漏洩認証情報検出へアップグレードする

このガイドでは、露出認証情報チェックの設定を、新しい漏洩認証情報検出へアップグレードする一般的な手順を説明します。

Cloudflare は、新しい漏洩認証情報検出を使うよう設定を更新することをおすすめします。次の利点があります。

150 億件を超えるパスワードを含む、包括的な漏洩認証情報データベースを使います。
検出を有効にすると、緩和ルールを作る前でも、漏洩認証情報を含む受信リクエストの量を Security Analytics で確認できます。
漏洩認証情報を含むリクエストに対して、レート制限ルールやカスタムルールなどの WAF 機能でアクションを実行できます。

1. 露出認証情報チェックをオフにする

Cloudflare Exposed Credentials Check マネージドルールセットをデプロイしていた場合:

Cloudflare ダッシュボードで Security rules ページを開きます。
Security rules を開く ↗
（任意）Managed rules で絞り込みます。
Cloudflare Exposed Credentials Check Ruleset を実行するルールを編集し、現在の設定（実行中のアクションなど）を控えます。次に、そのルールを削除するか、オフにします。

2. 漏洩認証情報検出をオンにする

Free プランでは、漏洩認証情報検出はデフォルトで有効であり、操作は不要です。有料プランでは、Cloudflare ダッシュボード、API、または Terraform で検出をオンにできます。

Cloudflare ダッシュボードで、セキュリティの Settings ページを開きます。
Settings を開く ↗
（任意）Detection tools で絞り込みます。
Leaked credential detection をオンにします。

次のような POST リクエストを使います。

Required API token permissions

At least one of the following token permissions is required:

Zone WAF Write
Account WAF Write

Update the Leaked Credential Checks status for a zone.bash

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/leaked-credential-checks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"enabled": true
	}'

ゾーンで漏洩認証情報の検出を有効にするには、cloudflare_leaked_credential_check リソースを使います。次に例を示します。

resource "cloudflare_leaked_credential_check" "zone_lcc_example" {
	zone_id = var.cloudflare_zone_id
	enabled = true
}

3. 実行するアクションを設定する

以前の設定に応じて、次のいずれかを行います。

露出認証情報チェックでデフォルトアクションを使っていた場合: 漏洩認証情報を含む受信リクエストに Exposed-Credential-Check ヘッダーを追加する Add Leaked Credentials Checks Header マネージド変換をオンにします。ヘッダー名は露出認証情報チェックと同じですが、新しい実装ではヘッダー値は 1 から 4 の間で変わります。
別のアクションを使っていた場合: 使っていたアクションと同等のアクションでカスタムルールを作成します。ルールは User and password leaked is true に一致させてください（式エディターを使う場合は (cf.waf.credential_check.username_and_password_leaked) を入力します）。