サイトを載せている本来のサーバー（オリジンサーバー）の IP アドレスが分かれば、Cloudflare を通らずにサーバーへ直接アクセスできてしまいます。
本記事では、IP アドレスが外から分かってしまう経路と、点検の方法、対策を説明いたします。
Cloudflare が守っている範囲
Cloudflare を導入すると、ドメイン名を引いたときに返るのは Cloudflare の IP アドレスです。閲覧者は Cloudflare を経由してサイトを見るため、WAF（Web Application Firewall）・ボット対策・アクセス数の制限などの守りが働きます。
ただし Cloudflare の公式の文書も、サーバーの IP アドレスが露出すると直接の攻撃を受けやすくなると明記しています。
IP アドレスが外から分かってしまう経路
- メールの設定（SPF レコード）：Web サーバーのホスト名や IP アドレスが載っている場合
- Cloudflare を経由しない名前：mail・ftp などの名前が、Web サーバーと同じ IP アドレスを指している場合
- 過去の記録：Cloudflare を導入する前の DNS の記録や、IP アドレスの逆引き
自社のサイトで点検する方法
- SPF レコードに、Web サーバーのホスト名や IP アドレスが載っていないか
- mail・ftp などの名前が、Web サーバーと同じ IP アドレスを指していないか
- サーバーの IP アドレスへ直接アクセスして、サイトが表示されないか
- Cloudflare の管理画面の DNS の画面に、IP アドレスが露出している旨の警告が出ていないか
対策
1. Cloudflare の IP アドレスからのアクセスだけを許可する
サーバー側で、Cloudflare が公開している IP アドレスの範囲からのアクセスだけを受け付けます。Apache の .htaccess で設定でき、費用はかかりません。一覧は変わることがあるため、定期に見直します。
弊社が制作中の WordPress（検証用の環境）に、この設定を入れた結果は次のとおりです（2026年10月9日）。
| アクセスの経路 | 設定の後の応答 |
|---|---|
| サーバーへ直接（HTTPS） | 403（拒否） |
| サーバーへ直接（HTTP） | 403（拒否） |
| Cloudflare を経由 | 200（通常どおり表示） |
2. SPF レコードの書き方を見直す
SPF に Web サーバーのホスト名を直接書かず、メールサービスの共通の指定に任せる方法があります。
ただし、サーバーから直接送るメール（WordPress の通知・フォームの自動返信など）が受信側で拒否されることがあるため、どのメールがどこから送られているかを確認してから変更します。
3. 専用サーバー・VPS の場合
Cloudflare が接続のときに専用の証明書を示す仕組み（Authenticated Origin Pulls）や、サーバーから外向きに接続して受け口を閉じる仕組み（Cloudflare Tunnel）も使えます。共用のレンタルサーバーでは使えません。
出典
- Cloudflare「Exposed IP address」 https://developers.cloudflare.com/dns/manage-dns-records/troubleshooting/exposed-ip-address/（2026年10月9日 確認）
- Cloudflare「Cloudflare IP addresses」 https://developers.cloudflare.com/fundamentals/concepts/cloudflare-ip-addresses/（2026年10月9日 確認）
- Cloudflare「Authenticated Origin Pulls (mTLS)」 https://developers.cloudflare.com/ssl/origin-configuration/authenticated-origin-pull/（2026年10月9日 確認）