「Cloudflare を入れたのに、WordPress の管理画面へのログインの試みが止まらない」「サーバーの記録に不審なアクセスが残り続ける」というご相談をいただきます。
Cloudflare は、ネームサーバーを切り替えただけでは、すべての守りが働くわけではありません。
本記事では、サイトが守られていないと感じたときに確認する3つの点を、確認する順番に説明いたします。
1. DNS のレコードがプロキシを通っているか
Cloudflare の DNS のレコードには、「プロキシ済み」（オレンジの雲）と「DNS のみ」（灰色の雲）の2つの状態があります。
Cloudflare の守り（WAF・ボット対策・アクセス数の制限）とキャッシュが働くのは、「プロキシ済み」のレコードだけです。
- ドメインの直下（例: example.co.jp）と www の両方が「プロキシ済み」になっているか
- サイトを別のサブドメインで公開している場合、そのレコードも「プロキシ済み」か
- メールのための mail などのレコードが、Web サーバーと同じ IP アドレスを指していないか
確認するには、ブラウザーの開発者ツールでサイトの応答ヘッダーを開き、server: cloudflare と cf-ray が付いているかを見ます。
付いていなければ、そのアクセスは Cloudflare を通っていません。
2. WAF のマネージドルールが有効か
WAF のマネージドルールは、Cloudflare が作って更新している、既知の攻撃を防ぐ規則の一式です。
料金プランごとに使えるものは、次のとおりです。
| 規則の一式 | Free | Pro 以上 |
|---|---|---|
| Cloudflare Free Managed Ruleset | 使える | 使える |
| Cloudflare Managed Ruleset | 使えない | 使える |
| Cloudflare OWASP Core Ruleset | 使えない | 使える |
Pro 以上のプランでも、Cloudflare Managed Ruleset は管理画面で有効にしないと働きません。
WordPress のログイン画面への総当たりには、マネージドルールに加えて、ログインの URL へのアクセス数の制限や、国・地域による絞り込みの規則を足します。
有効にした後は、セキュリティの「イベント」の画面で、規則がアクセスを止めた記録が出ているかを確認します。
3. サーバーが Cloudflare 以外からのアクセスを受け付けていないか
1. と 2. が正しくても、サーバーの IP アドレスが分かれば、Cloudflare を通らずにサーバーへ直接アクセスできます。
不審なアクセスがサーバーの記録に残り続ける場合、多くはこの経路です。
- サーバーの記録で、不審なアクセスの送り元の IP アドレスを見る。Cloudflare の IP アドレスの一覧に無い送り元があれば、直接アクセスされています
- サーバーのファイアウォール、またはサーバーの会社の管理画面のアクセス制限で、Cloudflare の IP アドレスからの HTTP・HTTPS だけを受け付ける
- サーバーの IP アドレスへ直接アクセスし、サイトが表示されないことを確認する
サーバーの記録で訪れた人の本当の IP アドレスを見るには、Cloudflare が訪れた人の IP アドレスを入れて送るヘッダーを、記録に使う設定が要ります。
サーバーの IP アドレスが分かる経路と点検の方法は「サーバーの IP アドレスが分かると、守りを素通りされる：点検の方法と対策」で説明しています。
点検の一覧
| 点検の項目 | 確認する場所 | 正しい状態 |
|---|---|---|
| プロキシの有無 | Cloudflare の DNS の画面 | サイトのレコードがすべて「プロキシ済み」 |
| 応答のヘッダー | ブラウザーの開発者ツール | server: cloudflare と cf-ray が付く |
| マネージドルール | Cloudflare のセキュリティの画面 | 使える規則が有効で、イベントに記録が出る |
| サーバーの受け付け | サーバーのファイアウォール | Cloudflare の IP アドレスだけを受け付ける |
出典
- Cloudflare「Proxy status」 https://developers.cloudflare.com/dns/proxy-status/（2026年10月11日 確認）
- Cloudflare「Managed Rules」 https://developers.cloudflare.com/waf/managed-rules/（2026年10月11日 確認）
- Cloudflare「IP Ranges」 https://www.cloudflare.com/ips/（2026年10月11日 確認）
- Cloudflare「Restoring original visitor IPs」 https://developers.cloudflare.com/support/troubleshooting/restoring-visitor-ips/restoring-original-visitor-ips/（2026年10月11日 確認）