あなたのWebサイトのアクセスの何割が「人間」だと思いますか。実は、インターネット全体のトラフィックのおよそ半分は、人間ではなく自動化されたプログラム＝ボットによるものだと言われています。DDoSのページで登場したボットネットもその一部ですが、ボットのすべてが悪者というわけではありません。検索エンジンのように、いてもらわないと困るボットもいます。
つまりボット対策とは、「ボットを全部ブロックする」ことではなく、「良いボットは通し、悪いボットだけを排除する」仕分けの問題です。このページでは、ボットの種類と見分ける技術、そしてCloudflareが提供する3段階のボット対策製品を整理します。
このページで分かること
- 良いボットと悪いボットの違い、悪いボットが引き起こす被害
- Cloudflareがボットを見分ける仕組み
- Bot Fight Mode / Super Bot Fight Mode / Bot Managementの3段階の違い
- AIクローラー（AI学習用ボット)への対応
- 初心者が注意するポイント
ボットとは
良いボット：サイト運営に必要な自動アクセス
ボット（bot）とは、人間の操作なしに自動でWebサイトへアクセスするプログラムの総称です。まず「良いボット」の代表例を挙げます。
- 検索エンジンのクローラー：Googlebotなど。サイトの内容を収集（クロール）して検索結果に載せてくれます。ブロックすると検索に出なくなってしまいます
- 死活監視・計測ツール：サイトが正常に動いているかを定期的に確認するサービス
- SNSのプレビュー取得：X（旧Twitter）やLINEでリンクを共有したときにカード画像を作るためのアクセス
悪いボット：自動化された攻撃・不正行為
一方、「悪いボット」は次のような実害をもたらします。
- 不正ログイン（クレデンシャルスタッフィング）：他所で漏えいしたIDとパスワードの組み合わせを、自動で大量に試すログイン試行
- スクレイピング：コンテンツや価格情報を無断で大量コピーする行為。競合による価格監視や、記事の盗用に使われます
- 買い占めボット：限定商品やチケットを人間より速く購入・確保する自動化
- スパム投稿：コメント欄や問い合わせフォームへの宣伝・詐欺の自動書き込み
- カード情報の検証：盗んだクレジットカード番号が使えるかを、ECサイトの決済で少額ずつ試す行為
これらはDDoSのような派手さはありませんが、じわじわとサーバー負荷・広告費・機会損失・信用を削っていきます。ブログでも「コメントスパム」や「海外からのログイン試行」という形で、規模を問わずほぼ確実に遭遇します。
AIクローラー：新しい「グレーな」ボット
近年急増しているのが、AIモデルの学習やAI検索のためにコンテンツを収集するAIクローラーです。検索エンジンと違って訪問者を連れてきてくれるとは限らないため、「良い・悪い」の線引きがサイト運営者の考え方に委ねられる、新しいカテゴリーです。Cloudflareはこの分類のためにAIクローラーの識別・制御機能（AI Crawl Control）を提供しており、ダッシュボードからAIボットの許可・ブロックを選べます。ルールを無視して収集を続けるボットを、AIが生成した迷路のようなダミーページに誘い込むAI Labyrinthというユニークな機能もあります。
Cloudflareはどうやってボットを見分けるのか
ボットは「私はボットです」と名乗ってくれるとは限りません。むしろ悪いボットほど、人間のブラウザーになりすまします。Cloudflareは世界中のトラフィックを処理している強みを生かし、複数の手がかりを組み合わせて判定します。
- 既知ボットのリスト照合：Googlebotなどの正規ボットは、送信元の検証を経て「Verified Bots（確認済みボット）」として登録されています。なりすましは送信元の検証で見抜けます
- 機械学習：膨大なトラフィックから学習したモデルで、リクエストの特徴（ヘッダーの構成、TLSの指紋、アクセスパターンなど）を採点します
- ふるまい検知：人間のブラウザーなら当然できるはずの動作（JavaScriptの実行など）を静かに確認します
- チャレンジ：疑わしい場合のみ、ブラウザーに計算問題を解かせたり確認画面を挟んだりして選別します
Enterprise向けのBot Managementでは、この判定結果が1〜99のボットスコア（低いほどボット的）として全リクエストに付与され、WAFのカスタムルールから「スコア30未満はブロック」のように利用できます。
Cloudflareのボット対策は3段階
Cloudflareのボット対策製品は、プランに応じて3段階あります。
Bot Fight Mode（Free：オン・オフだけのシンプル対策）
Freeプランで使えるBot Fight Modeは、設定画面のスイッチを1つ入れるだけの入門機能です。既知のボットパターンに一致するトラフィックに対し、計算コストの高いチャレンジを課して、ボット運用のコストを引き上げます。細かい調整はできず、対象の絞り込みもできませんが、「とりあえずスパムと雑なボットを減らしたい」には十分働きます。
Super Bot Fight Mode（Pro / Business：カテゴリー別に対応を選べる）
Pro以上に含まれるSuper Bot Fight Modeでは、ボットの分類ごとに対応（許可／チャレンジ／ブロック）を選べるようになります。
- Definitely automated（確実に自動化）：明らかなボット
- Likely automated（おそらく自動化）：疑わしいトラフィック（Business以上で設定可能）
- Verified bots（確認済みボット）：検索エンジンなどの正規ボット
- そのほか、画像などの静的ファイルも保護対象にするか、JavaScriptによる検知を使うかを選べます
Bot Management（Enterprise：スコアで細かく制御）
Enterprise向けのBot Managementは、前述のボットスコアを使って「このURLだけ厳しく」「モバイルアプリのAPIは除外」のようにリクエスト単位で自由に制御でき、詳細な分析画面も付きます。EC・金融など、ボット被害が直接収益に響く事業向けの本格版です。
初心者が注意するポイント
- 正規のアクセスを巻き込まないか観察する：ボット対策は誤判定と隣り合わせです。有効化した後は、セキュリティイベントで「ブロックされたのは本当に悪いボットか」を確認しましょう。特にSNSのプレビュー取得や外部の監視サービスは巻き込まれやすい常連です
- APIやモバイルアプリには注意：Super Bot Fight Modeは、自作のプログラムからのアクセスやスマホアプリの通信を「自動化」と判定してしまうことがあります。自分のAPIを公開している場合は挙動をよく確認してください
- Cloudflare Tunnelとの相性：第3章で学ぶCloudflare Tunnelを使う場合、Super Bot Fight Modeの「Definitely automated」をブロックにすると接続に失敗することがあります（公式ドキュメントにも明記されている注意点です）
- 検索エンジンをブロックしない：Verified botsのブロックはSEOに直結します。正規クローラーの扱いは「許可」が原則です
- ボット対策だけで完結しない：不正ログイン対策にはRate Limiting（次ページ）やTurnstile（その次のページ）との組み合わせが効果的です
関連サービス
- WAF：ボット判定の結果をルール条件として使う土台（前ページ）
- Rate Limiting：ボットが繰り返すアクセスを回数で制限する機能（次ページ）
- Turnstile：フォームをボットから守る、CAPTCHA代替の確認ウィジェット（このあとのページ）
- AI Crawl Control：AIクローラーの可視化と許可・ブロックの制御
まとめ
- Webトラフィックの約半分はボット。ボット対策は「全ブロック」ではなく「良いボットと悪いボットの仕分け」
- 悪いボットは不正ログイン・スクレイピング・買い占め・スパムなど、地味だが確実な実害をもたらす
- Cloudflareはリスト照合・機械学習・ふるまい検知・チャレンジを組み合わせてボットを見分ける
- 製品は3段階：Bot Fight Mode（Free・スイッチ1つ）→ Super Bot Fight Mode（Pro/Business・カテゴリー別設定）→ Bot Management（Enterprise・スコアで自由に制御）
- AIクローラーという新カテゴリーには、AI Crawl ControlやAI Labyrinthで対応できる
- 誤判定への注意が最重要。有効化後はセキュリティイベントで観察を
次に読む
※本記事の情報は 2026年8月時点のものです。