アカウント全体のプロキシを一発オフ！Cloudflare の enforce DNS-only が登場！

やっほー、しぃちゃんだよ！今日は Cloudflare からちょっと物騒だけど頼もしい「緊急スイッチ」の話を持ってきたよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の DNS に、アカウント内の全ゾーンのリバースプロキシをまとめてオフにできる新しい設定 enforce_dns_only が追加されたの。これは Cloudflare の Changelog で発表されたものだよ。

この設定をオンにすると、プロキシ状態のレコードへの DNS クエリに対して、Cloudflare の anycast IP じゃなくて、みんなのオリジン IP アドレスをそのまま返すようになるの。トラブルが起きたときに、トラフィックをオリジンサーバーへ直接流したい場面を想定した、アカウント単位のキルスイッチなんだよ。

今までどうだったの？

これまで「Cloudflare を通さずオリジンに直接向ける」には、レコードごとにプロキシ状態を切り替える（いわゆるグレークラウド化する）必要があったの。ゾーンやレコードがたくさんあると、いざというときに全部を素早く切り替えるのは大変だよね。

新しい enforce_dns_only なら、API を 1 回叩くだけでアカウント内の全ゾーンにまとめて効かせられるの。

これで何が変わるの？

インシデント対応のスピードが変わるよ。「今すぐ Cloudflare を経由せずにオリジンへ流したい」という緊急時に、ゾーンをひとつずつ触らなくてよくなるの。

しかも非破壊的で、DNS レコード自体は書き換えないんだって。設定をオフに戻せば、いつもどおりのプロキシ動作に戻るよ。

ただしここは大事なところ。原文には強い警告が書かれているの。

Enabling this setting exposes your origin IP addresses and removes all Cloudflare protections — including DDoS mitigation, WAF, caching, and all other proxy-based features — for every zone in your account.

つまりオンにするとオリジン IP がさらけ出されて、DDoS 対策・WAF・キャッシュといった Cloudflare の保護が全ゾーンで外れちゃうってこと。使うときは細心の注意が必要だよ。

深く潜ってみよう

Enforce DNS-only のドキュメント から拾える特徴を整理するね。

• アカウント単位：API 呼び出し 1 回で、アカウント内の全ゾーンに同時に効くよ。
• 非破壊的：DNS レコードは書き換えない。オフに戻せば通常のプロキシ動作に復帰するの。
• API 専用：Cloudflare のダッシュボードには無くて、API からだけ使えるよ。

影響範囲もはっきりしているの。対象になるのは、通常のプロキシ状態の A・AAAA・CNAME レコード、Load Balancing のレコード、Worker のルートに一致するレコード。

一方で、Spectrum アプリケーション、Cloudflare Tunnel の CNAME、R2 のカスタムドメイン、Web3 ゲートウェイ、Workers のカスタムドメインは対象外で、いつもどおり動き続けるよ。

有効化する前には、オリジンサーバーの処理能力の確認、見えてしまう IP の確認、ステージングでのテストがすすめられているの。詳しい事前準備も用意されているから、本番で使う前に必ず目を通しておこうね。

提供対象は、API 経由で全 Cloudflare ユーザーだよ。

まとめ

• アカウント内の全ゾーンのプロキシを一括オフにできる新設定 enforce_dns_only が登場したよ。
• API 専用のキルスイッチで、インシデント対応向け。DNS レコードは書き換えない非破壊的な仕組みなの。
• オンにするとオリジン IP が露出して DDoS 対策・WAF・キャッシュなどの保護が全部外れるから、使うのは緊急時だけ。
• 大量のゾーンを運用していて、いざというときの「直接オリジンへ」を素早くやりたい SRE やインフラ担当のみんなに刺さる機能だよ。