# Cloudflare導入支援｜自社サイトをCloudflareの後ろに置く手順、無料プランでできること、費用の決まり方、当社に頼めること(2026年10月)

> PHPの緊急修正で、Cloudflareは修正版の公開前(同社によれば約9時間前)に無料プランまでWAFを配りました。自社サイトをCloudflareの後ろに置くと何が変わるか、無料・Pro・Businessの違い、DNS移管からWAF確認までの手順、VPNを使わない社内接続(Cloudflare One、50ユーザー未満のチームは無料)、費用が決まる要素、当社に頼めること・頼めないことを、発注側向けに整理します。

発行: 株式会社ウェステリア(https://westeria.jp) / カテゴリ: Cloudflare 導入(WAF・DNS・Cloudflare One) / 出典: https://westeria.jp/guide/cloudflare-setup-support/

2026年10月21日のPHPの緊急修正で、Cloudflareは修正版の公開前(同社によれば約9時間前)に、無料プランを含む全利用者にWAF(不正な通信を遮る仕組み)の保護を配りました。自社が何もしていない時間帯に一層の守りが入る。これが「サイトの前にCloudflareを置く」ことの意味です。この記事は、Cloudflareを入れると何が変わるのか、無料でどこまでできるのか、導入の手順と費用の決まり方、そして当社に頼めることを、サイトを発注・運用する側に向けて整理したものです。当社のサイト(westeria.jp)自体がCloudflare上で動いており、社内の接続もCloudflare Oneで行っています。これは自社の例であって、お客様への導入の実績ではありません。料金は2026年10月22日に公式ページで確認した値です。

## 結論

- Cloudflareは、サイトの前に立って通信を受け、WAF・DDoS対策・SSLを提供するサービスです。無料プランでもWAFのマネージドルール(無料版)とDDoS対策、SSLが付きます。今回のPHPの保護は無料プランにも自動で入りました
- 導入の作業は、DNSの移管(ネームサーバーの切り替え)、通信をCloudflare経由にする設定、SSLとWAFの確認、サーバー側でCloudflare以外からの直接アクセスを絞る設定、の4つが中心です。作業は数日で済むことが多く、サイトの作り直しは要りません
- 社内システムへの接続は、VPN機器を置かずにCloudflare One(50ユーザー未満のチームは無料、超えると1ユーザー月7ドル・年払い)で行えます。当社は、これらの導入を「システムを作る側」の仕事としてお受けしています。Cloudflare自身が書いているとおり、WAFがあってもPHPなど基盤の更新は別途必要です

## Cloudflareを入れると何が変わるか

Cloudflareは、訪問者とサーバーの間に立つサービスです。ドメインの名前解決(DNS)をCloudflareに任せ、通信をCloudflare経由にすると、サーバーに届く前にCloudflareが通信を検査します。サーバー会社や制作会社に頼らず、サイトの前に「もう一枚」の守りを置けるのが特徴です。

2026年10月21日のPHPの緊急修正では、この一枚が実際に働きました。Cloudflareは修正版の公開前(同社によれば約9時間前)に、WAFの保護を無料プランを含む全利用者に自動で配り、リクエストとサーバーの応答の両方を見て攻撃を止める新しい仕組みを初めて使いました(当社の解説「CloudflareはPHPの緊急脆弱性にどう対応したか」)。サーバー会社が修正を当てるまでの間、制作会社と連絡が取れない間、その「間」を埋める役割です。

できないこともはっきりしています。WAFは、サーバーの中のPHPやWordPressを更新してくれるわけではありません。Cloudflare自身が、WAFは多層防御の一層であり、PHPの更新が必要だという趣旨を書いています。Cloudflareを入れることと、基盤を誰が更新するかを決めることは、別の仕事です。

仕様の出典: [Cloudflare Blog「Cloudflare deploys protections against php2shell vulnerability」(2026-10-21)](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/)
仕様の出典: [当社の解説「CloudflareはPHPの緊急脆弱性にどう対応したか」](/security-incidents/guide/cloudflare-php2shell-2026-10/)
仕様の出典: [Cloudflare Docs「WAF Managed Rules」](https://developers.cloudflare.com/waf/managed-rules/)

## 無料・Pro・Businessで何が違うか(2026年10月22日時点の公式料金)

会社サイトや会員サイトで検討するのは、無料・Pro・Businessの3つです。公式の料金ページとドキュメントで確認した範囲をまとめます。

|  | Free(無料) | Pro | Business |
| --- | --- | --- | --- |
| 月額 | 0ドル | 20ドル(年払い)・25ドル(月払い) | 200ドル(年払い)・250ドル(月払い) |
| WAFのマネージドルール | 無料版(Cloudflare Managed Free Ruleset。影響が大きく広く悪用されている脆弱性が対象) | 無料版に加え、Cloudflare Managed Ruleset と OWASP Core Ruleset(より広い範囲、頻繁に更新) | Proと同じ |
| カスタムルールの数(Cloudflare Rules) | 70 | 225 | 450 |
| DDoS対策 | 無制限 | 無制限 | 無制限 |
| SSL(https) | Universal SSL | 同左 | 同左 |
| ボット対策 | 単純なボット | 検出しやすいボット | 高度なボット+基本的な分析 |

会社案内や採用サイトのように、ログインや決済がないサイトなら、まず無料プランで十分なことが多いです。会員機能やECがあるサイト、取引先から対策を求められているサイトは、Pro以上でマネージドルールの範囲を広げる選択肢があります。どれが合うかは、サイトの機能と、取引先に説明する必要があるかで決まります。

仕様の出典: [Cloudflare「Network & CDN pricing」(2026-10-22に確認)](https://www.cloudflare.com/plans/network-cdn/)
仕様の出典: [Cloudflare Docs「WAF Managed Rules」](https://developers.cloudflare.com/waf/managed-rules/)

## 導入の手順(WordPressやPHPのサイトをそのまま置く場合)

サイトを作り直す必要はありません。いまのサーバーのまま、前にCloudflareを置きます。順番は次のとおりです。

- 現状の確認: ドメインの管理会社、いまのDNSの設定(Webとメールの向き先)、SSL証明書の状態、サーバーの固定IPを控える
- Cloudflareにドメインを登録し、いまのDNSの設定を写す。メールの設定(MX・SPF・DKIM・DMARC)を落とさないことが最重要
- ネームサーバーをCloudflareに切り替える(ドメイン管理会社の画面で変更)。反映まで数時間〜1日
- Webの通信をCloudflare経由(プロキシ有効)にし、SSLの方式(フル・厳格)を合わせる。メール関連はCloudflare経由にしない
- WAFの確認: 無料版のマネージドルールが効いているか、有料プランならマネージドルールセットが「ブロック」になっているかを見る
- サーバー側で、Cloudflare以外からの直接アクセスを絞る(CloudflareのIPだけを許可)。これをしないと、Cloudflareを迂回してサーバーを直接叩かれる
- 動作確認: トップ、ログイン、フォーム送信、画像、メールの送受信を確かめる。切り替え後しばらくはSecurity Analyticsでブロックの記録を見る

失敗が起きやすいのは、DNSの写し漏れでメールが止まることと、Cloudflare以外からの直接アクセスを絞り忘れることの2つです。切り替えは、メールの流量が少ない時間帯に行い、戻し方を決めてから進めます。

## VPNを使わない社内接続: Cloudflare One

社内システムや管理画面に外から入るとき、VPN機器を置いている会社は多いですが、VPN機器の脆弱性は国内の不正アクセス事案で繰り返し入口になっています(当社の特集の手口別ページ)。Cloudflare One(Zero Trust)は、VPN機器を置かずに、誰が・どの端末から・どのシステムに入れるかをCloudflare側で制御する仕組みです。

料金は、無料プランが「50ユーザー未満のチーム」向けで0ドル、超えると1ユーザーあたり月7ドル(年払い)のPay-as-you-go、個別見積もりのContractがあります(2026年10月22日に公式ページで確認)。当社は自社の社内システムへの接続にこれを使っています。

向くのは、社員数が数十人までで、社内システムや管理画面が数個あり、VPN機器の更新や管理に手が回っていない会社です。向かないのは、拠点間の大きなネットワークをまるごと置き換えたい場合で、それは設計の話が先になります。

仕様の出典: [Cloudflare「Cloudflare Access」料金(2026-10-22に確認)](https://www.cloudflare.com/products/cloudflare-access/)

## 費用はどう決まるか

Cloudflare自体の料金は上の表のとおりです。当社の作業費は、この記事では金額を書きません。同じ「Cloudflareを入れる」でも、次の要素で作業量が変わるからです。見積もりを取るときは、これを先に伝えると早く正確になります。

- ドメインの数と、DNSのレコードの数(メールや外部サービスの設定がどれだけあるか)
- サーバーの種類(レンタルサーバー・VPS・クラウド)と、直接アクセスを絞る設定ができるか
- SSL証明書の現状(サーバー側に証明書があるか、期限はいつか)
- WAFの要件(無料版で足りるか、Pro以上でルールを調整するか、特定の国やボットを絞るか)
- Cloudflare Oneを使う場合は、ユーザー数、守りたいシステムの数、使う認証(Google Workspace・Microsoft 365など)
- 切り替えの制約(止めてよい時間帯、メールの流量が多い時間)

## 当社に頼めること、頼めないこと

当社はAIを使ってシステムを作る会社で、Cloudflareの導入は「システムを作る側の仕事」としてお受けしています。流れは、フォームから状況(ドメイン・サーバー会社・サイトの種類)を送っていただき、初回1時間のヒアリング(無料)で現状を確認して範囲を決め、見積もりをお出しする、の順です。

お受けするのは、現状の調査、DNSの移管設計と実施、プロキシとSSLの設定、WAFの設定と確認、サーバー側のアクセス制限、動作確認、切り替え後の記録の見方の引き継ぎまでの一式です。Cloudflare Oneによる社内システムへの接続の設計と設定も行います。WordPressをCloudflareの後ろに置くだけでなく、WordPressをやめて静的なサイトにする引っ越し(当社サイトと同じ構成)も、必要なら範囲に入れます。

お受けしないのは、改ざんの調査(フォレンジック)、脆弱性診断、24時間の監視です。これらは専門会社の仕事です。また、Cloudflareを入れても、PHPやWordPress本体の更新は残ります。誰が更新するかは、導入時に一緒に決めます。当社はCloudflareの公式パートナーではなく、お客様への導入実績もまだありません。当社のサイトと社内接続がCloudflare上で動いていることだけは、いまの時点で見ていただけます。

仕様の出典: [当社の解説「PHPの緊急脆弱性(2026年10月21日)」](/security-incidents/guide/php-security-release-2026-10/)

## 出典

- Cloudflare Blog「Cloudflare deploys protections against php2shell vulnerability」(2026-10-21): https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
- Cloudflare「Network & CDN pricing」(2026-10-22に確認): https://www.cloudflare.com/plans/network-cdn/
- Cloudflare Docs「WAF Managed Rules」: https://developers.cloudflare.com/waf/managed-rules/
- Cloudflare「Cloudflare Access」料金(2026-10-22に確認): https://www.cloudflare.com/products/cloudflare-access/

## よくある質問

### Cloudflareの無料プランだけで、会社サイトの守りは足りますか

ログインや決済がない会社案内・採用サイトなら、無料プランのWAF(無料版のマネージドルール)、DDoS対策、SSLで出発点としては足りることが多いです。会員機能やECがある、取引先から対策を求められている、という場合はPro以上で範囲を広げる選択肢があります。どちらでも、サーバーの中のPHPやWordPressの更新は別途必要です。

### いまのレンタルサーバーのまま、Cloudflareを入れられますか

入れられます。サーバーはそのままで、DNSをCloudflareに移し、通信をCloudflare経由にします。注意点は、メールの設定を落とさないことと、Cloudflare以外からサーバーへ直接アクセスできないように絞ることの2つです。レンタルサーバーによっては直接アクセスの制限ができないことがあるので、現状の確認で確かめます。

### 導入にどのくらいかかりますか

ドメインが1つで、DNSの設定が多くないサイトなら、調査から切り替え・動作確認まで数日が目安です。ネームサーバーの切り替えの反映に数時間〜1日かかります。Cloudflare Oneで社内システムへの接続も行う場合は、守るシステムの数と認証の方式で変わるので、ヒアリングで範囲を決めてからお伝えします。

### Cloudflareを入れれば、PHPの更新は急がなくてよいですか

いいえ。Cloudflare自身が、WAFは多層防御の一層であり、PHPの更新が必要だと書いています。Cloudflareは「間」を埋める守りで、更新の代わりにはなりません。導入時に、PHPやWordPress本体を誰がいつ更新するかも一緒に決めます。

### 費用はいくらですか

Cloudflare自体は無料プランなら0ドル、Proは月20ドル(年払い)、Businessは月200ドル(年払い)です(2026年10月22日時点)。当社の作業費は、ドメインとDNSの規模、サーバーの種類、WAFの要件、Cloudflare Oneの有無で変わるため、この記事では金額を書いていません。状況を送っていただければ、初回1時間のヒアリング(無料)で範囲を決めてから見積もりをお出しします。

## 関連ページ

- https://westeria.jp/guide/wordpress-migration/
- https://westeria.jp/guide/cloudflare-os-security/
- https://westeria.jp/guide/legacy-system-renewal/

---

株式会社ウェステリアは、AIネイティブな開発スタイルでソフトウェア開発と業務自動化を行う会社です。初回1時間の無料ヒアリングを受け付けています: https://westeria.jp/#contact