Cloudflare Domains

Cloudflareに設定された各TLDには、いくつかの一般設定とサービスが構成できます。このページでは、各セクションのセキュリティ関連設定を分析します：

概要

• アカウントのサービスがどれだけ使用されているかを把握する

• ゾーンIDとアカウントIDも見つける

分析

• Securityでレート制限があるか確認する

DNS

• DNS レコードに興味深い（機密？）データがあるか確認する

• 名前に基づいて機密情報を含む可能性のあるサブドメインを確認する（例：admin173865324.domin.com）

• プロキシされていないウェブページを確認する

• CNAMEまたはIPアドレスで直接アクセス可能なプロキシ化されたウェブページを確認する

• DNSSECが有効であることを確認する

• すべてのCNAMEでCNAMEフラッティングが使用されていることを確認する

• これはサブドメインの乗っ取り脆弱性を隠すのに役立ち、読み込み時間を改善する可能性があります

• ドメインがスプーフィングに対して脆弱でないことを確認する

メール

TODO

スペクトル

TODO

SSL/TLS

概要

• SSL/TLS暗号化はフルまたはフル（厳格）であるべきです。他の設定では、いずれかの時点で平文トラフィックが送信されます。

• SSL/TLS推奨設定が有効であるべきです

エッジ証明書

• 常にHTTPSを使用が有効であるべきです

• HTTP厳格トランスポートセキュリティ（HSTS）が有効であるべきです

• 最小TLSバージョンは1.2であるべきです

• TLS 1.3が有効であるべきです

• 自動HTTPS書き換えが有効であるべきです

• 証明書透明性モニタリングが有効であるべきです

セキュリティ

• WAFセクションでは、ファイアウォールとレート制限ルールが使用されているか確認することが興味深いです。

• バイパスアクションは、リクエストに対してCloudflareのセキュリティ機能を無効にします。使用すべきではありません。

• ページシールドセクションでは、ページが使用されている場合は有効であることを確認することをお勧めします

• APIシールドセクションでは、CloudflareでAPIが公開されている場合は有効であることを確認することをお勧めします

• **DDoS**セクションでは、DDoS保護を有効にすることをお勧めします

• **設定**セクションでは：

• セキュリティレベルが中以上であることを確認する

• **チャレンジパッセージ**が最大1時間であることを確認する

• ブラウザ整合性チェックが有効であることを確認する

• プライバシーパスサポートが有効であることを確認する

CloudFlare DDoS保護

• 可能であれば、ボットファイトモードまたはスーパーボットファイトモードを有効にしてください。プログラムからアクセスされるAPIを保護している場合（例えば、JSフロントエンドページから）。そのアクセスを壊さずにこれを有効にできないかもしれません。

• WAFでは、URLパスによるレート制限を作成するか、確認済みボットに対して（レート制限ルール）、またはIP、クッキー、リファラーに基づいてアクセスをブロックすることができます。したがって、ウェブページから来ないリクエストやクッキーを持たないリクエストをブロックできます。

• 攻撃が確認済みボットからの場合、少なくともボットに対してレート制限を追加してください。

• 攻撃が特定のパスに対するものである場合、予防策としてこのパスにレート制限を追加してください。

• ツールからIPアドレス、IP範囲、国、またはASNをホワイトリストに追加することもできます。

• 管理ルールが脆弱性の悪用を防ぐのに役立つかどうか確認してください。

• ツールセクションでは、特定のIPやユーザーエージェントに対してブロックまたはチャレンジを与えることができます。

• DDoSでは、ルールをオーバーライドしてより制限的にすることができます。

• 設定：セキュリティレベルを高に設定し、攻撃中の場合は攻撃中に設定し、ブラウザ整合性チェックが有効であることを確認してください。

• Cloudflare Domains -> Analytics -> Security -> レート制限が有効か確認する

• Cloudflare Domains -> Security -> Events -> 検出された悪意のあるイベントを確認する

アクセス

スピード

セキュリティに関連するオプションは見つかりませんでした

キャッシング

• 設定セクションでCSAMスキャンツールを有効にすることを検討してください

ワーカーズルート

すでに cloudflare workersを確認しているはずです_

ルール

TODO

ネットワーク

• HTTP/2が有効であれば、HTTP/2 to Originも有効であるべきです

• HTTP/3 (with QUIC)が有効であるべきです

• ユーザーのプライバシーが重要な場合、オニオンルーティングが有効であることを確認してください

トラフィック

TODO

カスタムページ

• セキュリティに関連するエラーが発生した場合（ブロック、レート制限、または攻撃中モードなど）にカスタムページを設定することはオプションです

アプリ

TODO

スクレイプシールド

• メールアドレスの難読化が有効であることを確認する

• サーバーサイド除外が有効であることを確認する

ザラズ

TODO

Web3

TODO