Claude Code×Cloudflareで、キャッシュとWAFの設定を保守メニューにする｜APIトークンの権限、変更の記録、戻せる手順

黒字化の外科医｜Web制作会社の「実務改善」経営参謀

2026年11月2日 07:22

この記事は、Claude Code×Cloudflareで、顧客サイトのキャッシュとWAFの設定を、記録と手順のある保守メニューにする方法を扱います。

Cloudflareの設定を、「詳しい人が画面で触る」だけにしていないか

「キャッシュが残っていて、更新したのに反映されないとお客様から言われました」
「WAFを強くしたら、フォームの送信が止まりました」

Cloudflareの設定は、少しの変更でサイト全体に効きます。
それなのに、誰が、いつ、何を変えたかが残っていない会社は少なくありません。

設定の作業は、記録と戻し方があって初めて、保守の商品になります。

Cloudflareの設定保守とは、キャッシュとWAFの設定を、変更前の記録・変更・確認・戻し方の4点セットで管理し、月次で点検する保守の工程である

黒字化の外科医です。Claude CodeとCloudflareのAPIで、設定の保守を「記録の残る工程」にする手順を解剖します。

この形にする理由は、三つあります。

第一に、CloudflareはAPIとMCPで、設定を読み書きできるから。
Cloudflareは、APIを扱うMCPサーバー（https://mcp.cloudflare.com/mcp）を公開しています。対話で使うときはOAuthで許可する権限を選び、自動の処理ではAPIトークンを使えます。このサーバーは、APIの仕様からエンドポイントを探す search() と、呼び出す execute() などの道具を持っています（Cloudflare公式ドキュメント、2026年11月2日確認）。

第二に、APIトークンの権限を、細かく絞れるから。
APIトークンは、権限ごとに「Edit」か「Read」を選び、使える対象のゾーンを限れます。公式ドキュメントは、トークンを持つ人は、そのトークンに許された操作をできると書いています（Cloudflare公式ドキュメント、2026年11月2日確認）。点検だけならRead、変更する作業のときだけEdit、と分けられます。

第三に、設定には、プランごとの上限があるから。
たとえばWAFのカスタムルールは、Freeで5件、Proで20件、Businessで100件、Enterpriseで1,000件です。キャッシュルールは、Freeで10件、Proで25件、Businessで50件、Enterpriseで300件です（Cloudflare公式ドキュメント、2026年11月2日確認）。ルールを足す前に、今の件数と上限を確かめる工程が要ります。

Cloudflareのキャッシュ削除とWAF変更で、事故を起こさない順番

公式ドキュメントで確かめた点を、作業の順番に落とします（Cloudflare公式ドキュメント、2026年11月2日確認）。

キャッシュの削除は、URLを指定する方法が推奨されている。すべて削除のほか、ホスト名・プレフィックス・タグを指定する方法もある
削除の要求が成功しても、それだけでは削除を確かめたことにならない。削除の後に対象を取得し、CF-Cache-Status が HIT でないことを確かめる
WAFのカスタムルールは、上から順に評価され、Blockのような動作は、その後のルールの評価を止める
キャッシュルールは、Cloudflareを経由（プロキシ）しているDNSレコードにだけ効く

「全部消す」「全部止める」を最初の手にしないことが、保守の基本です。

今すぐ試せる：Cloudflareの設定を点検するプロンプト

Cloudflareの〔ゾーン名〕の設定を点検し、点検メモを作ってください。使うのは読み取りの権限だけです。

【調べること】
1. WAFのカスタムルールの一覧（名前、条件、動作、順番）と、プランの上限に対する件数
2. キャッシュルールの一覧（対象、設定の中身）と、プランの上限に対する件数
3. ログインした利用者だけが見る画面や、フォームの送信先が、キャッシュの対象に入っていないか
4. 目的が分からないルール

【書き方】
・事実と推測を分ける
・変更の提案は「案」として書き、実行しない
・顧客に確認が必要な点は「要確認」と書く

設定保守工場：権限・記録・料金の型

APIトークンの分け方

点検用トークン
　権限：必要な項目のRead
　対象：その顧客のゾーンだけ
　用途：月次の点検、Claude Codeでの調査

変更用トークン
　権限：変更する項目のEditだけ
　対象：その顧客のゾーンだけ
　用途：顧客の承認を得た変更の作業
　管理：作業の後、不要なら無効にする

共通
　トークンの名前に、顧客名と用途を入れる
　トークンの値は一度しか表示されないので、決めた場所に保管する
　誰に、いつ、何のトークンをもらったかを台帳に残す

顧客のCloudflareアカウントを触るなら、名義・権限・作業の範囲を契約に書き、顧客の同意を取ってから始めます。
なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

変更の記録票

【Cloudflare 設定変更の記録】
顧客／ゾーン：
依頼日・承認者：
変更の理由：
変更前の設定：（ルールの内容をそのまま写す）
変更後の設定：
作業日時・作業者：
確認したこと：（例：フォームの送信、ログイン画面、CF-Cache-Status）
戻し方：（変更前の設定に戻す手順）

月額の計算例

（例）時間単価8,000円で計算

月次の点検と報告：1時間
承認を得た変更の作業（月1件まで）：1時間
原価：2時間 × 8,000円 ＝ 16,000円
粗利率40%を乗せた月額：16,000円 ÷（1 − 0.4）≒ 26,700円

月1件を超える変更：1時間8,000円で、都度お見積り

（数字はすべて例です。Cloudflareの料金は、顧客の契約として顧客が払う形が分かりやすく、制作会社の月額とは分けます）

WAFを勧める判断と、導入時の注意は、こちらで扱っています。

▶ WAF導入を、制作会社は「全部のサイトに」と勧めない──WAFとは何かを一言で、勧める判断基準、誤検知でフォームが止まる事故の防ぎ方

▶ CDN・WAFの導入で、顧客サイトを止めない注意点──DNSの切り替え、キャッシュの事故、誤検知、契約名義の4つを、作業の前に決めておく

構造的なリスク

逆説を指摘しておきます。

APIで設定を変えられるようになると、作業が速くなる分、間違いも速く広がります。
変更は、承認・記録・確認・戻し方がそろうまで実行しない、という順番を崩さないでください。

もう一つは、トークンの放置です。
案件が終わった顧客のトークンが残っていると、それだけで責任が残ります。終了の手順に、トークンの削除を入れてください。

よくあるQ&A

Q. Claude Codeに、設定の変更まで任せてよいか。

点検と変更案の作成までにしてください。変更は、顧客の承認を得て、人が内容を確かめてから実行します。

Q. 顧客のアカウントに、自社のメンバーとして入るべきか。

アカウントの持ち主は顧客のまま、自社には必要な権限だけをもらう形が基本です。名義と権限は、契約で決めます。

Q. 点検だけで、月額をもらえるのか。

点検の記録と、上限・誤検知・キャッシュの事故を先に見つける報告があれば、説明できます。点検の結果を毎月残すことが、商品の中身です。

最後に

Cloudflareの設定は、少しの変更でサイト全体に効きます。

権限を絞り、変更の前後を記録し、戻し方を決めてから触った会社だけが、設定の作業を、事故ではなく保守の売上に変えられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #ClaudeCode #Cloudflare #WAF #キャッシュ #保守契約 #制作会社経営 #中小企業 #セキュリティ #AI活用