Cloudflareの無料プランでWordPressを守れる？できること・できないこと

Cloudflareの無料プランでも、WordPressにWAF（無料のマネージドルール）・DDoS対策・SSL・CDNを使えます。ただし、守れるのは「サイトに届く攻撃の通信」までで、サーバーのPHP本体の脆弱性を直すものではありません。

悩見有造

PHP2Shellの騒ぎで「Cloudflareを入れておけば大丈夫」という話を見ました。無料プランでも本当に守れるんですか？

編集長

無料プランでも、PHP2Shell向けの防御ルールは10月21日から自動で入っています。ただ、Cloudflare自身も「PHPの修正の代わりにはならない」と書いているので、できることとできないことを分けて説明しますね。

Cloudflareの無料プランでできること

編集長

まずは無料プランに何が入っているかを、Cloudflareの公式の料金表で確認します。

WAF・DDoS対策・SSL・CDNは無料プランでも使える

Cloudflareの料金表では、WAF・Free Managed Ruleset・Unmetered DDoS Protection（量の上限なしのDDoS対策）・Universal SSL証明書・CDNが、無料プランにも「Included（含まれる）」と書かれています。月額は0ドルです。

つまり、サイトへの通信をCloudflare経由にするだけで、攻撃の通信を手前で止める仕組みと、HTTPS化・表示の高速化が無料で手に入ります。個人ブログや小さな会社のWordPressなら、無料プランでも基本の守りはそろいます。

出典：Cloudflare「Network & CDN Pricing」（2026年11月7日確認）。料金や内容は変わることがあるので、最新は公式でご確認ください。

無料のマネージドルールは「よく悪用される脆弱性」向け

無料プランで使えるマネージドルールは、Cloudflare Free Managed Rulesetだけです。Cloudflareの説明では、影響が大きく、広く悪用されている脆弱性から守るためのルールとされています。

有料プランで使える「Cloudflare Managed Ruleset」や「OWASP Core Ruleset」は、無料プランでは使えません。無料プランのWAFは「大きな脆弱性に絞った最低限の守り」と考えると実態に合います。

自分で作れるルールは5つ、レート制限は1つ

無料プランでも、国やURLを条件に通信を止めるカスタムルールを5つまで作れます。ただし正規表現は使えません。

一定時間に何度もアクセスしてくる相手を止めるレート制限は、無料プランでは1つで、数える時間と止める時間はどちらも10秒です。ログイン画面（wp-login.php）への総当たり対策に1つ使う、という使い方ができます。

ボット対策は「Bot Fight Mode」

無料プランで使えるボット対策は、「Bot Fight Mode」です。既知のボットに似た通信を見分けて、計算の手間がかかるチャレンジを返します。

Cloudflareの説明では、Bot Fight ModeはWAFのカスタムルールで除外できず、APIやスマホアプリの通信にもチャレンジを出すことがあります。外部サービスと連携しているサイトでは、オンにしたあと連携が止まっていないか確認します。

PHP2Shellは無料プランでも防げた？

編集長

PHP2Shellについては、Cloudflareが公式ブログで対応を説明しています。無料プランの人も読んでおくと安心です。

10月21日から無料プランにも自動で入った

Cloudflareの公式ブログによると、2026年10月21日3時02分（UTC・日本時間12時02分）から、無料・有料のWAFを使う利用者はPHP2Shellから初期設定で守られています。公表のおよそ9時間前に配備されたと書かれています。

無料プランでは「Cloudflare Managed Free Ruleset」にルールが入りました。Cloudflareは「無料の利用者は何もしなくてよい」と明記しています。

11月3日にもルールが更新された

Cloudflareの変更履歴では、11月3日にCVE-2026-109618・CVE-2026-109619・CVE-2026-115560向けのルールの中身が更新されました。無料プラン向けのルールも「検知を更新」と書かれています。

研究者から寄せられた報告をもとに、検知の中身を更新したと説明されています。ルールはCloudflare側で更新されるので、利用者が入れ直す必要はありません。

守られないケースもある

Cloudflareは、PHPの「session.upload_progress.name」を初期値から変えているサイトは、このWAFルールの対象外と書いています。PHPの設定を自分で変えている人は注意が必要です。

もう一つの前提は、通信がCloudflareを通っていることです。DNSだけをCloudflareに置いて、プロキシ（オレンジの雲）をオフにしている場合は守られません（後の「注意点」で説明します）。

WAFだけでは足りない理由｜PHPの更新が唯一の完全な対策

編集長

ここが一番大事なところです。WAFで防げても、サーバーのPHPが古いままなら「穴は開いたまま」です。

PHP公式「更新だけが完全な対策」

PHP公式は10月21日のお知らせで、更新だけが完全な解決策だと明記しています。設定で影響を減らす方法も載せていますが、それで安全になるわけではないと書いています。

修正版は8.5.12・8.4.27・8.3.36・8.2.35です。8.1以前にはPHP公式の修正版が出ていないので、サポート中のバージョンへ移るしかありません。

Cloudflareも「PHPの修正の代わりにはならない」

Cloudflareの公式ブログも、WAFの対策は「PHPの修正の代わりにはならない」と書いています。WAFは多層防御の一つとして、PHPの更新とあわせて使うものという位置づけです。

脆弱性はPHPの実行環境そのものにあるため、サイトのプログラムやプラグインを更新するだけでも直りません。サーバーのPHPを修正版にすることが、WAFを入れていてもやるべき本来の対策です。

レンタルサーバーとVPSで、やることが違う

エックスサーバー・ConoHa WINGなどのレンタルサーバーは、PHP2Shellへの対応完了を各社が発表しています。利用者がやるのは、PHPのバージョン確認と、サポート中のバージョンへの切り替えです。

一方、XServer VPSなどのVPSでは、会社側がPHPを直してくれません。VPSの人は、Cloudflareを入れていても自分でPHPを更新する必要があります。

VPSでの更新のしかたはVPSのPHPは自分で更新が必要｜PHP2Shell後にやること（OS別の手順）、レンタルサーバーでの確認はサイトヘルスのPHPバージョンが変わらない…本当に修正済み？サーバー別に確認にまとめています。

無料プランと有料プラン（Pro・Business）の違い

編集長

有料プランにすると何が増えるのか、公式の料金表で確認できた範囲で比べます。

Proは月20ドル（年払い）から

Cloudflareの料金表では、Proは年払いで月20ドル、月払いなら月25ドル。Businessは年払いで月200ドル、月払いなら月250ドルです。

金額は2026年11月7日時点の公式の表示です。最新の料金は公式でご確認ください。

出典：Cloudflare「Network & CDN Pricing」「Managed Rules」「Custom rules」「Rate limiting rules」（2026年11月7日確認）。一番大きな差は、使えるマネージドルールの範囲です。

有料にすると守れる範囲が広がる

Pro以上では、Cloudflare Managed RulesetとOWASP Core Rulesetが使えます。無料のルールが大きな脆弱性に絞っているのに対し、より多くの攻撃の型を見ます。

PHP2Shellについても、無料は「Managed Free Ruleset」、有料は「Managed Ruleset」と、別のルールセットで配られました。どちらのプランでも、PHP2Shell向けのルールは入っています。

WordPressの高速化（APO）は無料プランだと有料オプション

WordPress向けの高速化機能「APO（プラットフォームの自動最適化）」は、無料プランでは月5ドルからの追加料金。Pro・Business・Enterpriseには含まれています。

APOは表示の速さのための機能で、セキュリティの機能ではありません。守りを目的に有料にするかどうかは、マネージドルールの範囲とルールの数で判断します。

WordPressでCloudflareを使うときの注意点

編集長

最後に、WordPressでCloudflareを使うときにつまずきやすい点をまとめます。

ネームサーバーをCloudflareに変える必要がある

無料プランとProでは、DNSの管理をまるごとCloudflareに移す「フルセットアップ」しか使えません。ドメインを取った会社の管理画面で、ネームサーバーをCloudflareの指定のものに変えます。

今のDNSを残したままCNAMEで一部だけつなぐ方法は、BusinessとEnterpriseだけです。メールの設定（MXレコードなど）も移すので、切り替え前に今のDNSの設定を控えておきます。

オレンジの雲（プロキシ）をオンにしないと守られない

Cloudflareの説明では、プロキシ（オレンジの雲）にした記録だけが、Cloudflareを通って守られます。DNSだけ（灰色の雲）にした記録は、Cloudflareのネットワークを通りません。

灰色の雲のままだと、サーバーの本当のIPアドレスが外から見え、守ることもキャッシュすることもできないと書かれています。WordPressのサイトのAレコードやCNAMEがオレンジになっているかを確認します。

サーバーのIPアドレスに直接来る攻撃は止められない

Cloudflareを通さず、サーバーのIPアドレスに直接アクセスされると、WAFは働きません。Cloudflareは、昔のDNSの記録からIPアドレスが知られることがあると説明しています。

対策として、Cloudflareのドキュメントは、サーバー側でCloudflareのIPアドレス以外からの通信を止める方法や、Cloudflare Tunnelを紹介しています。ここまでやるのはVPSなどサーバーの設定を自分で変えられる人向けで、レンタルサーバーなら無理にやらなくてかまいません。

管理画面が使えなくなったときの戻し方

WAFやBot Fight Modeをオンにしたあと、WordPressの管理画面や外部サービスとの連携が止まることがあります。そのときは、最後にオンにした設定から1つずつ戻して、どれが原因かを確かめます。

自分で作ったカスタムルールが原因なら、そのルールだけを外せば元に戻ります。急ぎのときは、一時的にプロキシを灰色の雲に戻せばCloudflareを通らない状態に戻せます。