【Cloudflare】広告のクリックの記録に、海外のサーバーからのクリックが混ざっていた｜海外からのアクセスを止めるルールを有効に戻した

【2026年10月29日時点の情報です】

このブログは、自宅のサーバーで動かしていて、Cloudflare を通して公開しています。Cloudflare の WAF（ファイアウォールのルール）で、怪しいアクセスを止めています。

2026年10月19日、アフィリエイトの広告のクリックの記録を見ていたら、自分以外のアドレスからのクリックの中に、海外のクラウドのサーバーとみられるアドレスからのものが混ざっていました。これをきっかけに、無効にしていた「海外からのアクセスを止めるルール」を有効に戻しました。この記事では、そのときに確かめたことと、決めたことをまとめます。

場面1：クリックの記録に、47. で始まるアドレスが並んでいた

このブログでは、不動産クラウドファンディングの広告に、ASP の TCS を使っています。TCS の管理画面では、広告が押されたときの記録（生クリックデータ）を、押した人のアドレスつきで見られます。

10月19日に見ると、自分のアドレス以外に、次のクリックがありました。アドレスは、最後の数字を * にして書いています。

ほかに、日本の回線からとみられるクリックも1件ありました。こちらは読者が押してくれた可能性があります。

このあたりの、47. で始まるアドレスは、海外の大きなクラウドの会社のサーバーによく使われているものとみられます。人が見て押したのではなく、サーバーから自動で巡回するプログラム（ロボット）が押した可能性が高そうです。

クリックした場所は、3件ともトップページでした。記事の中ではなく、サイト全体に出しているバナーから押されていました。

場面2：海外からのアクセスを止めるルールは、無効にしていた

Cloudflare の WAF には、海外からのアクセスを止めるルール（ルール2）を作ってあります。このルールは、しばらく無効にしていました。理由は、時期ごとに次のとおりです。

あらためて考えると、このブログは日本語で、日本のサービスの話が中心です。海外から見られても、特によいことはありません。それなら、閉じておいたほうが無難だと考えて、10月19日にルール2を有効に戻しました。

ルール2 は、海外からのアクセスに、Cloudflare の確認の画面（人かどうかを確かめる画面）を出すルールです。Cloudflare が知っている検索エンジンなどのロボットは通し、トップページは対象にしていません。

国内の読者には、何も変わりません。海外に住んでいる人には確認の画面が出ますが、ふつうの人は数秒で通れます。

ルールの作り方は、Cloudflare の WAF のカスタムルールの記事にまとめています。

場面3：このルールでも、今回のクリックは止まらない

有効に戻す前に、1つ確かめたことがあります。ルール2を有効にしても、今回の3件のクリックは止まりません。

• トップページはルールの対象外：
  3件とも、トップページから押されていました。ルール2 は、トップページを対象にしていません
• 広告を押した先は、TCS のサーバー：
  広告を押したときのアクセスは、このブログではなく、TCS のサーバーに行きます。このブログの WAF では止められません

それでも有効に戻したのは、海外のロボットが記事を読み回すことを減らせるからです。今回のクリックを止めるためではなく、海外から得るものがないなら閉じておく、という考えです。

場面4：有効にしたあとに確かめること

ルールを有効にしたあと、家から記事とトップページを curl で開いて、どちらも HTTP/2 200 で、確認の画面がかからないことを確かめました。

そのうえで、10月22日に、Cloudflare の Analytics の画面で、10月19日から10月22日の朝までに止めたアクセスを見ました。見たポイントは、次の2つです。

10月19日から10月22日の8時54分までに、Cloudflare が止めた海外からのアクセスは、約2,520件でした。そのうち、自分で作ったルール（カスタムルール）で止めたのが約2,480件で、ほとんどがルール2です。国ごとの多い順は、次のとおりです。

いちばん多かったのは、次の2つのアドレスからでした。アドレスは、最後の数字を * にして書いています。ASN は、ネットワークを持っている会社ごとに付いている番号です。

どちらも、数秒のあいだに、決まった名前のファイルを何十個も続けて探していました。サイトの持ち主がまちがって公開の場所に置いた鍵（ログインに使う秘密の情報）やパスワードのファイルがないかを、順に試していく探し方です。

• 名前は、だれでも好きに名乗れる：
  ユーザーエージェント（アクセスするときに名乗る名前）は、送る側が自由に書けます。2つ目は ClaudeBot を名乗っていましたが、Cloudflare の「検証済みボット」には入っていませんでした。本物のロボットではなく、名前だけを借りたものと考えられます。本物かどうかを確かめられないロボットなので、ルール2で止まりました
• Google の会社の番号でも、Google を通すルールには当たらない：
  このブログでは、Google の検索や広告のロボットを、Google の会社の番号（ASN）で見分けて通しています。今回の2つは、上の表の番号のとおり、Google のクラウドを借りた人のサーバーなので、そのルールには当たらず、ルール2で止まりました

探されたファイルは、このブログには置いていません。家から curl で確かめると、どちらも 404（ページがない）でした。

curl -sI https://softdev-learn.cc/firebase-key.json | head -n 1
curl -sI https://softdev-learn.cc/google-credentials.json | head -n 1

curl -sI https://softdev-learn.cc/firebase-key.json | head -n 1
curl -sI https://softdev-learn.cc/google-credentials.json | head -n 1

• curl -sI：
  ページの中身ではなく、返事の見出し（ステータスなど）だけを、余計な表示なしで取ります
• | head -n 1：
  見出しのうち、1行目（ステータスの行）だけを出します

結果の例：

HTTP/2 404
HTTP/2 404

HTTP/2 404
HTTP/2 404

ルール2で止めなくても、中身を取られることはありませんでした。それでも、こうした探し回りを入口で止めておけば、サーバーにまで届くアクセスを減らせます。

まとめ

広告のクリックの記録は、読者の反応を見るだけでなく、どんなところからアクセスが来ているかを知る手がかりにもなりました。今回は、海外のクラウドのサーバーとみられるアドレスからのクリックをきっかけに、無効にしていた海外からのアクセスを止めるルールを有効に戻しました。

有効に戻してから3日ほどのあいだにも、鍵や設定のファイルを探して回る海外のロボットを、約2,500件止めていました。名前はブラウザーや AI のロボットを名乗っていても、来ていたのはクラウドのサーバーからでした。

ただ、WAF で止められるのは、このブログへのアクセスだけです。トップページのように対象から外しているところや、広告を押した先は止められません。ルールを変えるときは、何が止まって何が止まらないかを、先に確かめておくと迷いません。

自宅サーバーと Cloudflare のほかの記事は、Cloudflare のカテゴリーにあります。