日誌のようなもの

ウェブサイトやアプリケーションを Cloudflare Workers で構築すべき理由

難しい話です

2026.10.19

不正アクセスの勢いが止まらない

日本国内で、不正アクセスによる情報漏えいの発表が毎日にように続いています

  • 9月1日から10月5日までに公表された国内の漏えい・不正アクセス事案は 83件（SmartScope 集計）
  • 10月8日には JPCERT/CC が「9月ごろから国内で不正アクセスが多発している」として注意喚起を公開
  • 10月16日には、Web 制作プラットフォーム「Studio」が、全ユーザーの情報が流出した可能性を発表、フォームに送信された内容や外部サービスの API キーも対象に含まれていた

「うちは小さな会社だから」「小規模なサービスだから」狙われない
もはやそんな甘い認識でどうにかなる状況ではありません

攻撃者はAIを活用し、攻撃を自動化・自律化しています
狙われるかどうかを決めるのは企業やサービスの規模ではなく、攻撃側のAIの判断です

私は以前から「セキュリティが最優先事項」と考え、 Cloudflare Workers でのアプリケーション開発を提案し、実際の案件で取り組んできました

米国政府機関のシステム基盤でも利用される Cloudflare

Cloudflare は米国では政府機関がクラウドサービスを使うための厳しい安全基準「FedRAMP」の認可を受けており、多くの連邦政府機関が Cloudflare のサービスを使っています
高速で落ちない、セキュアな行政サービス用のAPIやアプリケーションが Cloudflare Workers で開発・運用されています

Cloudflare でなにができるのか

Cloudflare は「高速配信」「強固なセキュリティ」「サーバレス開発」を一挙に実現できるプラットフォームです

高速配信ネットワーク

世界中に分散配置されたエッジサーバーでコンテンツを高速かつ安定してユーザーに届けるCDN（コンテンツ配信ネットワーク）です

強固なセキュリティ

単なるCDNの枠を超えネットワーク全体で脅威を遮断する強力なセキュリティエコシステムを備えています

サーバレス開発基盤

Cloudflare Workers でアプリケーションを作成すれば、世界中のエッジ上でコードを実行・スケールできます

最近の攻撃は「外から見えている穴」を狙っている

まず、最近の事件がどこから入られているのかを見てみます
JPCERT/CC の注意喚起では、攻撃者は次のような方法で侵入を試みているとされています

  • 標的ごとに、脆弱性や設定・管理の不備がないかを調べる
  • アプリや業務ツールの API（システム同士がデータをやり取りする接続部分）を特定し悪用する
  • 本来は公開するつもりのなかった機能等の脆弱性を突く

また、SmartScope の集計では、侵入経路まで公表された7件はすべて脆弱性が原因でした
狙われているのは「インターネットから見えていて、穴が空いている場所」です
なので外から見える場所を減らし残った場所をしっかり守ることが効果的な対策であると言えます

従来のウェブサイトは「見えている場所」が多すぎる

一般的な中小企業のウェブサイトは、レンタルサーバーや VPS に WordPress などを置いて作られています
この構成では、次のようなものがすべてインターネットから見えています

  • サーバーの OS やポートなどの情報
  • PHP 等のプログラム（OSSなら構造が公開されている）
  • WordPress 等のCMS管理画面のログインページ
  • WordPress 等で追加したプラグイン

特にプラグインは要注意で、WordPress のセキュリティ企業 Patchstack の報告では、2025年に WordPress 関連で見つかった脆弱性は 11,334件で、そのうち 91%がプラグインによるものでした

また、お問い合わせフォームの内容がサーバーやデータベースに何年分も溜まっていることも珍しくありません
持っているデータが多いほど、漏れたときの被害は大きくなります

Cloudflare でウェブサイトを構築すると何が変わるのか

サーバーの持続可能性

Cloudflare Workers で作成したアプリケーションは Cloudflare のランタイム（実行環境）で動作します
そのため、従来のレンタルサーバーや VPS で負担となっていた OS や PHP / Python / NodeJS などのプログラム実行環境の更新作業が一切不要であり、古いバージョンのまま放置され脆弱性を突かれるということが構造的に発生しません
また、FTP のようなサーバーへ直接ファイルを配置する仕組みを排除しているため、不正ファイルを配置してバックドアを仕掛けるといったサイバー攻撃の典型的な手口を根本から遮断できます

サーバレスなデータベース

データベースには、Cloudflare ネイティブなサーバレス RDB「Cloudflare D1」を選べます
D1 に対応した CMS（コンテンツ管理システム） も公開されており、運用も快適です
また、オンプレミスや別のクラウドにあるデータベースを使う場合でも、「Cloudflare Tunnel」を使えばファイアウォールの受信ポートを開けることなく外部に公開しない通信経路でつなげます

見えない管理画面

管理画面を守る要になるのが「Cloudflare Access」です
認証された正規のユーザーでなければ、管理画面の URL にアクセスしても Cloudflare の認証画面で止まり、管理画面には通信そのものが届きません
攻撃者から見れば狙うべき管理画面にたどり着く入口がない状態です
認証に使うアカウントを2段階認証やパスキーでしっかり固めます

強固な防御機構

世界規模のネットワークを守る防御が最初から付いています

| 防御機能 | 内容 |
| --- | --- |
| DDoS 対策 | 大量の通信でサイトを止める攻撃を防ぐ |
| WAF | よくある攻撃パターンの通信を止める |
| ボット対策 | フォームへの機械的な大量送信を防ぐ Turnstile など |

こうした Zero Trust アーキテクチャを、大がかりな機器や高額な契約なしに、ひとつのプラットフォームで組み立てられることも Cloudflare の大きな強みです

コストパフォーマンス

世界中のエッジで配信されるため、コンテンツの表示が速くなります
規模や要件によりますがサーバー費用も下がることが多いです
ちなみにうちのウェブサイトは Next.js（広報サイト） / React Router v7 （このサイト）で作ったものを、Cloudflare の無料プランでデプロイしてるので、毎年払っているのはドメインの費用だけです
有料プランにしてもたいていの場合は月額ワンコインでだいたい事足ります
安くて速くてうまい、私は吉野家がだいすきです
※つゆぬきで七味多めでちょっとだけ醤油つける派です

絶対に安全は存在しません

当たり前ですが、どれだけ対策をしてもリスクをゼロにすることはできません
できることは、データを守れる可能性を少しでも上げる努力だけです
セキュリティに億単位でコストかけてる米国のペンタゴンや日本のデジタル庁ですら無理だったので、無理です