WordPressとCloudFlare(クラウドフレア)

CloudFlareでWebサーバを保護してから数日目。いくらなんでもやはりスパム投稿はやってくる。特に海外サイトとの相互リンクを張ってしまっているほうのWordPressには日に数件スパム投稿がある。

先日、スパム投稿されたコメントのIPアドレスを確認したら、CloudFlareのIP帯からのものがあった。CloudFlareがリバースプロキシとして動作していることは知っていたけど、接続元情報は正しくWordPressまでフォワードされているかと思っていた。実際は違うらしい。

そこで、なぜCloudFlareのIP帯からのスパムコメントがあるのかをCloudFlareのサポートへメールして聞いたところ以下の回答を頂きました。

Hi,

Thank you for the email.

Our ips show because we act as a reverse proxy. The easiest solution
is for customers to install our WordPress plugin so commenting ips are
back to original visitor IPs.

WordPress plugin:
Cloudflare
All of Cloudflare’s performance and security benefits in a simple one-click install.
wordpress.org

The good news is that we also have an API that also allows you to
report that spam back to CloudFlare, which makes the system smarter as
well. More information here:
Using the CloudFlare API to report spam on your site back to CloudFlare
CloudFlare loves threat data. CloudFlare's sytem continually gets smarter through a variety of ways, including through user-reported data. So for example, users...
blog.cloudflare.com

いやぁまず驚いたのが、メールでの問合せでレスポンスの良さ。
時差を気にしないといけないだけど、日本時間の午後に送信したら、夜中12時前までにレスを頂きました。

スーパー蛇足だけど、サポートの担当者の名前が「Daemon」でしたｗ
Mailer Daemon,そう。それだけｗ

返信内容は特に翻訳しませんが、サポートからの回答は「CloudFlareはリバースプロキシとして動作しているので、CloudFlareのIPアドレスが表示されます」とのこと。WordPressと共に利用するときには「CloudFlare」というプラグインをインストールすれば、実際にスパムを投稿したIPアドレスをWordPress上で表示できるようになるとのこと。このプラグインにはスパム投稿をCloudFlareに報告する機能も付いているとの事。条件としてはスパム判定されていないコメントや保留されているにコメントにて「スパム」を押すと、CloudFlareに報告されるんだって。

早速プラグインを入れてみました。もちろんCloudFlareのAPIキーも取得して設定。
APIキーはログインした後の画面で確認できます。

サポートが言うとおり、WordPressのプラグイン「CloudFlare」を入れてからのスパムコメントは、接続元のIPアドレスがCloudFlareのIPアドレスではなく本来の接続元のIPアドレスで表示されるようになりました。今後、特定のIPアドレスやIPアドレス帯からのスパムコメント、特定の国などからのスパムコメントが繰り返し発生する場合は、個別でそのIPアドレスやIPアドレス帯、国などを制限していきたいと思う。

次のページにて以下説明しております。ご参考にして頂ければ幸いです。

[APIキー確認方法]
[WordPressプラグイン「CloudFlare」のインストール方法]