Cloudflare WAFを使えるようになるまでの設定手順書（2026年最新対応）

2026年7月21日 00:26

Cloudflare WAF（Web Application Firewall）は、Cloudflareのグローバルネットワークでリクエストを検査・ブロックする強力なセキュリティ機能です。Freeプランでも基本的な保護（Free Managed Ruleset）が使えます。

前提条件

保護したいドメイン（例: example.com）を持っていること
ドメインの管理権限（レジストラ側のDNS変更権限）
Cloudflareアカウント（無料で作成可能）

ステップ1: Cloudflareアカウント作成

dash.cloudflare.com にアクセス
「Sign Up」でメールアドレスとパスワードを登録（2FA推奨）
メール認証を完了

ステップ2: ドメインをCloudflareに追加

ダッシュボード左上から Add a Site（または Onboard a domain）をクリック
保護したい Apexドメイン（example.com）を入力（www.example.com ではない）
プラン選択 → Free でOK（後でPro以上にアップグレード可能）
Cloudflareが既存DNSレコードをスキャンするので確認
- 重要なレコード（A/AAAA、CNAME、MXなど）がすべて表示されているかチェック
- 不足があれば手動追加

ステップ3: NameserverをCloudflareに変更

追加完了後、Cloudflareから2つのNameserver（例: `ns1.cloudflare.com`、`ns2.cloudflare.com`）が表示される
ドメイン取得元のレジストラ（お名前.com、GMO、Cloudnsなど）にログイン
DNS設定 → NameserverをCloudflare指定のものに変更
変更後、DNS反映まで5分〜48時間待つ（`dig NS example.com` で確認）

注意: DNSSECが有効になっている場合は事前に無効化してください（反映エラーの主な原因）。

ステップ4: DNSレコードのProxy有効化（Orange Cloud）

ドメインの DNS タブへ移動
各レコードの雲アイコンを Orange（Proxied） に設定
- Webトラフィック（80/443）は基本的にOrangeに
- MX（メール）などはGrey（DNS Only）のままが無難
SSL/TLS → Overview で Full (strict) を推奨

これでCloudflareがリバースプロキシとして動作し、WAFが有効になります。

ステップ5: WAF（Managed Ruleset）の有効化

対象ドメインを選択 → Security > Settings（または WAF）
Cloudflare Managed Ruleset を探してオンに
- Freeプラン → Free Managed Rulesetがデフォルトで有効
- Pro以上 → フルManaged Ruleset + OWASP Core Rulesetも有効化可能
フィルタで「Web application exploits」を選択して確認

推奨初期設定:

Ruleset action: Block（または Log でテスト）
誤検知が多い場合は後で個別ルールを調整

ステップ6: 基本的なカスタムルール設定（推奨）

Security > WAF > Custom rules で作成

初心者向け黄金ルール例（優先度順に上から設定）:

ホワイトリスト（最優先）
- 自分のIPや検証済みBotをSkip
脅威スコアルール
- `cf.threat_score > 10` → Managed Challenge または Block
特定攻撃パターンブロック
- `/wp-admin` への異常アクセスなど

Rate Limiting（ログイン画面など）も設定すると効果的。

ステップ7: 動作確認と監視

サイトにアクセスして正常に表示されるか確認
Security > Events（または Analytics）でブロック/チャレンジされたイベントを確認
誤ブロックがあったら → 該当ルールの例外追加 or Logモードに
Overview で全体トラフィックと脅威状況をチェック

よくあるトラブルシューティング

サイトが表示されない: Nameserver反映待ち、Proxy設定ミス、SSLモード確認
WAFが効かない: DNSレコードがGrey（DNS Only）になっていないか確認
誤検知多発: Managed RulesetをLogモードでテスト運用
日本からの遅延: Cloudflareの日本PoP（Tokyoなど）が自動利用されるので通常問題なし

次のステップ（より高度に）

Bot Management（Pro以上）
Rate Limitingルール強化
Custom Rulesets（アカウントレベル）
Zero Trust統合

所要時間目安: 初回30〜60分（Nameserver反映待ち除く）

この手順で基本的なWAF保護が即座に有効になります。実際の運用ではログをよく見てチューニングしてください。