ランダムプレフィックス攻撃（random prefix attack）とは、存在しそうにないサブドメイン（12345.example.com、abcdefg.example.com など）に大量のトラフィックを送りつける攻撃です。これらのサブドメインは、メインのドメイン（example.com）に紐づいています。
通常、各ランダムサブドメイン（またはプレフィックス）への DNS クエリは繰り返されないため、リゾルバーやほかのプロキシではキャッシュされず、常に権威ネームサーバーに届きます。送信元 IP に基づくレート制限やクエリのブロックは、誤検知を多く招きがちです。ランダムプレフィックス攻撃は、公開リゾルバー経由で行われることが多いためです。そのため、この攻撃は特に効果的で、緩和が難しくなります。
DNS Firewall の一部として、Cloudflare はこうした攻撃から上流の権威ネームサーバーを守れます。攻撃の一部と判断した DNS クエリをブロックし、権威ネームサーバーへ届かないようにします。届くと、リソース過負荷で被害が出ることがあります。誤検知の可能性があるため、この保護はオプトインです。
誤検知の影響を抑えるため、Cloudflare は com のような public suffix ↗ 全体はブロックしません。ただし、その直下のドメイン（example.com など）はブロックできます。
加えて、自動緩和の既定では、上流の権威ネームサーバーが応答不能（攻撃で過負荷になっている可能性が高い）と判断された場合にだけ展開します。つまり、ランダムプレフィックス攻撃中でも権威ネームサーバーがトラフィックを処理できるあいだは、誤検知を避けるため Cloudflare はクエリを積極的にブロックしません。この設定名は "only_when_upstream_unhealthy" です。セットアップ で明示的に無効にしない限り、常に true です。
上流ネームサーバー上に、どのドメインやサブドメインが DNS レコードとして存在するかは Cloudflare には分かりません。そのため、影響を受けたサブドメインへの DNS クエリをブロックし、影響のないサブドメインへの応答を上流ネームサーバーが続けられるよう、ベストエフォートで動作します。