Cloudflareのオレンジ雲とグレー雲の違いは？オリジンIP公開の注意点

検証した主張

「ドメインをCloudflareへ追加すれば、すべてのDNSレコードとオリジンIPが自動で隠れる。」

発見元は調査の入口であり、判定の根拠には使用していません。

A/AAAA/CNAMEレコードでProxied（オレンジ雲）を選ぶと、利用者はCloudflareのIPへ接続します。DNS only（グレー雲）はDNSに登録した実際の接続先を返すため、そのホストのオリジンが直接見える場合があります。

example.com はProxiedでも、old.example.com がDNS onlyで同じサーバーを指せば、そのIPは別経路から露出し得ます。これは説明用の架空ドメインです。

MXやTXTなどはHTTPプロキシの対象ではありません。メール用ホストや外部サービスの検証レコードを、サイトのAレコードと同じルールで扱わないでください。

DNS変更前に、Web、メール、API、管理用サブドメインの用途を一覧にし、直接接続が必要なものを区別します。

Workers Static Assetsだけで完結し、別のオリジンサーバーがないサイトでは、隠すべきオリジンIPが存在しない場合があります。逆に外部APIやR2などの依存先は別のアクセス制御が必要です。

オリジンがある場合はDNSだけでなく、サーバー側の許可設定やAuthenticated Origin Pullsも検討します。

対象プラン	製品・契約プランで機能と表示範囲が異なる
地域	提供地域・利用環境で表示や条件が異なる場合あり
利用面	Cloudflare Dashboard / Webサイト・API
提供状態	2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る
実機確認	Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。
次回見直し	2026.10.22

Cloudflareに追加しただけでオリジンIPは非公開ですか？

Proxiedにした対象ホストのHTTP通信はCloudflare経由になりますが、DNS onlyのA/AAAA/CNAMEは接続先を公開します。メール用レコード等は同じ扱いにできず、Workersだけなら別のオリジンIPがない場合もあります。

2026.09.22初回公開

公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。

2026.09.22訂正

実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。

一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。

公式ドキュメントCloudflare
Proxy status
プロキシ可能なレコードとオリジン露出。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22
公式ドキュメントCloudflare
Authenticated Origin Pulls
Cloudflareとオリジン間のmTLS。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22

公式情報の確認、条件整理、検証可能性を重視して記事を作成しています。調査補助にAIを使用する場合も、出典確認、判定、最終文責は人間が担います。