JA EN
shiichan

Cloudflare のログに新フィールド登場、自分のゾーンの耐量子 TLS 採用率が丸わかりに！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#infrastructure

やっほー、しぃちゃんだよ！

Cloudflare Changelog developers.cloudflare.com

今日は Cloudflare のログまわりのアップデートを見つけたから紹介するね。地味に見えるかもだけど、セキュリティを数字で追いたい人にはかなり嬉しい話だと思うよ。

なにが発表されたの？

Cloudflare の Changelog によると、2026 年 8 月 20 日に http_requests という Logpush データセットに新しいフィールド ClientTLSKeyExchangeGroup が追加されたんだって。このフィールドは Log Explorer からもクエリできるよ。

このフィールドが教えてくれるのは、クライアントと Cloudflare の間の接続で合意された TLS キー交換グループの名前。取りうる値はこんな感じだよ。

  • X25519MLKEM768: ポスト量子(耐量子)鍵合意の接続
  • X25519 や P-256 など: 従来型(古典的)の鍵交換の接続
  • UNK: グループが判定できなかった場合
  • NONE: そもそも TLS が使われていない場合

変更告知というよりは、ログに使える情報が増えたよという発表なので、実際に手を動かして確認できる系のアップデートだね。

今までどうだったの？

Cloudflare Radar では、Cloudflare 全体のトラフィックにおけるポスト量子鍵合意の採用状況をグローバル統計として公開してたの。でも、自分が管理してるゾーンだけに絞ってこの割合を見る方法は、今回のアップデートまで存在しなかったんだよね。「うちのサイトの HTTPS 通信って、どれくらい耐量子 TLS で守られてるの?」って気になっても、確認する手段がなかったというわけ。

これで何が変わるの？

ClientTLSKeyExchangeGroup フィールドが使えるようになったことで、ゾーンごとにポスト量子鍵合意で保護されている受信 HTTPS トラフィックの割合をレポートできるようになったよ。しかも、その内訳をホスト名、パス、ユーザーエージェント、国別といった切り口で見ることもできるの。

さらに、このデータは任意の Logpush 送信先を通じて SIEM に流し込める。だから、セキュリティ監視のダッシュボードや社内向けの定期レポートに、ポスト量子対応の進捗を組み込みやすくなったのも嬉しいポイントだね。

深く潜ってみよう

使い方としては大きく 2 通りあるよ。

  • Log Explorer で ClientTLSKeyExchangeGroup をクエリして、その場でざっくり内訳を確認する
  • Logpush ジョブに http_requests データセットを設定して、継続的に SIEM や外部ストレージへ流し込む

どちらの方法でも、同じフィールドから同じ情報が取れるのがポイント。まずは Log Explorer で軽く傾向を見て、必要ならログを送り先付きの Logpush ジョブに切り替える、みたいな使い分けができそうだね。

ちなみに UNK と NONE は意味が違うから注意。UNK はキー交換グループ自体は使われたけど何のグループか特定できなかったケース、NONE はそもそも TLS を使ってない接続を指してるよ。ここを混同すると集計結果の解釈がズレちゃうから、レポートを作るときは分けて扱うのがよさそうだね。

まとめ

  • http_requests Logpush データセットと Log Explorer に ClientTLSKeyExchangeGroup フィールドが追加された
  • ポスト量子接続は X25519MLKEM768、古典的接続は X25519 や P-256 などの名前で報告される
  • UNK(判定不能)と NONE(TLS 未使用)も区別して記録される
  • ゾーン単位でポスト量子対応率を集計し、ホスト名・パス・ユーザーエージェント・国別に分解したり、SIEM に流し込んだりできる

自分のゾーンのポスト量子移行状況を数字で追いたいセキュリティ担当や、Logpush・Log Explorer をすでに使ってる運用担当にとって、すぐ試せる嬉しいアップデートだよ。

関連記事