必須ではありませんが、API Shield を始めるときは セッション識別子 の設定を推奨します。Cloudflare が API トラフィックを個々のセッション単位で検査できると、可視化、管理、制御のためのツールをより多く提供できます。
API が使うセッション識別子が不明な場合は、開発チームに確認してください。
セッション識別子は、API クライアントを一意に識別する必要があります。API トラフィックでよく使われるセッション識別子は Authorization ヘッダーです。クライアント認証に JSON Web Token（JWT） を使う場合、その値は時間とともに変わることがあります。時間をまたいでセッションを一意に識別するには、JWT 内の sub や email などのクレーム値をセッション ID として使えます。
ゾーンへの成功リクエストの 1% 超で API が Authorization ヘッダーを使っている場合、Cloudflare はそれを API Shield のセッション識別子として自動設定します。
-
Cloudflare ダッシュボードで Security Settings ページを開きます。
Settings を開く ↗ -
API abuse で絞り込みます。
-
Session identifiers で Configure session identifiers を選択します。
-
Manage identifiers を選択します。
-
セッション識別子の種類（cookie、HTTP ヘッダー、または JWT クレーム）を選びます。
-
セッション識別子の名前を入力します。
-
Save を選択します。
セッション識別子を設定し、Cloudflare がトラフィックパターンを学習する時間を置いたあと、エンドポイントごと・セッションごとのレート制限の推奨値を確認できます。新しいルールを作成して、エンドポイントごと・セッションごとのレート制限を適用することもできます。セッション識別子を設定すると、セッション ID ベースの検出による API Discovery の結果と、Sequence Analytics でのセッショントラフィックパターンを確認できます。