検証した主張
「Cloudflareのセキュリティ項目は、サイト構成を問わずすべてオンにすれば安全になる。」
発見元は調査の入口であり、判定の根拠には使用していません。最初にサイトの構成を三つに分ける
①Workers Static Assetsだけで配信するサイト、②ログインやフォームのあるAPI、③別のオリジンサーバーへ転送するサイトでは、守る対象が違います。架空の example.com で考えると、静的記事だけならログイン試行対策は不要ですが、会員APIがあれば認証・レート制限が課題になります。
配信構成とデータの流れを書き出し、Cloudflare側のドメイン、Workers、オリジン、外部APIを区別してください。オリジンがないサイトでオリジン証明書やAuthenticated Origin Pullsを「必須」にするのは誤りです。
| 構成 | 最初に見るもの | 条件が合う場合だけ追加 |
|---|---|---|
| 静的サイト・Workers Static Assets | 管理者2FA、DNS、HTTPS、WAFの現状、変更履歴 | DNSSEC、HSTS、CSP |
| ログイン・フォーム・APIあり | 上記と認証ログ、API失敗率、入力検証 | レート制限、TurnstileのSiteverify、ボット対策 |
| 別のオリジンサーバーあり | 上記とオリジンへのTLS、直接接続、5xx | Full (strict)、Authenticated Origin Pulls |
観測から始め、設定前後を比較する
Security AnalyticsのTrafficで通常時のパス、国、メソッド、応答コードを把握します。EventsはCloudflareが検知・処理した記録であり、全アクセスではありません。Workersのエラーや監査ログも、HTTPアクセス解析とは別に確認します。
設定を一つ変えたら、正規の利用者・検索エンジン・APIクライアントが利用できるかを検証します。ブロック件数の増加だけを「改善」と扱わず、誤検知、5xx、ログイン失敗も見ます。
優先度を決める実務用の順序
共通項目は管理者の二段階認証、必要最小限の権限、HTTPSの確認、DNSの棚卸し、WAFと監査ログの現状確認です。APIがあれば認証、レート制限、Turnstileのサーバー側検証を追加します。オリジンがあればFull (strict)、直接アクセス遮断、オリジンの監視を検討します。
DNSSEC、HSTS、最低TLSバージョンの引き上げは効果と破壊的影響の両方を持ちます。現在値・依存先・戻し方を記録してから段階的に進めてください。各項目の手順と条件は、この連載の個別記事へ分けています。
検証条件・対象環境
| 対象プラン | 製品・契約プランで機能と表示範囲が異なる |
|---|---|
| 地域 | 提供地域・利用環境で表示や条件が異なる場合あり |
| 利用面 | Cloudflare Dashboard / Webサイト・API |
| 提供状態 | 2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る |
| 実機確認 | Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。 |
| 次回見直し | 2026.10.22 |
よくある質問
静的サイトでもすべてのセキュリティ機能を有効にしますか？
最初に配信構成を特定し、観測できる状態を作ってから、DNS・TLS・WAF・認証を必要な範囲で設定します。「全部オン」のチェックリストはAPIや古い端末を壊す可能性があります。
更新履歴
公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。
実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- Security Analytics (new dashboard)
TrafficとEventsの対象・Workersサブリクエストの扱い。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - WAF Managed Rules
Free Managed Rulesetと有料プランのルールセット。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Proxy status
プロキシ可能なレコードとオリジン露出。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Full (strict) encryption
オリジン証明書と暗号化モードの条件。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Audit Logs v2
設定変更記録の対象と保存期間。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22