server

server elige dónde se ejecuta la aplicación construida: una unión discriminada por adapter. meeko build escribe la salida en .meeko/output/<adapter>/; --adapter de la CLI tiene prioridad sobre la configuración. Sin server, el adaptador es node.

Desde 1.7, los adaptadores con servidor (node, bun, deno y cloudflare) aceptan también contentSecurityPolicy y headers: se fijan en el build y la aplicación los aplica a cada respuesta, con la CSP completada por respuesta (hashes en las páginas prerenderizadas, un nonce en las SSR, hashes en las SSR con cache y una política cerrada en el JSON).

Uso#

// meeko.config.ts
import { defineMeekoConfig } from "@meekojs/meeko/framework";

export default defineMeekoConfig({
  server: {
    adapter: "node",
    contentSecurityPolicy: {
      "default-src": ["'self'"],
      "script-src": ["'self'"],
      "style-src": ["'self'", "'unsafe-inline'"],
      "object-src": ["'none'"],
      "base-uri": ["'none'"],
      "frame-ancestors": ["'none'"],
    },
    headers: {
      "X-Content-Type-Options": "nosniff",
      "Referrer-Policy": "strict-origin-when-cross-origin",
      "/admin/*": { "X-Robots-Tag": "noindex" },
    },
  },
});

Tipo#

readonly server?: MeekoServerConfig

interface ServerResponseConfig {
	readonly contentSecurityPolicy?: ContentSecurityPolicy
	readonly headers?: ServerHeaders
}

type ServerHeaders = Readonly<Record<string, string | Readonly<Record<string, string>>>>

type StaticHeaderFile = '_headers' | 'nginx'

Opciones#

Comunes a node, bun, deno y cloudflare (desde 1.7)#

Por adaptador#

Resultado#

La CSP de cada respuesta en los adaptadores con servidor:

Una cabecera que la respuesta ya trae (de Meeko, de un handler o de un middleware) no se sustituye, y un 304 nunca lleva la CSP.

Ejemplos#

Cloudflare Workers con D1#

import { defineMeekoConfig } from "@meekojs/meeko/framework";

export default defineMeekoConfig({
  server: {
    adapter: "cloudflare",
    name: "mi-app",
    compatibilityDate: "2026-10-19",
    wrangler: {
      d1_databases: [{ binding: "DB", database_name: "mi-app", database_id: "<id>" }],
      vars: { MEEKO_PUBLIC_ORIGIN: "https://mi-app.example" },
    },
    headers: { "X-Content-Type-Options": "nosniff" },
  },
});

Un sitio estático para Netlify y nginx#

import { defineMeekoConfig } from "@meekojs/meeko/framework";

export default defineMeekoConfig({
  site: "https://example.com",
  server: {
    adapter: "static",
    headerFiles: ["_headers", "nginx"],
    contentSecurityPolicy: { "default-src": ["'self'"], "style-src": ["'self'", "'unsafe-inline'"], "object-src": ["'none'"] },
    headers: { "X-Content-Type-Options": "nosniff", "Referrer-Policy": "strict-origin-when-cross-origin" },
  },
});

El mismo proyecto en varios destinos#

npx meeko build                     # server.adapter, o node
npx meeko build --adapter bun       # sin tocar la configuración
npx meeko build --adapter static    # falla si hay páginas SSR, API, RPC, Socket o middleware de servidor

Con --adapter, las opciones de server de otro adaptador no se aplican: static sobre una configuración node construye sin headerFiles.

Errores comunes#

Un adaptador que no existe#

export default defineMeekoConfig({ server: { adapter: "vercel" } as never });

meeko dev, meeko build, meeko check y meeko routes se detienen con …/meeko.config.ts: server.adapter debe ser "node", "cloudflare", "deno", "bun" o "static".

import { defineMeekoConfig } from "@meekojs/meeko/framework";
export default defineMeekoConfig({ server: { adapter: "node" } });

La CSP en headers#

server: { adapter: "node", headers: { "Content-Security-Policy": "default-src 'self'" } }

…/meeko.config.ts: server.headers no puede fijar Content-Security-Policy; use server.contentSecurityPolicy, que añade los hashes de los scripts. Escrita a mano, la política no llevaría el nonce ni los hashes y bloquearía los scripts de Meeko.

server: { adapter: "node", contentSecurityPolicy: { "default-src": ["'self'"] } }

Patrones de ruta con static#

server: { adapter: "static", headers: { "/admin/*": { "X-Robots-Tag": "noindex" } } }

…/meeko.config.ts: server.headers "/admin/*": el adaptador static aplica sus cabeceras a todas las rutas; los patrones de ruta necesitan un adaptador con servidor. headerFiles escribe un único bloque para todas las rutas.

server: { adapter: "static", headers: { "X-Robots-Tag": "noindex" } }

Un patrón con un texto en lugar de cabeceras#

server: { adapter: "node", headers: { "/docs/*": "max-age=60" } }

…/meeko.config.ts: server.headers "/docs/*" must be an object of header values.

server: { adapter: "node", headers: { "/docs/*": { "Cache-Control": "public, max-age=60" } } }

Fuentes de la CSP sin comillas#

server: { adapter: "bun", contentSecurityPolicy: { "script-src": ["self ok"] } }

…/meeko.config.ts: server.contentSecurityPolicy: invalid source "self ok" in script-src.

server: { adapter: "bun", contentSecurityPolicy: { "script-src": ["'self'"] } }

Opciones de otro adaptador#

server: { adapter: "static", port: 3000 } as never

…/meeko.config.ts: server (static): campo desconocido port. Con cloudflare, un nombre no válido da server.name debe ser un nombre de Worker (minúsculas, dígitos y guiones), y con node, un puerto fuera de rango, server.port debe ser un entero entre 0 y 65535.

server: { adapter: "node", port: 3000 }

Notas#

• Seguridad. Empiece por default-src 'self', object-src 'none', base-uri 'none' y frame-ancestors 'none'. Reserve 'unsafe-inline' para style-src si un resaltador escribe atributos style="…": Meeko no añade nonce ni hash a esa directiva para no anularlo. La política de JSON (default-src 'none') cubre todo /api/ y el RPC: un endpoint con contentType: "response" que devuelve HTML debe poner su propia Content-Security-Policy.
• Desarrollo. La CSP sólo se aplica en producción (meeko start, meeko preview y las salidas); en meeko dev, Vite inyecta scripts sin nonce. headers sí se aplica en meeko dev a lo que atiende la aplicación.
• Cookies y cachés. Una respuesta con Set-Cookie y un Cache-Control public sale como private, no-store y sin ETag, con o sin estas opciones.
• Variables de entorno. MEEKO_HOST, MEEKO_PORT y MEEKO_PUBLIC_ORIGIN se leen al ejecutarse, no en el build; server.host y server.port sólo se aplican a Node.
• Host propio. Las opciones viajan en el manifiesto (AppManifest.contentSecurityPolicy y AppManifest.headers); un host que crea su AppManifest a mano las pasa allí. Desde 1.8, las cabeceras de addPublicFile viajan aparte, en AppManifest.publicFileHeaders, por el pathname exacto del archivo: los patrones de headers las sustituyen sólo en las cabeceras que fijan. Esto vale en producción: en meeko dev, los archivos públicos no pasan por la aplicación, así que llevan sólo las cabeceras de addPublicFile y headers no les afecta.

Relacionado#

• contentSecurityPolicyConstruye la cabecera Content-Security-Policy de una política por directivas y añade los hashes de los scripts y estilos en línea de una página.
• serveNodeSirve una aplicación de Meeko con el servidor HTTP de Node, sus canales Socket con ws, el cierre ordenado ante señales y la política de fallos del proceso.
• createBunServerLos handlers fetch y websocket para servir una aplicación de Meeko con Bun.serve, con Socket sobre el WebSocket nativo de Bun y sus límites de payload, contrapresión e inactividad.
• serveDenoSirve una aplicación de Meeko con Deno.serve, con Socket sobre Deno.upgradeWebSocket, cierre ordenado ante señales y la política de fallos del proceso.
• createWorkerSirve una aplicación de Meeko desde un Worker de módulo de Cloudflare, creada una vez por aislado con los bindings, con los upgrades de Socket reenviados al Durable Object de su sala.
• meeko buildComprueba el proyecto y escribe en .meeko/output/<adaptador>/ la salida de producción, con el cliente, el servidor y las páginas prerenderizadas.
• Build, despliegue y verificaciónMeeko como framework full-stack
• CSP y cabeceras en los adaptadores con servidorMeeko como framework full-stack
• Sitio estáticoMeeko como framework full-stack
• Cloudflare WorkersMeeko como framework full-stack