Cloudflare Data Loss Prevention（DLP）は、社会保障番号、財務情報、秘密鍵、ソースコードなどの機密データの有無を、Web トラフィックと SaaS アプリケーションからスキャンできます。
DLP は HTTP トラフィック、SaaS アプリケーションのファイル、AI プロンプトをスキャンし、クレジットカード番号、認証情報、個人識別情報などの機密データを検出します。
Cloudflare は、スキャンしたコンテンツをディスクに書き込みません。DLP はコンテンツを暗号化し、メモリ上に一時保存するだけです。一致したコンテンツをレビュー用に残すには、暗号化されたペイロードのコピー向けに ペイロードログ を設定するか、一致した HTTP リクエスト全体を書き出す Logpush の送信先 を設定します。
DLP は、検出対象を定義する プロファイル、特定のパターンとデータを識別する 検出エントリ、任意で検出結果を大規模に整理してラベル付けする Data Classification を使います。
データ損失防止（DLP）は Secure Web Gateway と組み合わせて、HTTP リクエストとレスポンスで転送される機密データを検出します。DLP は HTTP ボディ（ヘッダーを除く）をスキャンします。アップロードやダウンロードしたファイル、チャットメッセージ、フォーム、その他の Web コンテンツが含まれる場合があります。
DLP を使うには、TLS 復号 を有効にした Gateway HTTP フィルタリング が必要です。HTTPS ボディを転送中に読み取るためです。サイトやアプリケーションごとに、可視化できる範囲は異なります。Cloudflare Gateway を経由しないトラフィック（Do Not Inspect ポリシーに一致するトラフィックなど）は、DLP のスキャン対象になりません。
ログやブロックの対象を決める前に、Passive Detection で、サンプリングした Gateway トラフィックにどの種類の機密データが現れ、どこで見つかるかを把握します。その結果を使って Gateway DLP ポリシー を作成または調整します。
データ損失防止（DLP）は Cloudflare CASB（Cloud Access Security Broker）と組み合わせて、SaaS アプリケーションに保存された機密データを検出します。CASB は SaaS アプリケーションの API に直接接続し、ファイルを取得してスキャンします。Cloudflare Gateway を通過するファイルを読むわけではありません。そのため、Gateway と Cloudflare One Client の設定（Do Not Inspect ポリシーや Split Tunnel 設定など）は、保管中データのスキャンに影響しません。
始めるには、Scan SaaS applications with DLP を参照してください。
- AI Gateway — データ損失防止（DLP）は Cloudflare AI Gateway と連携し、AI プロンプトと応答の機密データをスキャンします。有効化手順は Set up DLP for AI Gateway を参照してください。有効にすると、DLP は AI プロバイダーへ送るリクエストと AI モデルから返る応答のテキストを検査します。Gateway HTTP フィルタリングや TLS 復号は不要です。
- Gateway Application Granular Controls — Gateway Application Granular Controls では、AI アプリケーション全体をブロックせずに、特定の操作だけを制御できます。同じ HTTP ポリシーに DLP Profile セレクター を追加すると、それらの操作を機密データについてスキャンできます。手順は Scan HTTP traffic with DLP を参照してください。
- AI Security for Apps — DLP は AI Security for Apps を補完し、AI トラフィック内の機密データをプロファイルベースで検出します。一方、AI Security for Apps はプロンプトインジェクションや不安全なトピックなど、大規模言語モデル（LLM）固有の脅威を扱います。AI Security for Apps とあわせて機密データを検出するには、DLP プロファイル を設定し、AI トラフィックポリシーに適用します。
データ損失防止（DLP）は Cloudflare Email Security と連携し、送信メール の機密データをスキャンします。Outbound DLP には Microsoft 365 ↗ が必要で、送信前にメールを検査するクライアント側の Outlook アドインを使います。
始めるには、Outbound Data Loss Prevention (DLP) を参照してください。
DLP のよくある問題の解決は Troubleshoot DLP を参照してください。
サンプルコンテンツをプロファイルに対して DLP がどう評価するかを確認するには、Test scan を使います。
DLP は、次のファイルタイプのレポートとスキャンに対応しています。
- テキストと CSV
- Microsoft Office 2007 以降（
.docx、.xlsx、.pptx）。Microsoft 365 を含みます - 上記を含む ZIP ファイル
DLP は、テキスト、Microsoft Office、PDF ファイルに含まれるテキストをスキャンします。
対応する画像形式は OCR のドキュメント を参照してください。