日誌のようなもの

ウェブサイトやアプリケーションを Cloudflare で構築すべき理由

難しい話です

2026.10.19

不正アクセスの勢いが止まらない

日本国内で、不正アクセスによる情報漏えいの発表が毎日にように続いています

  • ・9月1日から10月5日までに公表された国内の漏えい・不正アクセス事案は 83件（SmartScope 集計）
  • ・10月8日には JPCERT/CC が「9月ごろから国内で不正アクセスが多発している」として注意喚起を公開
  • ・10月16日には、Web 制作プラットフォーム「Studio」が、全ユーザーの情報が流出した可能性を発表、フォームに送信された内容や、外部サービスの API キーも対象に含まれていました

「うちは小さな会社だから、小規模なサービスだから狙われない」とは、もう言えない状況です
攻撃者は相手の規模ではなく、入りやすい場所があるかどうかを見ているからです

私は以前から「セキュリティが最優先事項」と考え、 Cloudflare でのアプリケーション開発をおこなってきました

米国政府機関のシステム基盤でも利用される Cloudflare

Cloudflare は米国では政府機関がクラウドサービスを使うための厳しい安全基準「FedRAMP」の認可を受けており、多くの連邦政府機関が Cloudflare のサービスを使っています
高速で落ちない、セキュアな行政サービス用のAPIやアプリケーションが開発・運用されています

Cloudflare でなにができるのか

Cloudflare は「高速配信」「強固なセキュリティ」「サーバレス開発」を一挙に実現できるプラットフォームです

高速配信ネットワークを提供している

世界中に分散配置されたエッジサーバーでコンテンツを高速かつ安定してユーザーに届けるCDN（コンテンツ配信ネットワーク）です

強固なセキュリティを提供している

単なるCDNの枠を超えネットワーク全体で脅威を遮断する強力なエコシステムを備えています

サーバレス開発基盤を提供している

Cloudflare Workersでアプリを作成すれば、世界中のエッジ上でコードを実行・スケールできます

最近の攻撃は「外から見えている穴」を狙っている

まず、最近の事件がどこから入られているのかを見てみます
JPCERT/CC の注意喚起では、攻撃者は次のような方法で侵入を試みているとされています

  • ・標的ごとに、脆弱性や設定・管理の不備がないかを調べる
  • ・アプリや業務ツールの API（システム同士がデータをやり取りする接続部分）を特定し悪用する
  • ・本来は公開するつもりのなかった機能等の脆弱性を突く

また、SmartScope の集計では、侵入経路まで公表された7件はすべて脆弱性が原因でした
狙われているのは「インターネットから見えていて、穴が空いている場所」です
なので外から見える場所を減らし残った場所をしっかり守ることが効果的な対策であると言えます

従来のウェブサイトは「見えている場所」が多すぎる

一般的な中小企業のウェブサイトは、レンタルサーバーに WordPress などを置いて作られています
この構成では、次のようなものがすべてインターネットから見えています

  • ・サーバーの OS やポートなどの情報
  • ・PHP 等のプログラム（OSSなら構造が公開されている）
  • ・WordPress等のCMS管理画面のログインページ
  • ・WordPress等で追加したプラグイン

特にプラグインは要注意で、WordPress のセキュリティ企業 Patchstack の報告では、2025年に WordPress 関連で見つかった脆弱性は 11,334件で、そのうち 91%がプラグインによるものでした

また、お問い合わせフォームの内容がサーバーやデータベースに何年分も溜まっていることも珍しくありません
持っているデータが多いほど、漏れたときの被害は大きくなります

Cloudflare でウェブサイトを構築すると何が変わるのか

サーバーの持続可能性

作成したアプリケーションは、Cloudflare Workers の実行環境（ランタイム）上で動作します
そのため、従来のレンタルサーバーやVPSで負担となっていた OS や PHP などのアップデート作業が一切不要であり、古いバージョンのまま放置され脆弱性を突かれるということが構造的に発生しません
また、FTPのようにサーバーへ直接ファイルを配置する仕組みを排除しているため、不正ファイルをアップロードしてバックドア（裏口）を仕掛けるといった、サイバー攻撃の典型的な手口を根本から遮断できます

専用のデータベース

データベースには、Cloudflare ネイティブなサーバレスの RDB「Cloudflare D1」を選べます
D1 に対応した CMS（コンテンツ管理システム） での運用も可能です
また、オンプレミスや別のクラウドにあるデータベースを使う場合でも、「Cloudflare Tunnel」を使えばファイアウォールの受信ポートを開けることなく外部に公開しない通信経路でつなげます

管理画面

管理画面を守る要になるのが「Cloudflare Access」です
認証された正規のユーザーでなければ、管理画面の URL にアクセスしても Cloudflare の認証画面で止まり、管理画面には通信そのものが届きません
攻撃者から見れば狙うべき管理画面にたどり着く入口がない状態です
また、認証に使うアカウントは2段階認証やパスキーでしっかり固めます
こうした Zero Trust アーキテクチャを、大がかりな機器や高額な契約なしに、ひとつのプラットフォームで組み立てられることが Cloudflare の大きな強みです

防御機構

世界規模のネットワークを守る防御が最初から付いています

  • ・DDoS 対策（大量の通信でサイトを止める攻撃を防ぐ）
  • ・WAF（よくある攻撃パターンの通信を止める）
  • ・ボット対策（フォームへの機械的な大量送信を防ぐ Turnstile など）

コストパフォーマンス

世界中のエッジから配信されるため、表示が速くなります
要件によりますがサーバー費用も下がることも多いです
ちなみにうちのウェブサイトは Cloudflare の無料プランで、払っているのはドメインの費用だけです
有料プランでもたいていの場合は月額ワンコインでだいたい事足ります
安くて速くてうまい、吉野家だいすきです

絶対に安全は存在しません

当たり前ですが、どれだけ対策をしてもリスクをゼロにすることはできません
できることは、データを守れる可能性を少しでも上げる努力だけです
セキュリティに億単位でコストかけてる米国のペンタゴンや日本のデジタル庁ですら無理だったので、無理です