Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

Client-side security を始める

最終更新 Markdown で表示Agent セットアップ

1. クライアントサイドリソースの監視を有効にする

クライアントサイドリソース監視を有効にする手順は次のとおりです。

  1. Cloudflare ダッシュボードで、Security の Settings ページを開きます。

    Settings を開く ↗

  2. （任意）Client-side abuse で絞り込みます。

  3. Continuous script monitoring をオンにします。

Cloudflare ダッシュボードで client-side security の設定にアクセスできない場合は、ユーザーに 必要なロール があるかを確認してください。

2. 検出されたリソースを確認する

クライアントサイドリソース監視を有効にしても、ドメインで検出されたスクリプトの一覧が揃うまで時間がかかることがあります。

Cloudflare が検出したスクリプトを確認する手順は次のとおりです。

  1. Cloudflare ダッシュボードで Web assets ページを開きます。

    Web assets を開く ↗

  2. Client-side resources タブを選択します。

  3. 検出されたスクリプトの一覧を確認し、不明または想定外のスクリプトがないか調べます。プランとサブスクリプション に応じて、Cloudflare は次も行います。

Cloudflare のプランによっては、ドメインのページ上のスクリプトが行った接続も確認し、悪意のある活動がないかを調べられます。

3. （任意）アラートを設定する

client-side security のリソース監視を有効にしたあと、ゾーン上の関連するクライアントサイドの変更を知らせるアラートを 1 つ以上設定できます。利用できるアラートの種類 は、Cloudflare のプランとサブスクリプションによって異なります。

アラートを設定する手順は次のとおりです。

  1. Cloudflare ダッシュボードで Notifications ページを開きます。

    Notifications を開く ↗

  2. Add を選び、Product ドロップダウンで Client-side security (formerly Page Shield) を選択します。

  3. アラートの種類 を選びます。

  4. 通知の名前と説明を入力します。

  5. （任意）Client-Side Security Advanced をご利用の場合は、Rules of these zones で アラートをフィルタするゾーンを指定 できます。このオプションを使うには、選択したゾーンに コンテンツセキュリティルール が必要です。

  6. 1 つ以上の通知先（通知メール、Webhook、接続済みの通知サービス）を選びます。

  7. Create を選択します。

アラートへの対応方法は、クライアントサイドリソースアラートへの対応 を参照してください。

4. （任意）コンテンツセキュリティルールを定義する

コンテンツセキュリティルール（以前はポリシーと呼ばれていました）は、Web サイトで許可するリソースを定義します。コンテンツセキュリティルールを作成して、ポジティブセキュリティモデル1 を実装します。

4.1. Log アクションでコンテンツセキュリティルールを作成する

Log アクション でコンテンツセキュリティルールを作成すると、Cloudflare はルールの対象外のリソースを記録しますが、リソースはブロックしません。デプロイ前の新しいルールの検証に使います。

  1. Cloudflare ダッシュボードで Security rules ページを開きます。

    Security rules を開く ↗

  2. Create > Content security rules を選択します。

  3. Description に、ルールのわかりやすい名前を入力します。

  4. If incoming requests match で、コンテンツセキュリティルール（またはポリシー）の適用範囲を定義します。Expression Builder（Field、Operator、Value に 1 つ以上の値を指定）を使うか、Expression Editor で式を手動入力できます。詳しくは ダッシュボードで式を編集する を参照してください。

  5. Allow these directives で、チェックボックスを 1 つ以上有効にし、コンテンツセキュリティルールに使う CSP ディレクティブ を選びます。

    • 許可するソースを手動入力する場合は Add source を選択します。

    • 検出済みリソースに基づいて表示ソースを更新する場合は Refresh suggestions を選択します。

  6. Then take action で Log を選択します。

  7. ルールを保存してデプロイするには Deploy を選択します。

4.2. ルール違反を確認する

作成したコンテンツセキュリティルールの対象外のリソースは、ルール違反 として報告されます。しばらくしてからルール違反の一覧を確認し、ルールが正しいことを確かめます。

ルール違反の情報を確認する手順は次のとおりです。

  1. Cloudflare ダッシュボードで Security rules ページを開きます。

    Security rules を開く ↗

  2. （任意）Content security rules で絞り込みます。

表示される情報は次のとおりです。

  • ルール名の横にあるスパークライン。過去 7 日間の違反を示します。
  • 違反があるコンテンツセキュリティルールでは、各ルールの詳細を展開できます。違反イベントに含まれる上位リソースと、上位リソースごとのスパークラインが表示されます。

必要に応じてルールを更新します。

4.3. ルールアクションを Allow に変更する

コンテンツセキュリティルールが正しいことを確認したら、ルールアクションを Log から Allow に変更します。

Allow アクション を使うと、Cloudflare はルールで明示的に許可されていないリソースのブロックを開始します。

Footnotes

  1. ポジティブセキュリティモデルは、許可するものを定義し、それ以外を拒否するモデルです。対して、ネガティブセキュリティモデルは拒否するものを定義し、残りを受け入れます。 ↩

役に立ちましたか？