検証した主張
「DNSをProxiedにしただけでオリジンへの直接アクセスは完全に防げる。」
発見元は調査の入口であり、判定の根拠には使用していません。プロキシとオリジン認証の差
Proxied DNSは利用者をCloudflareのエッジへ向けます。しかしオリジンのIPが他経路で分かり、直接接続できる状態なら、Cloudflareを迂回する可能性があります。オリジン側のネットワーク制御や認証を別に設計します。
Authenticated Origin PullsではオリジンがCloudflareからのTLSクライアント証明書を検証します。Full (strict)が確認するオリジンサーバー側証明書とは方向が逆です。
共有証明書と専用証明書
Cloudflareの共有証明書はCloudflareネットワーク由来の接続を示しますが、特定の自分のアカウントから来たことまでは証明しません。要件が厳しい場合は専用証明書や追加のアクセス制御を検討します。
有効化前にオリジンサーバーの設定と検証手順を用意し、切断時の戻し方を確認します。
適用しない構成もある
Workers Static Assetsだけで動き、別のHTTPSオリジンがないサイトなら、オリジンmTLSの適用対象はありません。構成を確認せず「必須」とするのは不要な作業を増やします。
オリジンがある場合でもTLSモードなど前提条件があります。公式ドキュメントと対象サーバーの構成を照合してください。
検証条件・対象環境
| 対象プラン | 製品・契約プランで機能と表示範囲が異なる |
|---|---|
| 地域 | 提供地域・利用環境で表示や条件が異なる場合あり |
| 利用面 | Cloudflare Dashboard / Webサイト・API |
| 提供状態 | 2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る |
| 実機確認 | Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。 |
| 次回見直し | 2026.10.22 |
よくある質問
オレンジ雲ならオリジンへの直アクセスは防げますか？
Authenticated Origin PullsはオリジンがCloudflareからの接続を証明書で確認する仕組みです。別のオリジンがある構成で検討し、Workersだけのサイトへ機械的に適用しません。
更新履歴
公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。
実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- Authenticated Origin Pulls
Cloudflareとオリジン間のmTLS。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Proxy status
プロキシ可能なレコードとオリジン露出。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Full (strict) encryption
オリジン証明書と暗号化モードの条件。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22