検証した主張
「Cloudflare FreeにはWAFのマネージドルールが一切なく、Proならすべてのルールを無条件に有効化すべきだ。」
発見元は調査の入口であり、判定の根拠には使用していません。Freeで使えるものを正しく見る
Cloudflare FreeにはFree Managed Rulesetがあります。Pro以上で利用できるCloudflare Managed RulesetやOWASP Core Rulesetと同一ではありません。Workers Paidを契約しただけでドメインプランがProになるわけでもありません。
Dashboardで対象ゾーンの契約と実際にデプロイ済みのルールセットを確認します。契約名だけを見て、個別ルールが発動していると推測しません。
| ルールセット | Free | Pro以上 |
|---|---|---|
| Free Managed Ruleset | 利用可能 | 利用可能 |
| Cloudflare Managed Ruleset | 対象外 | 利用可能 |
| OWASP Core Ruleset | 対象外 | 利用可能 |
検知件数の多さは成果ではない
WAFが有効でも、攻撃を全部防ぐ保証にはなりません。逆に正規リクエストを誤検知すると、ログインやAPIの障害になります。Security Eventsで該当ルール、アクション、パス、時刻を確認します。
必要な除外は対象を最小限に絞り、問題のあるアプリの入力検証まで無効化しないようにします。
追加設定を決める順序
アプリやCMSの構成、実際の攻撃面、公開フォームの有無から不足を特定します。無料から有料への変更は、欲しい防御機能と運用コストを明確にしてから判断します。
公式のルール内容・プラン条件は更新されるため、導入時には対象ゾーンの画面で再確認してください。
検証条件・対象環境
| 対象プラン | 製品・契約プランで機能と表示範囲が異なる |
|---|---|
| 地域 | 提供地域・利用環境で表示や条件が異なる場合あり |
| 利用面 | Cloudflare Dashboard / Webサイト・API |
| 提供状態 | 2026年9月22日時点の公式公開資料。ダッシュボードの名称・契約条件は変更され得る |
| 実機確認 | Cloudflare公式資料で機能と制限を照合しました。個別のサイト・アカウントで設定変更や攻撃の再現はしていません。 |
| 次回見直し | 2026.10.22 |
よくある質問
Cloudflare FreeでもWAFは使えますか？
FreeでもFree Managed Rulesetを利用できます。一方、Cloudflare Managed RulesetやOWASP Core Rulesetなどはプラン条件が異なります。ルールの数より対象と誤検知を確認します。
更新履歴
公式資料を確認し、固有の利用情報を含まない一般的な手順・注意点として整理。
実機検証は未実施のため、根拠レベルを公開基準に合わせてAからBに訂正。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- WAF Managed Rules
Free Managed Rulesetと有料プランのルールセット。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Security Analytics (new dashboard)
TrafficとEventsの対象・Workersサブリクエストの扱い。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22 - Security Events
イベントとHTTPリクエストの違い。
公開: 公開日未確認（閲覧日を記録）確認: 2026.09.22