Browser Isolation の現在の制限は次のとおりです。
Network Vector Rendering (NVR) 技術は、ページの動画をストリーミングするのではなく、描画命令をユーザーのブラウザーへ送ります。これにより、動画ストリームの帯域制限なしに、安全なリモートコンピューティングを提供できます。ほとんどのウェブサイトは問題なく動作します。ただし、一部のブラウザー機能と Web 技術は未対応で、今後実装予定です。
- Web カメラとマイクは利用できません。
- WebGL（3D グラフィックス用のブラウザー技術）を使うウェブサイトは、動作しない場合があります。ブラウザーで WebGL をオフにする手順は、WebGL Rendering Error を参照してください。
- Netflix と Spotify Web Player は利用できません。
- H.265/HEVC（動画圧縮形式）は、現時点では対応していません。
Browser Isolation は、同時に 1 つのアクティブウィンドウだけをサポートします。同じローカルブラウザー内のタブとウィンドウ（たとえばすべての Chrome タブ）は、1 つの隔離セッションを共有します。そのセッション内では、リモートブラウザーはフォーカス中のタブまたはウィンドウだけを描画・処理します。バックグラウンドのタブとウィンドウは、切り替えるまで非アクティブになります。
複数ウィンドウで同時に処理するワークフローは利用できません。
たとえば:
- ある隔離ウィンドウで再生中の音声や動画は、別の隔離ウィンドウに切り替えると一時停止します。
- リアルタイムコンテンツ（ライブダッシュボードやストリーミングメディアなど）は、バックグラウンドウィンドウでは更新されません。
- 複数ウィンドウ間の通信や同期に依存するアプリケーションはサポート対象外です。
| ブラウザー | 互換性 |
|---|---|
| Google Chrome | ✅ |
| Mozilla Firefox | ✅ |
| Safari | ✅ |
| Microsoft Edge (Chromium ベース) | ✅ |
| その他の Chromium ベースブラウザー (Opera、Brave) | ✅ |
| Internet Explorer 11 以前 | ❌ |
iOS では、Apple WebKit がキーボード入力をリモートブラウザーへ渡す前に、直接のユーザー操作を要求します。隔離セッションでテキスト入力を始めるには、2 回タップしてください。
1 回目のタップでテキストフィールドにフォーカスします。2 回目のタップで入力を開始します。
この操作が必要な場合、Browser Isolation はフォーカス中のテキストフィールド上にインラインの案内を表示します。フィールドが狭くて案内全体を表示できない場合は、代わりにフィールド中央にキーボードアイコンを表示します。
Browser Isolation は、ローカルブラウザーとリモートブラウザー間の低遅延通信に WebRTC を使います。Brave の WebRTC IP Handling Policy は、Cloudflare RBI の読み込みと動作に影響する場合があります。WebRTC IP Handling Policy が Disable Non-Proxied UDP の場合、Brave が WebRTC に必要な UDP 接続をブロックするため、RBI が正しく読み込まれないことがあります。
RBI を正しく読み込むには、Brave のウィンドウで brave://settings/privacy を開き、WebRTC IP Handling Policy を Disable Non-Proxied UDP から次のいずれかに変更します。
- Default
- Default Public and Private Interfaces
- Default Public Interface Only
Browser Isolation には HTTPS が必要です。暗号化されていない HTTP で提供されるウェブサイトは隔離できません。
Browser Isolation は仮想化環境 (VM) ではサポートされません。
Gateway HTTP ポリシーの一部のセレクターは、Browser Isolation をバイパスします。次が含まれます。
これらのセレクターでトラフィックを隔離することはできません。隔離の一致も Gateway ログには表示されません。さらに、隔離中はこれらのセレクターに基づく他のポリシーも適用できません。たとえば、宛先 IP に一致する Block ポリシーがある場合、そのトラフィックがすでに Isolate ポリシーで隔離されていれば、Gateway は一致するトラフィックをブロックしません。
ユーザーがリモートブラウザー内でファイルをダウンロードすると、ファイルはメモリ上に保持され、リモートブラウザーセッションの終了時に破棄されます。そのため、セッションあたりのダウンロード合計サイズは、リモートブラウザーが使えるメモリ量と共有されます。個別ファイルの最大サイズは 512 MB を推奨します。
Clientless Web Isolation は、Yubikey および WebAuthN（ハードウェアセキュリティキー認証）をサポートしません。これらの認証技術は、隔離サイトが非隔離サイトと同じドメイン名を使う必要があります。Clientless Web Isolation はプレフィックスを追加して URL を変更するため、この要件を満たせません。そのため、Yubikey と WebAuthN はプレフィックス付きの Clientless Web Isolation URL では動作しません。インラインデプロイ（隔離した Access アプリケーション など）では通常どおり動作します。
Cloudflare Remote Browser Isolation は、HTTP-POST バインディングを使う SAML アプリケーションをサポートします。SAML はシングルサインオン (SSO) 用のプロトコルです。一部の SAML 実装は、ログインデータを HTTP POST リクエスト（HTTP-POST バインディング）で送ります。これにより、SSO 認証フロー中の 405 エラーやログインループなどの以前の問題が解消されます。
POST ベースの SSO で Browser Isolation を使うために、Identity Provider (IdP) と Service Provider (SP) の両方を隔離したり、HTTP-Redirect バインディングへ切り替えたりする必要はありません。ユーザーは、隔離ブラウザーから社内アプリケーションや SaaS アプリケーションへ安全にログインできます。
一部のデプロイモデルでは、引き続き Clientless Web Isolation が適している場合があります。Clientless Web Isolation はすべてのトラフィック（IdP と SP の両方）を暗黙的に隔離し、HTTP-POST SAML バインディングをサポートします。
Browser Isolation は、443 以外のポートでプライベート IP またはホスト名を使う セルフホストのプライベートアプリケーション とは互換性がありません。443 以外のポートでセルフホストアプリケーションにアクセスしようとすると、Gateway のブロックページが表示されます。
プライベート IP アドレス上の 443 以外のポートのアプリケーションで Browser Isolation を使うには、代わりに プライベートネットワークアプリケーション を設定します。