検証した主張
「強いパスワードだけあれば、管理者の2FAやAPIトークンの権限管理は不要だ。」
発見元は調査の入口であり、判定の根拠には使用していません。ログインを守る
管理者アカウントには二段階認証を設定し、端末紛失時に備えてバックアップコードを安全な場所に保管します。Cloudflareのバックアップコードは使い切りで、再生成すると以前のコードは無効になります。
コードや認証アプリの秘密を、記事、Gitリポジトリ、チャット、スクリーンショットに記録しないでください。誰が管理者なのかも定期的に確認します。
自動化はログインと分ける
CIや監視には、対象アカウント・ゾーンと必要操作に範囲を絞ったAPIトークンを使います。Global API Keyは広い権限を持つため、必要最小限の自動化には向きません。
トークンには用途名、所有者、失効日、保管場所を記録し、値そのものは秘密管理に置きます。担当変更や漏えい疑いがあれば失効・再発行を検討します。
復旧経路も試す
二段階認証を有効にした直後、別端末でサインインできること、バックアップコードの保管先にアクセスできることを確認します。ただし実コードを第三者に預ける必要はありません。
誤った権限変更を調べる際はAudit Logsとトークン利用状況を照合します。
検証条件・対象環境
| 対象プラン | 製品・契約プランで機能と表示範囲が異なる |
|---|---|
| 地域 | 提供地域・利用環境で表示や条件が異なる場合あり |
| 利用面 | Cloudflare Dashboard / Webサイト・API |
| 提供状態 | 2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る |
| 実機確認 | Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。 |
| 次回見直し | 2026.10.22 |
よくある質問
API連携にGlobal API Keyを使うべきですか？
管理者には二段階認証と安全な復旧経路を用意し、自動化には必要なアカウント・ゾーン・操作だけに権限を限定したAPIトークンを使います。
更新履歴
初回公開
公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。
訂正
実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- Two-factor authentication
認証アプリとバックアップコード。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Cloudflare API tokens
権限を絞ったAPIトークン。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Audit Logs v2
設定変更記録の対象と保存期間。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22