Cloudflare Security Insightsとは？自動スキャンを有効にしてWebサイトの設定リスクを可視化する方法

2026年8月3日

WAF（Webアプリケーションファイアウォール）の導入やDDoS対策など、Webサイトの防御を固めていても、「設定の不備」や「管理から漏れた過去のリソース」が原因で深刻なセキュリティ事故に発展するケースは少なくありません。

特に、ドメインの運用期間が長くなると、古いDNSレコードの消し忘れや、暗号化プロトコルのレガシー設定など、手動では追いかけきれない「潜在的な隙」が生じがちです。

こうしたCloudflare環境全体の設定リスクや脅威を自動スキャンし、具体的な推奨アクションを提示してくれる機能が「Security Insights（セキュリティ・インサイト）」です。本記事では、公式ドキュメントの最新情報をベースに、どのようなリスクが検出できるのか、その仕組みと具体的な有効化・活用方法を解説します。

Cloudflare Security Insightsとは？

Cloudflare Security Insightsは、ユーザーのCloudflare環境（アカウント設定、DNS、SSL/TLS、WAF、Accessなど）を定期的に自動スキャンし、セキュリティ上の脆弱性や設定不備を一覧（インサイト）として可視化する機能です。

単に外部からの攻撃をブロックするだけでなく、「現在の設定そのものに脆弱性がないか」を能動的にチェックしてくれる、いわば常時稼働型のセキュリティ診断コンソールです。

Security Centerの自動スキャンを有効にする方法

Security Insightsの精度を高め、外部から見たWebサイトの脆弱性や攻撃対象領域（アタックサーフェス）を正しく検出するには、Cloudflare Security Centerの「インフラストラクチャ・スキャン」を有効にする必要があります。

設定手順は以下の通りです。

Cloudflareダッシュボードにログインします。
アカウントのホーム画面（または対象のドメインを選択した画面）から、左側メインメニューにある 「Security Center（セキュリティセンター）」 をクリックします。
セキュリティセンターのメニュー内から 「Scan settings（スキャン設定）」 または 「Infrastructure（インフラストラクチャ）」 を選択します。
スキャンの実行スイッチ（有効化トグル）を 「オン（Enabled）」 にします。

設定のポイント

スキャンを有効にすると、Cloudflareのインテリジェントなスキャンシステムが、対象ドメインの公開されているポートやDNSレコード、公開サーバーの挙動を定期的に外部から調査（ペネトレーションテストに近い自動検証）し、数時間〜数日以内に「Security Insights」のダッシュボードに結果を反映します。

どんなリスクが検出される？主要な検出項目

Security Insightsがスキャンする領域は多岐にわたります。公式のデベロッパードキュメントで定義されている、特に実務で重要となる代表的な検出項目は以下の通りです。

1. DNS領域のリスク（サブドメインテイクオーバー対策など）

Dangling（宙ぶらりんの）A / AAAA / CNAME レコード
すでに解約・廃止した外部サーバーやクラウドサービスのIP/ホスト名を指したまま、Cloudflare側に残っているDNSレコードを検出します。これは、悪意ある第三者にその外部リソースを再取得され、サブドメインを乗っ取られる「サブドメインテイクオーバー」の極めて高いリスクとなります。
SPF / DMARC レコードの不足・エラー
なりすましメール対策に不可欠なDNSレコードの設定不備を検出し、ドメインの信頼性低下を防ぎます。
Unproxied（プロキシ未有効）な A / AAAA / CNAME レコード
Cloudflareのプロキシ（オレンジの雲）が有効になっておらず、オリジンサーバーのIPアドレスがインターネットに直接露出している状態を警告します。

2. SSL/TLS・フロントエンドの脆弱性

レガシーTLSバージョンのサポート
TLS 1.0や1.1など、脆弱性が指摘されている古い暗号化プロトコルが有効なドメインを特定します。
「Always Use HTTPS」や HSTS の未設定
HTTPからHTTPSへの強制リダイレクトや、ブラウザ層での暗号化強制（HSTS）が未有効なドメインを警告します。

3. WAF・アプリケーション防御

WAFマネジメントルールの未配置
WAFが有効であるにもかかわらず、主要な脆弱性（OWASP Top 10など）を防御するマネジメントルールが適用されていない環境を検出します。
Turnstile（ボット対策）の未導入
アカウント内でTurnstile（問い合わせフォームなどの不正送信を防ぐ代替CAPTCHA）が設定されていない場合に推奨されます。

4. API Shield および Zero Trust（Cloudflare One）領域

APIエンドポイントの異常検知
API Shieldとの連携により、応答サイズ（Body size）の急増、エラー率の急上昇、遅延（レイテンシ）の増加など、攻撃やアクセスの悪用を示唆する兆候を検知します。また、認証のない（Unauthenticated）APIエンドポイントも可視化します。
保護されていないCloudflare Tunnel
Tunnel経由で公開されているものの、Cloudflare Accessのポリシーで適切に認証制限がかかっていないアプリケーションを検出します。

運用のポイントと「注意すべき制限事項」

Security Insightsおよび自動スキャン機能は非常に強力ですが、定期的な自動スキャンと推測ロジックを用いているため、運用の際には以下の仕様を理解しておく必要があります。

アカウントレベルのルール設定による「誤検知」
WAFのマネジメントルールをドメイン（ゾーン）個別ではなく、「アカウントレベル」で一括デプロイしている場合、システムが「ルール未配置」と判定してしまうことがあります。この場合は、設定が正しいことを確認した上で、インサイトを「アーカイブ（Archive）」して非表示にすれば問題ありません。
ログモード（Log Mode）による警告
WAFルールを「ブロック」ではなく、検証のために「ログのみ（Log）」に設定している場合も、アクティブに防御していないとみなされ警告が出る場合があります。意図的な運用の場合は、これもアーカイブ処理を行います。
アカウントの規模による表示制限
Cloudflareは最大10,000ゾーン（ドメイン）までのアカウントに対してSecurity Insightsを一元表示します。それを超える大規模なアカウントの場合は、ドメイン個別の「Security Analytics」や「Logpush」を利用した外部SIEMへのデータ出力を検討する必要があります。

まとめ：自動スキャンをオンにして、安全なWebサイト運用を

セキュリティにおいて、最も危険なのは「自社サイトの設定にどのような穴があるかを知らない」ことです。

CloudflareのSecurity Centerで自動スキャンを有効にし、Security Insightsを定期的にチェックする習慣をつければ、DNSの消し忘れといったヒューマンエラーから、最新のAPIセキュリティまでを1つのダッシュボードで一元管理できます。

週に一度、または月に一度は「Security > Insights」を開き、新しく検出されたイシューがないか確認する。安定運用のために、対応済みのものや意図的な設定は「アーカイブ」する――。このシンプルなサイクルを運用のルーティンに組み込むだけで、Webサイトの安全性は劇的に向上します。まだスキャンを有効にしていない方は、今すぐダッシュボードの設定を確認してみましょう。