見出し画像

Cloudflare WAFを使えるようになるまでの設定手順書（2026年最新対応）

zephel01

Cloudflare WAF（Web Application Firewall）は、Cloudflareのグローバルネットワークでリクエストを検査・ブロックする強力なセキュリティ機能です。Freeプランでも基本的な保護（Free Managed Ruleset）が使えます。

前提条件

  • 保護したいドメイン（例: example.com）を持っていること

  • ドメインの管理権限（レジストラ側のDNS変更権限）

  • Cloudflareアカウント（無料で作成可能）

ステップ1: Cloudflareアカウント作成

  1. dash.cloudflare.com にアクセス

  2. 「Sign Up」でメールアドレスとパスワードを登録（2FA推奨）

  3. メール認証を完了

ステップ2: ドメインをCloudflareに追加

  1. ダッシュボード左上から Add a Site（または Onboard a domain）をクリック

  2. 保護したい Apexドメイン（example.com）を入力（www.example.com ではない）

  3. プラン選択 → Free でOK（後でPro以上にアップグレード可能）

  4. Cloudflareが既存DNSレコードをスキャンするので確認

    • 重要なレコード（A/AAAA、CNAME、MXなど）がすべて表示されているかチェック

    • 不足があれば手動追加

ステップ3: NameserverをCloudflareに変更

  1. 追加完了後、Cloudflareから2つのNameserver（例: `ns1.cloudflare.com`、`ns2.cloudflare.com`）が表示される

  2. ドメイン取得元のレジストラ（お名前.com、GMO、Cloudnsなど）にログイン

  3. DNS設定 → NameserverをCloudflare指定のものに変更

  4. 変更後、DNS反映まで5分〜48時間待つ（`dig NS example.com` で確認）

注意: DNSSECが有効になっている場合は事前に無効化してください（反映エラーの主な原因）。

ステップ4: DNSレコードのProxy有効化（Orange Cloud）

  1. ドメインの DNS タブへ移動

  2. 各レコードの雲アイコンを Orange（Proxied） に設定

    • Webトラフィック（80/443）は基本的にOrangeに

    • MX（メール）などはGrey（DNS Only）のままが無難

  3. SSL/TLS → Overview で Full (strict) を推奨

これでCloudflareがリバースプロキシとして動作し、WAFが有効になります。

ステップ5: WAF（Managed Ruleset）の有効化

  1. 対象ドメインを選択 → Security > Settings（または WAF）

  2. Cloudflare Managed Ruleset を探して オン に

    • Freeプラン → Free Managed Rulesetがデフォルトで有効

    • Pro以上 → フルManaged Ruleset + OWASP Core Rulesetも有効化可能

  3. フィルタで「Web application exploits」を選択して確認

推奨初期設定:

  • Ruleset action: Block（または Log でテスト）

  • 誤検知が多い場合は後で個別ルールを調整

ステップ6: 基本的なカスタムルール設定（推奨）

Security > WAF > Custom rules で作成

初心者向け黄金ルール例（優先度順に上から設定）:

  1. ホワイトリスト（最優先）

    • 自分のIPや検証済みBotをSkip

  2. 脅威スコアルール

    • `cf.threat_score > 10` → Managed Challenge または Block

  3. 特定攻撃パターンブロック

    • `/wp-admin` への異常アクセスなど

Rate Limiting（ログイン画面など）も設定すると効果的。

ステップ7: 動作確認と監視

  1. サイトにアクセスして正常に表示されるか確認

  2. Security > Events（または Analytics）でブロック/チャレンジされたイベントを確認

  3. 誤ブロックがあったら → 該当ルールの例外追加 or Logモードに

  4. Overview で全体トラフィックと脅威状況をチェック

よくあるトラブルシューティング

  • サイトが表示されない: Nameserver反映待ち、Proxy設定ミス、SSLモード確認

  • WAFが効かない: DNSレコードがGrey（DNS Only）になっていないか確認

  • 誤検知多発: Managed RulesetをLogモードでテスト運用

  • 日本からの遅延: Cloudflareの日本PoP（Tokyoなど）が自動利用されるので通常問題なし

次のステップ（より高度に）

  • Bot Management（Pro以上）

  • Rate Limitingルール強化

  • Custom Rulesets（アカウントレベル）

  • Zero Trust統合

所要時間目安: 初回30〜60分（Nameserver反映待ち除く）

この手順で基本的なWAF保護が即座に有効になります。実際の運用ではログをよく見てチューニングしてください。

関連記事
https://note.com/zephel01/n/nb795eb8420a2　


いいなと思ったら応援しよう！

zephel01 サーバー代とコーヒー代になります☕ 役に立ったら応援よろしくお願いします！