リクエストが Cloudflare Worker を経由した場合に発生します。
この場合、Cloudflare はセキュリティ設定の判定に、IP アドレスを含むクライアント情報を使います。ただし、Security Events に表示される IP は Cloudflare の IP アドレスになります。
はい。式では特定の文字をエスケープする必要がある場合があります。必要なエスケープは、使う文字列構文によって異なります。
- raw string 構文（例:
r#"this is a string"#）を使う場合、正規表現で特別な意味を持つ文字だけをエスケープします。 - quoted string 構文（例:
"this is a string"）を使う場合は、さらにエスケープが必要です。リテラル文字列と正規表現の両方で、特殊文字"と\を\"と\\でエスケープします。
文字列構文とエスケープの詳細は、String values and regular expressions を参照してください。
正規表現を使う場合は、Regular Expressions 101 ↗ や Rustexp ↗ などのツールでテストすることを推奨します。
Cloudflare が管理する SSL/TLS certificates がある場合、証明書の発行または更新のたびに domain control validation（DCV） が必要です。証明書が pending_validation 状態で、有効な DCV トークンがあるときは、カスタムルール や Managed Rules などの一部の Cloudflare セキュリティ機能が、特定の DCV パス（/.well-known/pki-validation/ や /.well-known/acme-challenge/ など）で自動的に無効になります。
これらの自動バイパスは、Trace の結果には表示されません。
Cloudflare は、安全でない可能性があるアクティビティを検出すると、リクエストをブロックすることがあります。よくある理由は次のとおりです。
- 悪意のあるトラフィック、DDoS 攻撃、その他の脅威に対するセキュリティ保護。
- 短時間での過剰なリクエスト（レート制限）。
- ボットのような、または自動化されたトラフィック。
- Project Honey Pot ↗ などの公開ブロックリストに掲載されている IP アドレス。
サイト訪問者の場合:
- ブロックが起きたときの操作内容と、エラーページ下部に表示される Cloudflare Ray ID を添えて、サイト所有者に連絡してください。
- 不審な入力や自動化スクリプトは避けてください。
- Project Honey Pot ↗ で IP レピュテーションを確認してください。
サイト所有者の場合:
- 保護とアクセスしやすさのバランスが取れるよう、セキュリティ設定を調整します。
- Cloudflare ダッシュボードでブロックされたリクエストを監視します。
- 信頼できる IP を許可リストに追加したり、WAF / ボットルールを調整したりして、誤検知を減らします。
Block、Non-Interactive Challenge、Managed Challenge、または Interactive Challenge アクションのカスタムルールを作成すると、既知のボットのトラフィックを意図せずブロックすることがあります。特に、URI、パス、ホスト、ASN、国をもとに緩和アクションを適用しようとすると、検索エンジン最適化（SEO）やウェブサイトの監視に影響することがあります。
詳細は Challenges のドキュメント を参照してください。
Cloudflare Radar ↗ には、WAF が現在検出する既知のボットの サンプル が掲載されています。これらのボットや、掲載されていないほかのボットからのトラフィックでは、cf.client.bot フィールドが true になります。
検証対象の friendly bot を申請するには、Cloudflare Radar の Verified bots ↗ ページを開き、Add a bot を選びます。
検証済みボットの詳細は Bots を参照してください。