Cloudflare 07：ボット対策 ― 人か機械かを見分ける

良いボット・悪いボット・使い方次第

ボット対策の難しさは、全部止めればよいわけではないところにあります。

Googlebot を止めれば、検索結果にあなたのサイトが出なくなります。死活監視を止めれば、落ちたときに気づけません。スマホアプリのように、自分のサービスの一部がプログラムからアクセスしていることもあります。一方で、買い占めや総当たりのボットを通せば、お客さんやアカウントが被害を受けます。

そこでボット対策は、単に「機械を止める」のではなく、止めたい機械だけを止めることを目指します。図のように、訪問者を3つに分けて考えると整理しやすくなります。

3つ目の AI のクローラーは、ここ数年で急に増えた新しい種類です。自分の記事を AI の回答に使ってほしい人もいれば、無断で学習に使われたくない人もいます。正解は1つではないので、自分で方針を決めて設定することになります。これはあとのページで詳しく見ます。

どうやって、人か機械かを見分けるのか

Cloudflare は、1つの手がかりだけで人か機械かを決めません。たくさんの信号を重ねて判断します。

ここで効いてくるのが、Cloudflare の規模です。1つのサイトだけを見ていては、あるリクエストがボットかどうかは分かりにくいものです。でも、同じ指紋のリクエストが世界中の何千ものサイトで同じ動きをしていれば、それはほぼ確実にボットです。00号で見た「無料の利用者の通信も、見分けるための材料になる」とは、このことです。

ボットスコア：1〜99 で「人らしさ」を表す

見分けた結果は、ボットスコアという数字で表されます。1〜99 の値で、低いほど機械らしく、高いほど人らしいことを表します。

図の目盛りの上に、訪問者を置いてみました。人のブラウザは右の高いほうに、買い占めや総当たりのボットは左の低いほうに並びます。

スコアの細かい値をルールの中で使えるのは、Enterprise の Bot Management です。たとえば「スコアが30未満なら止める」「ログイン画面だけは50未満でも確認を出す」のように、自分のサイトに合わせて閾値を決められます。Free・Pro・Business のボット対策でも、内部では同じような判断が行われていて、その結果を「確実に機械」「たぶん機械」といった分類として使います。

ここで1つ問題があります。図の左下の Googlebot です。Googlebot もプログラムなので、スコアは低くなります。でも、止めたくはありません。これをどう扱うかが、次のページです。

確認済みボット：名乗りが本物かを Cloudflare が確かめる

Googlebot のような「良いボット」を通すために、Cloudflare は確認済みボット（verified bots）の一覧を持っています。

大事なのは、名乗りを信じるのではなく、本物かどうかを確かめていることです。たとえば、「Googlebot」と名乗るリクエストが来たら、その送り元の IP を逆引きして Google のドメインになっているか、さらに正引きして同じ IP に戻るか、といった方法で確かめます。検索エンジン、死活監視、SEO のツールなど、公開された方法で確かめられるボットが一覧に入っています。

図で、Googlebot が目盛りから離れて別の列に移ったのは、このためです。スコアは低くても、「確認済みのボット」として別扱いになり、ボット対策の設定でふつうは許可します。

一方、IP を偽って「Googlebot」を名乗るボットは、この確認に通りません。ふつうのボットとして、スコアで判定されます。

自分でボットを作ってサービスを提供している場合は、Cloudflare に申請して確認済みボットに入れてもらう方法もあります。また最近は、ボットがリクエストに電子署名を付けて身元を示す仕組み（Web Bot Auth）も使われ始めています。

Bot Fight Mode：無料のスイッチ1つ

ここからは、プランごとに使えるボット対策を見ていきます。図の左の3段が、その全体像です。いちばん上が、Free プランで使える Bot Fight Mode です。

Bot Fight Mode は、管理画面のスイッチ1つでオンにできます。オンにすると、Cloudflare が「よく知られた悪いボット」と判断したリクエストに、確認（チャレンジ）を出して止めます。確認済みボットは通します。個人のブログや小さなサイトで、スパムの投稿やしつこい抜き取りに困っているなら、まず試す価値があります。

ただし、手軽さと引き換えに、細かい調整ができません。

いちばん注意したいのは2列目です。Bot Fight Mode は、ドメイン全体にかかり、WAF のカスタムルールの Skip でも外せません。そのため、スマホアプリの API や、外部サービスからの Webhook のように、「機械からのアクセスが正しい」場所があるサイトでは、それらまで止めてしまうことがあります。オンにしたら、自分のアプリや連携が動いているかを必ず確かめてください。

Super Bot Fight Mode：種類ごとに動作を選ぶ

Pro と Business のプランでは、Super Bot Fight Mode が使えます。Bot Fight Mode より細かく、ボットの種類ごとに動作を選べるのが特徴です。

ほかに、画像や CSS などの静的ファイルにもボット対策をかけるかどうか、ブラウザで JavaScript の検査を動かすかどうか、といった設定もあります。

もう1つ大きな違いは、WAF のカスタムルールの Skip で、場所ごとに外せることです。たとえば「/api/ の下は Super Bot Fight Mode を飛ばす」と書けば、自分のアプリの通信を守りながら、それ以外のページではボットを止められます。Bot Fight Mode で API が止まって困っていた人にとっては、これが Pro に上げる理由になります。

基本の方針は、「確実に機械」は止めるか確認を出し、「確認済みボット」は許可する、です。「たぶん機械」には人が混ざることもあるので、止めるより確認（Managed Challenge）のほうが安全です。

Bot Management：スコアを自分のルールで使う

Enterprise の Bot Management では、4ページ目で見た1〜99のボットスコアを、自分のルールの中で直接使えます。

図の右は、05号で見た WAF のカスタムルールに、ボットスコアを組み合わせた例です。

cf.bot_management.score lt 30
and not cf.bot_management.verified_bot
and http.request.uri.path eq "/login"

「スコアが30未満で、確認済みボットではなく、ログイン画面へのリクエスト」に Managed Challenge を出します。ほかのページには影響しません。

このように、場所ごとに厳しさを変えられるのが Bot Management の強みです。ログインや購入のような大事な場所は厳しく、記事のページはゆるく、といった使い分けができます。スコアはログにも残るので、どれくらいのボットが来ているかを分析し、閾値を調整していけます。

ボットスコアは、Workers（18号）の中でも request.cf から読めるので、アプリの中で「ボットらしい相手には軽い応答を返す」といった使い方もできます。

AI のクローラー：載せたいか、学ばせたいか

最後に、ここ数年で大きな話題になっている AI のクローラーです。AI の会社は、モデルの学習や、質問への回答のために、Web のページを大量に読みに来ます。

困るのは、サイトの側に見返りが少ないことです。検索エンジンは、ページを読む代わりに、検索結果からお客さんを送ってくれます。AI は、ページを読んで回答を作りますが、利用者は元のサイトを訪れないことが多いのです。

Cloudflare は、この問題にいくつかの機能で応えています。

2026年には、AI のクローラーを目的ごと（検索・エージェント・学習など）に分けて扱う方向に仕組みが見直され、新しいドメインなどの既定の設定も変わっています。「気づいたら AI に止められていた」「止めたつもりが通っていた」ということがありうるので、自分のドメインの設定を管理画面で一度確かめてください。

気をつけたいのは、検索と AI の境目があいまいなことです。1つのクローラーが検索と AI の両方に使われることもあります。止めた結果、検索にも出なくなっていないかを確かめましょう。

導入：プランに合った1つをオンにする

ボット対策は、管理画面のドメインのセキュリティ > ボット（Security > Bots）から設定します。表示の場所は変わることがあるので、見つからないときは公式のドキュメントで確かめてください。

いちばん大事なのは、自分のサービスの中にある「正しい機械」を先に洗い出すことです。

これらがある Free のサイトで Bot Fight Mode をオンにするときは、とくに慎重に確かめてください。外せないからです。

料金と制限

ボット対策は、プランによってはっきり3段に分かれています。次の表は 2026年9月時点の内容です。

AI Crawl Control の基本的な機能は、全プランで使えます。Pay per crawl は、2026年9月時点では非公開ベータで、申し込みが必要です。

ボット対策の各機能は、名前や提供範囲の見直しが比較的多い分野です。導入のときは、公式の料金ページとドキュメントで最新の内容を確かめてください。

よくある落とし穴

ボット対策の事故は、ほとんどが「良い機械まで止める」形で起きます。しかも、止められた相手は人間ではないので、苦情が来ません。「なぜか Webhook が届かない」「なぜか監視が失敗する」という、原因の分かりにくい形で表に出ます。オンにしたら、自分のサービスの連携が動いているかを必ず確かめてください。

他の号とのつながり

ボット対策は、「人か機械か」を見る守りです。ほかの守りとは見ているものが違うので、重ねて使います。

この号で何度か出てきた Managed Challenge（怪しいときだけ確認を挟む仕組み）は、次の08号で扱う Turnstile と同じ技術の上に立っています。Turnstile は、その確認を、あなたのサイトのフォームの中に置けるようにしたものです。

ボットの傾向を長い期間で見る方法は 32号（分析とログ）で、Workers の中でボットスコアを使う方法は 18号で扱います。