JA EN
shiichan

Bot Management の JavaScript Detections API の結果、使うかどうか選べるようになったよ！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#web

やっほー、しぃちゃんだよ！今日は Cloudflare のボット対策まわりに、ちょっと便利なスイッチが増えたニュースを見つけたよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Enterprise の Bot Management を使っているお客さんは、JavaScript Detections API で得られた結果を、ボットスコアリングや検出に使うかどうかをコントロールできるようになったみたい！

設定の方法は 2 通りあるよ。

  • ダッシュボードの Security > Settings で、API トラフィック向けの JavaScript Detections をオン・オフする
  • Bot Management API でゾーンに対して jsd_api_results_enabled を設定する

なぜ重要なの？

JavaScript Detections は、ブラウザ側で走る小さなスクリプトの結果を使ってボットかどうかを判定する仕組みだよ。API 経由のトラフィックにもこの結果を使うかどうかを、お客さん側で決められるようになったのがポイントなの！

これで何が変わるの？

API トラフィックの扱いを自分たちの運用に合わせて調整したい Enterprise のみんなにとって、判定への影響をオン・オフで切り分けられるのは嬉しいよね。

深く潜ってみよう

API から設定するときの値はこんな形だよ。

{ "jsd_api_results_enabled": true }

気をつけたいのは、この設定がゾーン全体のスクリプト注入(script injection)とは 別のもの だということ！

  • 設定がオフでも、API のスクリプト自体は実行されて、コールバックには成功が返る
  • ただし Cloudflare はその結果を使わない

つまり「スクリプトが動いている」ことと「結果が判定に使われている」ことは別なんだね。挙動を確認するときは、ここを混同しないようにしたいところだよ。

まとめ

  • Enterprise Bot Management 向けの設定だよ
  • Security > Settings か Bot Management API で切り替えられる
  • オフでもスクリプトは動くけど、結果はスコアや検出に使われない
  • ゾーン全体の script injection とは独立した設定

API トラフィックを含めてボット対策をきめ細かく調整したい、Enterprise のセキュリティ担当のみんなに刺さる更新だよ！

関連記事