WordPressでCloudflareを安全に使う設定｜CDN・キャッシュ・SSL・WAFの確認項目
WordPressの前段にCloudflareを置くと、画像や静的ファイルの配信、DDoS対策、WAF、SSL/TLSなどを追加できます。一方、WordPressには管理画面、ログイン、プレビュー、Cookie、フォーム、WooCommerceなど、全利用者へ同じ内容を返せない経路があります。
高速化だけを目的にHTML全体を強制キャッシュすると、更新が反映されない、ログイン状態がおかしい、カート内容が混ざる、フォーム完了画面が再表示されるといった問題が起こり得ます。公開ページと動的経路を先に分けます。
WordPressでCloudflareを使う基本は、DNSとFull (strict)を整え、静的ファイルと共有可能な公開ページだけをキャッシュし、wp-admin、wp-login.php、プレビュー、カート、決済、フォーム、個別Cookieを除外する方法です。更新時Purgeと実送信テストを用意します。
本記事のポイント
- WordPress管理画面、ログイン、プレビュー、カート・決済、個別表示はキャッシュ対象から分けます。
- SSL/TLSはオリジン証明書を整えてFull (strict)を使い、WordPress・オリジン・Cloudflare間のリダイレクト責任を整理します。
- 記事公開やテーマ更新時のPurge、フォーム送信、管理画面、検索、Webhookを公開後テストへ含めます。
この記事で分かること
| 確認対象 | 見る内容 | 判断のポイント |
|---|---|---|
| 公開ページ | 記事・固定ページ・画像 | 共有可能性と更新頻度でキャッシュ |
| 管理経路 | wp-admin・ログイン・プレビュー | 原則キャッシュを回避 |
| 個別処理 | カート・決済・会員・フォーム | Cookie・セッションを考慮 |
| SSL/TLS | Cloudflareとオリジン | Full (strict)とリダイレクト整理 |
| 更新運用 | 記事・テーマ・プラグイン | 対象Purgeと公開後確認 |
DNSとSSL/TLSを先に安定させる
CloudflareへDNSを移行し、Web用レコードをプロキシ済みにします。メールや外部サービス用レコードは要件を確認し、DNSのみのまま扱います。DNS移行の詳細は、CloudflareへのDNS移行手順で整理しています。
オリジンサーバーへ有効な証明書を設定し、Full (strict)を利用します。WordPress URL、サイトURL、オリジンのHTTPS、Cloudflareのリダイレクト設定を揃え、HTTPとHTTPSの往復ループを防ぎます。
管理画面・ログイン・プレビューを除外する
wp-admin、wp-login.php、プレビューURL、カスタマイザーなど、管理者やログイン状態で内容が変わる経路はキャッシュしません。ログインCookieを持つ利用者へ公開キャッシュを返さない条件も確認します。
管理画面をWAFやRate Limitingで守る場合、ログイン試行対策と正規管理者のアクセスを両立させます。管理者を固定IPだけに依存させると出張・在宅・障害時に困るため、Accessや強い認証も検討します。
フォーム・WooCommerce・会員機能を個別に扱う
問い合わせフォーム、検索、コメント、会員ページ、WooCommerceのカート・チェックアウト・マイアカウントなどは、POST処理、Cookie、セッション、個別レスポンスを使います。対象プラグインの公式要件を確認し、キャッシュ除外とWAFテストを行います。
Cloudflare導入後にトップページだけ見て完了にせず、問い合わせ送信、通知メール、確認画面、決済、Webhook、ログイン・ログアウトを実操作で確認します。
記事・テーマ更新時のPurgeを決める
記事公開、画像差し替え、テーマ・CSS・JavaScript更新後に、どのURLをPurgeするかを決めます。WordPressプラグインで自動Purgeする場合は、APIトークンの権限と保管場所、失敗時の手動手順を確認します。
Purge Everythingを常用するとオリジン負荷が急増します。記事URL、一覧、関連画像、必要なアセットへ影響を限定し、ファイル名へバージョンやハッシュを付ける方法も使います。
実IP・Cron・REST API・外部連携を確認する
Cloudflareを経由すると、オリジンから見える接続元がCloudflareになるため、実利用者IPの復元設定をサーバーやログ基盤で確認します。信頼するヘッダーとCloudflareの送信元範囲を正しく扱います。
wp-cron、REST API、XML-RPC、外部Webhook、バックアップ、セキュリティ監視、CDNプラグインなど、定期処理と外部連携も確認します。不要な機能は止め、必要なものをWAF例外で広く開けすぎません。
本番導入で必要な変更管理と評価方法
Cloudflareの設定は通信経路の手前で効くため、小さな変更でも複数ページや外部連携へ影響します。開発・検証環境で再現できるものは先に試し、本番では対象ホスト、パス、利用者、時間帯を限定して段階反映します。変更票には目的、変更前後、実施者、承認者、確認URL、期待結果、切り戻し条件を残します。
確認は「画面が開くか」だけで終えません。HTTPステータス、レスポンスヘッダー、認証、フォームやAPIの完了、オリジンログ、Cloudflareイベントを同じ時刻で照合します。正常系だけでなく、権限なし、期限切れ、過剰アクセス、外部API停止、再送などの異常系も試し、利用者へ返すエラーと運用担当者が見る証拠を分けます。
導入効果は、表示速度やブロック件数など一つの数値だけで評価しません。可用性、正常完了率、オリジン負荷、エラー率、誤検知、サポート問い合わせ、変更作業時間、月額・従量費を導入前後で比較します。性能が上がっても問い合わせやログインの失敗が増えていれば、事業成果としては改善していません。
料金と上限は利用プランや使用量で変わります。無料枠や小規模検証の結果をそのまま本番へ外挿せず、ピーク時のリクエスト、保存・操作、ログ量、利用者数、サポート、監査要件を公式料金ページと契約条件で確認します。上限へ近づいたときの通知と、機能を縮退させる順序も決めます。
設定の所有者と定期レビュー日を決め、不要なルール、トークン、例外、接続先を残しません。Cloudflare画面だけでなく、設定のエクスポート、コード、変更履歴、復旧手順をチームで参照できる場所へ保管します。担当者の退職や委託先変更があっても、誰が承認し、どこまで戻せるか分かる状態を維持します。
公開後は一週間程度の観測期間を設け、導入前と同じ時間帯・同じURL・同じ業務操作で比較します。異常がなくても、例外が増え続けていないか、想定外の回避策が現場で使われていないかを確認します。問題が見つかった場合は、影響を受けた利用者とデータを特定し、暫定回避と恒久修正を分けて記録します。
また、Cloudflare以外の構成要素を含む依存関係図を残します。DNS、レジストラ、オリジン、IdP、メール、外部API、監視、CI/CDのどこで設定が重複し、どこが単一障害点になるかを明示します。障害時に別サービスの担当者へ連絡すべき条件も決めておくと、Cloudflare側だけを調べ続ける時間を減らせます。
本番の設定変更は、可能ならAPIやInfrastructure as Codeで再現可能にし、画面で行った緊急変更も後から正本へ戻します。秘密情報は設定ファイルへ直接書かず、環境ごとのSecret管理へ分離します。手作業とコードの状態がずれると、次回デプロイで緊急修正が消えるため、復旧後の同期までをインシデント対応に含めます。
公開・変更前チェックリスト
- DNSとFull (strict)を確認した
- wp-admin・ログイン・プレビューを除外した
- ログインCookieと会員ページを確認した
- フォーム・検索・カート・決済を実操作した
- 記事・テーマ更新時のPurgeを決めた
- 実利用者IPを正しく記録できる
- Cron・REST API・Webhook・バックアップを確認した
よくある質問
WordPressにCloudflareプラグインは必須ですか？
必須ではありません。Purgeや設定連携に便利な場合がありますが、DNS、SSL、キャッシュ、WAFの本体設定とプラグイン権限を別に確認します。
wp-adminをCloudflareでキャッシュしてよいですか？
原則としてキャッシュしません。管理画面は利用者・認証状態ごとに変わり、誤配信や操作不良の原因になります。
記事更新が反映されないときは？
Cloudflare、ブラウザ、WordPressプラグイン、オリジンの各キャッシュを分け、対象URLのヘッダーとPurge状態を確認します。
CloudflareだけでWordPressのセキュリティは十分ですか？
十分ではありません。WordPress本体・テーマ・プラグイン更新、強い認証、バックアップ、権限、オリジン保護も必要です。
関連ページと関連記事
仕様確認に使った公式情報
Cloudflareの機能、プラン、上限、画面構成は更新されます。実装時は利用する機能の最新公式ドキュメントも確認してください。
まとめ
WordPress特有の管理画面、ログイン、プレビュー、フォーム、WooCommerce、更新反映を考慮したCloudflare設定ガイドです。 設定を有効にしただけで完了とせず、正常系・異常系・切り戻しを同じ手順で確認することが、安全な運用につながります。
