Cloudflare Bot Fight ModeはAPIにも有効？オンにする前に確認したいこと

検証した主張

「Bot Fight Modeは常時オンが正解で、APIだけWAFのSkipで簡単に除外できる。」

発見元は調査の入口であり、判定の根拠には使用していません。

Bot Fight Modeは、疑わしい自動化された通信に対処する無料の機能です。ただしブラウザ閲覧、API、Webhookが同じドメインにある場合、一律の有効化は正規の機械的な通信を妨げる可能性があります。

example.com の公開記事だけでなく api.example.com にアプリの呼び出しがある、という架空例なら、両方の利用経路を試す必要があります。

Cloudflare公式はBot Fight ModeをWAFのカスタムルールでSkipできないと説明しています。パス単位で緻密な除外が必要なら、別のボット対策やプラン・構成を比較します。

正規クライアントを止めた後で例外を探すより、先にAPI・モバイル・検索エンジン・監視の通信を棚卸しする方が安全です。

変更前後のSecurity Events、4xx、APIエラー、外部連携の成功率を比較します。ボット判定は認証や権限の代替ではなく、業務上重要なAPIにはレート制限とアプリ側の検証も必要です。

「ボットを何件止めたか」だけでは効果を測れません。正規利用への影響を必ず評価します。

対象プラン	製品・契約プランで機能と表示範囲が異なる
地域	提供地域・利用環境で表示や条件が異なる場合あり
利用面	Cloudflare Dashboard / Webサイト・API
提供状態	2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る
実機確認	Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。
次回見直し	2026.10.22

APIを使うサイトでBot Fight Modeを常時オンにしてよいですか？

Bot Fight Modeは無料プランでも使えますが、ゾーン全体に作用し、APIやモバイルアプリなど人間向けチャレンジを解けないクライアントに影響する場合があります。

2026.09.22初回公開

公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。

2026.09.22訂正

実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。

一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。

公式ドキュメントCloudflare
Bot Fight Mode
Freeのボット対策とAPIへの影響。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22
公式ドキュメントCloudflare
Security Analytics (new dashboard)
TrafficとEventsの対象・Workersサブリクエストの扱い。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22
公式ドキュメントCloudflare
Browser Integrity Check
ブラウザ整合性チェックの動作と例外。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22

公式情報の確認、条件整理、検証可能性を重視して記事を作成しています。調査補助にAIを使用する場合も、出典確認、判定、最終文責は人間が担います。