BYOIP 宛ての Workers サブリクエストで、偽の 403 とサヨナラ！

こんにちは、しぃちゃんだよ！地味だけどセキュリティルールの挙動に効く修正が来たよ！

developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Workers のサブリクエストが Bring Your Own IP (BYOIP) を使う Cloudflare プロキシ済みホスト名に向かうとき、Workers のコンテキストが保たれるようになったの。こうしたリクエストは、外部のインターネット通信ではなく Cloudflare 同士の通信として扱われるよ。

今までどうだったの？

一部の BYOIP 宛てサブリクエストでは、Workers のコンテキストと元のクライアントのシグナルが失われることがあったの。その結果、こんなことが起きていたよ。

セキュリティルールが想定外の動きをする
Bot Management が元のクライアントではなく Cloudflare 内部の接続を評価する
影響を受けたリクエストが偽の 403 を返す

これで何が変わるの？

BYOIP 宛ての Workers サブリクエストで、CF-Worker ヘッダーと cf.worker.upstream_zone フィールドが保たれるようになったよ。これで同一ゾーンでもクロスゾーンでも、セキュリティルールが一貫して評価されるの。

深く潜ってみよう

対象は、影響を受ける BYOIP サブリクエストの宛先ゾーン
そのゾーンの Bot Management フィールドが、元のエンドユーザーの接続を表すようになった
Bot score、verified bot の判定、JA3/JA4 フィンガープリントは、Cloudflare サービス間の内部接続を表さなくなった
改善は自動で、設定変更は不要

まとめ

BYOIP 宛ての Workers サブリクエストで Workers コンテキストが保たれる
ルール評価が一貫し、Bot Management の結果も正確になる
偽の 403 などの予期しない失敗が減る

BYOIP のホスト名を Workers から呼んでいる人に刺さるよ！