggressive: metadata 70× faster than sharp, decoding up to 5× faster. If you currently shell out a child_process to libvips for thumbnails, this is a real revisit. And it ships with zero native deps to fight in production.
Astro 6.3: bring your own router (Hono first-class) and break the fixed pipeline
Astro 6.3 cracked open the black-box pipeline. Until now, middleware, actions, i18n and rendering ran in a fixed framework-decided order. Now you can export a fetch handler and compose the chain yourself — even bring Hono as a first-class router. Look at this: app.use(logger()); app.use(async (c, next) => { if (new URL(c.req.url).pathname.startsWith("/admin")) {…} }), and finally hand off to Astro. It is experimental, but it lets you drop Hono middleware inside Astro without proxies. Also: redirect support on external image URLs (up to 10 hops), SVG processing now off by default for safety, and a new consume() on AstroCookies.
Cloudflare Containers: SSH through Wrangler is now on by default
Until yesterday, running wrangler containers ssh required setting ssh.enabled: true in your Container config. Cloudflare flipped it on by default as of May 12. Important: it does not expose any public ports on your container — the tunnel still goes through Wrangler, so blast radius is zero. Add your public key to connect, or opt out explicitly if you do not want the capability. Watch out if your internal policy forbids SSH in prod: flip the opt-out before the next deploy.
CodeQL 2.25.4: security analysis extends to Vercel serverless functions
GitHub shipped CodeQL 2.25.4 on May 12 with several concrete changes. The juicy bit: the engine extends its security analysis to Vercel serverless functions, so code scanning will recognize App Router, Pages API and Server Functions handlers as taint-analysis entrypoints without custom queries. It also adds Swift 6.3.1 support, sharper C# precision, and a new data flow barrier extensions mechanism across nearly every supported language — including TypeScript/JavaScript — to suppress false positives without rewriting the base queries. If you run Advanced Security on Next.js repos or monorepos with functions, this upgrade earns its keep.
Cloudflare Agents SDK v0.12.4: chat recovery, routing retries, and steadier Voice
The Workers Agents SDK lands v0.12.4 with four worth-reading changes: chat recovery to resume from drops without losing agent state, routing retries so transient failures do not kill the conversation, durable Think submissions that persist the intermediate reasoning step, and finer connection lifecycle control in Voice. If you run agents on Durable Objects, this trims the "connection dropped, user retried" lines in your prod logs.
Notable Trends
The bombshell of the week is Bun 1.3.14 with HTTP/3 server + client. We have moved from "Bun, a fast Node alternative" to "Bun, the first JS runtime with native QUIC". If you serve APIs behind a CDN, the RTT savings deserve a real look.
OpenTelemetry Graduated closes a chapter: OTLP traces, metrics, and logs are now the cloud's lingua franca. If you still run proprietary agents, the switching cost will only go up.
Astro embedding Hono as router and Bun bringing HTTP/3 point the same way: fullstack frameworks no longer want to reinvent the server runtime — they delegate to small, fast pieces.
Bun.Image : sharp décroche dans ce benchmark
En plus de HTTP/3, Bun 1.3.14 livre Bun.Image comme API native : JPEG, PNG, WebP, GIF, BMP plus formats spécifiques, pipeline chaînable (resize, rotate, flip). Les chiffres du team sont agressifs : metadata 70× plus rapide que sharp, décodage jusqu'à 5×. Si vous spawnez aujourd'hui libvips via child_process, ça vaut le détour.
Astro 6.3 : amenez votre routeur (Hono inclus) et cassez le pipeline fixe
Astro 6.3 ouvre la boîte noire du pipeline. Jusqu'à présent, middleware, actions, i18n et rendering tournaient dans un ordre fixe imposé. Désormais vous exportez un handler fetch et composez la chaîne — y compris en plaçant Hono comme routeur de première classe. Expérimental, mais on insère du middleware Hono dans Astro sans proxies. Aussi : redirections sur les URLs d'images externes (jusqu'à 10), traitement SVG off par défaut pour la sécurité, et un nouveau consume() dans AstroCookies.
Cloudflare Containers : SSH via Wrangler activé par défaut
Jusqu'à hier, wrangler containers ssh exigeait ssh.enabled: true dans la configuration du Container. Cloudflare l'active par défaut à partir du 12 mai. Important : aucun port public n'est exposé — le tunnel passe par Wrangler. Ajoutez votre clé publique pour vous connecter, ou désactivez explicitement si la capability ne vous convient pas.
CodeQL 2.25.4 : l'analyse sécurité couvre les fonctions serverless Vercel
GitHub a publié CodeQL 2.25.4 le 12 mai avec plusieurs changements concrets. Le plus important : le moteur étend son analyse aux fonctions serverless Vercel — le code scanning reconnaît App Router, Pages API et Server Functions comme entrées de taint analysis sans queries custom. Ajout du support Swift 6.3.1, précision améliorée en C# et un nouveau mécanisme de data flow barrier extensions sur presque tous les langages supportés.
Cloudflare Agents SDK v0.12.4 : reprise de chat, retries de routing et Voice plus stable
Le SDK Agents pour Workers livre v0.12.4 avec quatre changements notables : chat recovery pour reprendre après coupure sans perdre l'état, routing retries pour qu'une erreur transitoire ne tue pas la conversation, durable Think submissions qui persistent l'étape intermédiaire de raisonnement, et contrôle fin du cycle de vie des connexions Voice.
Tendances Notables
L'événement de la semaine : Bun 1.3.14 avec HTTP/3 côté serveur et client. On passe de « alternative rapide à Node » à « premier runtime JS avec QUIC natif ».
OpenTelemetry Graduated marque un cap : OTLP devient la lingua franca du cloud. Le coût de migration depuis un agent propriétaire ne fera qu'augmenter.
Astro embarquant Hono comme routeur et Bun apportant HTTP/3 vont dans la même direction : les frameworks fullstack délèguent à des pièces petites et rapides au lieu de réinventer le runtime.