事前にしっかり確認！Cloudflare導入で気をつけるべき２つのこと

こんにちは。
キートン株式会社代表兼エンジニア、
そしてCloudflare（クラウドフレア）非公式アンバサダーのHKです。

今回は、Cloudflare 導入にあたって、事前に
「これだけは確認しておいたほうがいい」
という２つの点について解説します。

基本的には Cloudflare の無料プランを使う前提でのお話になります。

「Cloudflare の無料プランって実際のところどうなの？」

「仕事で使えるレベルなの？」

Cloudflare の導入を考えているけどいろいろ疑問に思っている、というかたにも参考になると思いますので、ぜひ最後までお読みください。

1. 証明書問題 - OV証明書が使えない？

現代では必須となったSSL証明書。
Cloudflare の無料プランを使うにあたっての、まずひとつめの注意点が、この証明書についてです。

証明書には３つの種類があるのはご存知かと思いますが、このお話の前提知識となりますので、念のため簡単に説明します。

・DV証明書（Domain Validation）
ドメインの所有権のみを認証する証明書です。発行が速く安価（もしくは無料）ですが、サイト運営者の実在性や正当性が証明されないため、なりすましやフィッシングサイトに利用される可能性があります。

・OV証明書（Organization Validation）
ドメイン所有権に加えて、組織（企業や団体）の実在性も認証する証明書です。発行まで少し時間がかかり費用も高めですが、DV証明書よりも高い信頼性を示すことができるため、コーポレートサイトや外部公開サービス等に適しています。

・EV証明書（Extended Validation）
OV証明書の審査内容がさらに厳しくなった証明書です。組織（企業や団体）の実在性に加えて、組織の役員や事業継続期間などの運営実態まで調査し、認証します。金融機関（オンラインバンキング）やECサイトの決済ページなどに利用されます。

Cloudflare ではプランごとに利用できる証明書が違う

さて本題です。
先に結論から言うと、Cloudflare ではプランごとに利用できる証明書の種類が異なります。そして無料プランではDV証明書しか使えません。

詳しく説明します。
Cloudflare の無料プランでは、DNSの設定を終えると、DV証明書が自動で取得され、管理・運用までほぼ自動で行われますので、証明書を取得してSSL化すること自体はとても簡単です。

しかし、無料プランでは、独自に購入したOV証明書など、任意の証明書を使うことができません。利用できるのは、あくまで Cloudflare 側が準備するDV証明書のみとなります。

ここで、
「いや、すでにOV証明書を取得してサーバに設置してるんだけど？」
と思ったかたもいらっしゃると思います。

ですが、Cloudflare（CDN）の仕組み上、エンドユーザから見える証明書は Cloudflare 側の証明書です。オリジンサーバにOV証明書を設定していても、エンドユーザからは直接見えません（下図参照）。

つまり、エンドユーザにOV証明書を見せるためには、独自で取得した証明書を、オリジンサーバではなく、Cloudflare にアップロードして設置する必要があります。

そして、独自で取得した証明書を Cloudflare にアップロードして使うためには、$250/月（$200/月・年払）のビジネスプランが必要になります。

ちなみに、無料プランのひとつ上に、$25/月（$20/月・年払）のプロプランがありますが、プロプランでも独自取得したOV証明書をアップロードして使うことはできません。

OV証明書を利用するためにはビジネスプラン以上、そして、EV証明書を利用するにはさらに上のエンタープライズプランが必要となります。

2. ログ問題 - アクセスログが残らない？

アクセスログ、ご存知でしょうか？
アクセスログは、WEBサーバの基本的な機能で、

・誰が（アクセス元IPアドレス）
・いつ（日時）
・どのように（GETやPOSTなどのリクエストメソッド）
・どこに（対象のページ・ファイル）

アクセスしたのかを記録する仕組みです。

以下は、一般的なアクセスログです。
詳しい見方は割愛しますが、各行の一番最初に、「誰が（アクセス元のIPアドレス）」が記されているのがわかるかと思います。

192.168.0.1 - - [09/Oct/2025:06:45:36 +0900] "GET /index.html HTTP/1.1" 200 1043 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
203.0.113.5 - - [09/Oct/2025:06:45:40 +0900] "POST /login.php HTTP/1.1" 302 32 "https://example.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)"
10.1.2.3 - - [09/Oct/2025:06:45:43 +0900] "GET /images/logo.png HTTP/1.0" 304 0 "-" "curl/8.5.0"
127.0.0.1 - - [09/Oct/2025:06:46:01 +0900] "GET /admin/ HTTP/1.1" 403 362 "https://example.com/" "Mozilla/5.0 (Linux; Android 10)"
202.60.100.12 - - [09/Oct/2025:06:46:03 +0900] "GET /robots.txt HTTP/1.1" 200 68 "-" "Googlebot/2.1 (+http://www.google.com/bot.html)"
172.16.10.4 - - [09/Oct/2025:06:46:04 +0900] "GET /product/12345 HTTP/2" 200 2154 "https://example.com/search" "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)"
192.168.100.8 - - [09/Oct/2025:06:46:08 +0900] "GET /css/style.css HTTP/1.1" 200 516 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64)"
10.200.30.50 - - [09/Oct/2025:06:46:12 +0900] "GET /api/data HTTP/1.1" 500 145 "https://example.com/dashboard" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
203.0.113.21 - - [09/Oct/2025:06:46:18 +0900] "GET /favicon.ico HTTP/1.1" 404 209 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)"
192.168.20.7 - - [09/Oct/2025:06:46:19 +0900] "GET /js/main.js HTTP/1.1" 200 347 "-" "Mozilla/5.0 (Linux; Android 11)"

これが、Cloudflare 導入後は以下のようになります。

172.68.254.64 - - [09/Oct/2025:06:45:36 +0900] "GET /index.html HTTP/1.1" 200 1043 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
172.68.254.64 - - [09/Oct/2025:06:45:40 +0900] "POST /login.php HTTP/1.1" 302 32 "https://example.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)"
172.68.254.64 - - [09/Oct/2025:06:45:43 +0900] "GET /images/logo.png HTTP/1.0" 304 0 "-" "curl/8.5.0"
172.68.254.64 - - [09/Oct/2025:06:46:01 +0900] "GET /admin/ HTTP/1.1" 403 362 "https://example.com/" "Mozilla/5.0 (Linux; Android 10)"
172.68.254.64 - - [09/Oct/2025:06:46:03 +0900] "GET /robots.txt HTTP/1.1" 200 68 "-" "Googlebot/2.1 (+http://www.google.com/bot.html)"
172.68.254.64 - - [09/Oct/2025:06:46:04 +0900] "GET /product/12345 HTTP/2" 200 2154 "https://example.com/search" "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)"
172.68.254.64 - - [09/Oct/2025:06:46:08 +0900] "GET /css/style.css HTTP/1.1" 200 516 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64)"
172.68.254.64 - - [09/Oct/2025:06:46:12 +0900] "GET /api/data HTTP/1.1" 500 145 "https://example.com/dashboard" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
172.68.254.64 - - [09/Oct/2025:06:46:18 +0900] "GET /favicon.ico HTTP/1.1" 404 209 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)"
172.68.254.64 - - [09/Oct/2025:06:46:19 +0900] "GET /js/main.js HTTP/1.1" 200 347 "-" "Mozilla/5.0 (Linux; Android 11)"

おわかりでしょうか？

IPアドレスがすべて同じになっています。
これは同じユーザがアクセスした、のではなく、エンドユーザとオリジンサーバの間に Cloudflare が挟まっている仕組み上、オリジンサーバからみたときのアクセス元が、基本的には Cloudflare になってしまうためです。

このように、「誰が」の部分が失われてしまうため、Cloudflare 導入後のアクセスログは、ログとしては不完全なものとなってしまいます。

オリジンサーバ側のアクセスログが不完全なものになってしまうため、Cloudflare 側で本来のアクセス元を記録したアクセスログを生成できるのですが、このログ機能は無料プランでは一部しか利用できません。

完全なログ機能を利用できるのが、さきほどの証明書と同様、$250/月（$200/月・年払）のビジネスプラン以上になります。

ちなみに、VPSやクラウドサーバなどで、独自にサーバを構築・管理している状況であれば、WEBサーバの設定を変更することで、本来のIPアドレスをログに残すように調整も可能です。
逆に共用レンタルサーバなどでは、残念ながらログのカスタマイズはほとんどの場合できません。

無料プランは使えないの？

ここまで読んでいただくと、

「なんだ、無料プランは使えないじゃないか？」

「結局はビジネスプランにしないとダメなんでしょ？」

と思ったかたもいらっしゃると思います。

しかし、証明書はDV証明書でも構わないというケースはあります。
あくまで私見となりますが、以下のようなケースが該当するのではないでしょうか？

• 個人ブログ

• 個人事業主の店舗HP

• 商品やイベントのLP

• 小規模事業者やスタートアップのHP

ちなみに、知名度のある企業でも、CDN利用でDV証明書を使っているケースはよく見かけます。

また、ログに関しても、情報システム部があるような規模の企業であれば、日常的にログを確認する人員もいるかと思いますが、上記のようなケースで、日々ログを確認するなどということはほとんどないと思います。

一般的には Google Analytics や、WPのプラグインなどで統計情報が取れれば十分という認識だと思います。

そして、証明書とログに関してある程度の妥協ができる状況であれば、Cloudflare の全プランで利用できる

• 優れたCDNとしての高速・安定配信

• DDos 低減

• WAF

• Bot対策

といった多くの恩恵を受けることができます。

WEBの運用にそこまでコストをかけられない、という状況であれば、証明書の種類やログにこだわって導入を見送るよりも、確実にDDosや不正アクセスの被害を防ぐために、Cloudflare の無料プランを利用する、という判断をするほうが、理に適っているのかな、と思います。

以上、２つの注意点を理解したうえで、WEBの高速・安定化、そしてセキュリティにおいて、圧倒的なメリットを持つ Cloudflare の導入をぜひ検討されてみてはいかがでしょうか？

弊社では安心安全なクラウドフレア導入サービスを行っています。
ちなみに、ログ問題に関しては、レンタルサーバなどを利用している場合でも、独自にログを取る仕組みを追加設置して解決することも可能です。

ご興味のある方はぜひ下記のリンクからお問い合わせください。

最後までお読みいただきありがとうございました。