Cloudflare完全ガイド｜WordPressサイトの高速化・セキュリティ対策

Cloudflareとは何か

Cloudflareは、CDN（コンテンツ配信網）・WAF（Webアプリケーションファイアウォール）・DNS管理・DDoS対策を一体的に提供するサービスです。世界100ヶ国以上、数百都市にキャッシュサーバー（エッジサーバー）を持ち、訪問者に地理的に近い拠点からコンテンツを配信することで、表示速度の向上とオリジンサーバーへの負荷軽減を同時に実現します。個人ブログから大企業のサイトまで、幅広い規模のWebサイトで採用されている、事実上の業界標準的な存在です。

高速化の仕組み

CDNによるキャッシュ配信：画像・CSS・JavaScript等の静的ファイルを世界中のエッジサーバーにキャッシュし、訪問者に近い拠点から配信します。
Auto Minify：HTML・CSS・JavaScriptの不要な空白・コメントを自動的に削除し、ファイルサイズを軽量化します。
Polish（画像最適化）：画像を自動的に圧縮・最適化します（可逆圧縮を推奨）。
Argo Smart Routing（有料アドオン）：Cloudflareネットワーク上の最適なルートを解析し、より高速で安定した経路でコンテンツを配信します。
HTTP/3・0-RTT対応：最新の通信プロトコルに対応し、接続確立にかかる時間を短縮します。
Workers（エッジコンピューティング）：Cloudflareのエッジサーバー上で軽量なプログラムを実行できる機能。リダイレクト処理やA/Bテスト等を、オリジンサーバーに負荷をかけずに高速に行える上級者向け機能です。

WordPress専用機能「APO」：Cloudflareには「Automatic Platform Optimization（APO）for WordPress」という、WordPress専用の高速化機能があります。通常のCDNは静的ファイルのみをキャッシュしますが、APOはHTMLページ自体もエッジサーバーにキャッシュするため、動的なWordPressサイトでも70〜300%の速度改善が報告されています。料金はプランによって異なり、Freeプランでは月額5ドルの追加アドオンですが、Pro・Business・Enterpriseプランでは追加料金なしで標準搭載されています。Proプラン以上を契約している場合は、既に使える状態になっているため、わざわざ別料金を払う必要はありません。

セキュリティ機能

WAF（Webアプリケーションファイアウォール）：SQLインジェクション・XSS等、Webアプリケーションを狙った攻撃パターンを検知・ブロックします。
DDoS対策：大量アクセスによるサーバーダウンを防ぐ、無料プランでも標準搭載の対策です。
Universal SSL：無料プランから自動でSSL証明書が発行・更新され、常時HTTPS化を実現します。
Bot対策（Bot Fight Mode）：無料プランでも「Bot Fight Mode」という機能で、悪意のある自動化ボットからのアクセスを識別・チャレンジできます。
Zero Trust：社内システム・管理画面等へのアクセスを、より厳格な認証ポリシーで制御する上位機能です。

DNSレコードの「オレンジクラウド」と「グレークラウド」

Cloudflareを使ううえで最初につまずきやすいのが、DNS管理画面に表示される雲のアイコンです。これはレコードごとに「Cloudflareを経由させるか」を切り替えるスイッチで、意味を理解せずに設定すると、高速化・セキュリティ機能が正しく働きません。

状態	意味	CDN・WAF・DDoS対策
オレンジクラウド（プロキシ経由）	Cloudflareのエッジサーバーを経由してアクセスされる	有効
グレークラウド（DNSのみ）	Cloudflareを経由せず、直接オリジンサーバーにアクセスされる	無効（DNS管理のみ利用）

見落としがちな注意点：メインドメイン（例：example.com、www.example.com）は必ずオレンジクラウドにしてください。一方、メールサーバー用のレコード（MXレコードや、メール送信元を示すTXT/SPFレコード）は必ずグレークラウドのままにする必要があります。誤ってメール関連のCNAME/Aレコードをオレンジクラウドにすると、メールの送受信に不具合が起きることがあります。

Page Rules・Cache Rulesの基本

特定のURLパターンだけキャッシュ挙動を変えたい場合に使うのが「Page Rules」（旧来の設定方法）と「Cache Rules」（現在推奨されている新しい設定方法）です。WordPressサイトでは、以下のような場面でよく利用されます。

管理画面（/wp-admin/*）をキャッシュ対象外にする：ログイン中の画面が誤ってキャッシュされるのを防ぎます。多くの場合、Cloudflare公式プラグインを導入すると自動で設定されますが、手動連携の場合は自分で追加が必要です。
カート・チェックアウトページを常に最新表示にする：ECサイトで在庫・価格が古いまま表示されるのを防ぎます。
特定ページのキャッシュ有効期間を延長する：更新頻度が低い固定ページ（会社概要等）はキャッシュ期間を長くして、オリジンサーバーへの負荷をさらに減らせます。

Freeプランの制限：Page Rulesは無料プランで3件まで、Cache Rulesは無料プランで10件まで作成できます（2026年9月時点）。上記のような基本的な除外設定であれば、無料プランの範囲内で十分対応できます。

料金プラン詳細（2026年9月時点）

Free

$0/月

CDN・基本DDoS対策
Universal SSL（自動HTTPS）
基本的なWAFルール（カスタムルール5件まで）
Page Rules 3件・Cache Rules 10件まで
個人ブログ・小規模サイトに十分

Pro

$20/月（年払い時。月払いは$25）

Freeの全機能に追加
より高度なWAFルール
画像最適化（Polish）
APO（WordPress高速化）が追加料金なしで利用可能
月100分の動画保存

Business

$200/月（年払い時。月払いは$250）

Proの全機能に追加
カスタムSSL証明書のアップロード
部分的CNAME設定（既存DNSを維持したまま連携）
99.99%稼働率のSLA保証

ほとんどの個人・中小サイトはFreeで十分：CDNによるデータ転送量自体は、全プランで追加料金が発生しません。Proへのアップグレードは、より詳細なWAFルールや画像最適化、APOによるHTML自体のキャッシュが必要になった段階で検討すれば十分です。Businessプランは、DNSの権限を完全にCloudflareへ移したくない（部分的CNAME設定が必要な）組織的な事情がある場合が主な検討理由です。

WordPressへの導入手順

1Cloudflareにアカウント登録し、自分のドメインを追加

2既存のDNSレコードをCloudflareが自動でスキャン・インポート

3ドメインレジストラ（お名前.com等）側で、ネームサーバーをCloudflareが指定するものに変更

4反映を待つ（数分〜24時間程度）

5DNSレコード一覧で、メインドメイン・wwwのレコードがオレンジクラウド（プロキシ経由）になっているか確認。MX・メール関連レコードはグレークラウドのままにする

6WordPressに「Cloudflare」公式プラグインをインストールし、APIキーを設定して連携を完了

7SSL/TLS設定を「フル（厳密）」に設定し、キャッシュ除外設定（管理画面・ログイン中ユーザー等）を行う

導入時の注意点

管理画面のキャッシュ除外：wp-adminやログイン中ユーザー向けページがキャッシュされると、正しく動作しなくなることがあります。除外設定を必ず行ってください。
SSL設定の不一致に注意：WordPress側とCloudflare側のSSL/TLS設定が噛み合っていないと、リダイレクトループ（後述）が発生します。
ネームサーバー変更中は反映に時間がかかる：設定直後は不安定になることがあるため、完全に反映されるまで焦らず待ちましょう。
お問い合わせフォーム等の動的機能：キャッシュの影響で正しく動作しない場合、該当ページ・機能をキャッシュ除外に設定してください。
メール関連レコードを誤ってオレンジクラウドにしない：MXレコードやSPF/DKIM用のTXTレコードをプロキシ経由にすると、メールの送受信に不具合が生じます。

よくあるトラブルと対処法

リダイレクトループ（ERR_TOO_MANY_REDIRECTS）：WordPress側は「HTTPSへの常時リダイレクト」を行い、Cloudflare側のSSL/TLS設定が「フレキシブル」になっている場合に多発します。Cloudflareの管理画面で「SSL/TLS」→「概要」から設定を「フル」または「フル（厳密）」に変更することで、多くの場合解決します。

変更が反映されない：Cloudflareはキャッシュを保持しているため、WordPress側でコンテンツを更新しても反映されないことがあります。Cloudflare管理画面から「キャッシュ」→「すべてパージ」で強制的にキャッシュを削除できます。作業中は「開発モード（Development Mode）」を一時的にONにすると、3時間限定でキャッシュを無視した表示になるため、設定変更の確認作業がしやすくなります。

メールが届かなくなった：DNS移行時にMXレコードやSPF/DKIM用のTXTレコードを誤ってオレンジクラウドにしてしまったことが原因である場合がほとんどです。該当レコードをグレークラウドに戻してください。

よくある質問（FAQ）

Cloudflareは本当に無料で使えますか？

はい、Freeプランは0円で、CDN・基本的なDDoS対策・自動HTTPS化・Universal SSLといった主要機能を制限なく使えます。個人ブログ・中小規模サイトであれば、無料プランだけで十分な効果を得られます。

Cloudflare導入でサイトが表示されなくなることはありますか？

設定を誤ると起こり得ます。特に多いのが「リダイレクトループ」で、WordPress側とCloudflare側のSSL設定が噛み合っていない場合に発生します。SSL/TLS設定を「フル（厳密）」にすることで多くの場合解決します。

Pro・Businessプランはどんな場合に必要ですか？

無料プランのWAFルールでは対応しきれない特定の攻撃パターンをブロックしたい場合や、APOによるWordPressの高速化を追加料金なしで使いたい場合はProプラン、既存のDNS権限をCloudflareに完全移行せず一部だけ連携する「部分的CNAME設定」が必要な場合や、カスタムSSL証明書をアップロードしたい場合はBusinessプランを検討します。

オレンジクラウドとグレークラウドはどう使い分ければいいですか？

Webサイトの表示に使うレコード（メインドメイン・www）はオレンジクラウド（プロキシ経由）にすることでCDN・WAF・DDoS対策が有効になります。一方、メールの送受信に関わるMXレコードやSPF/DKIM用のTXTレコードは、必ずグレークラウド（DNSのみ）のままにしてください。

APOはPro・Businessプランなら無料で使えますか？

はい。APO（Automatic Platform Optimization）はFreeプランでは月額5ドルの追加アドオンですが、Pro・Business・Enterpriseプランには追加料金なしで標準搭載されています。Proプラン以上を契約している場合は、WordPressプラグイン側の設定でそのまま有効化できます。

独自のオリジンサーバーのIPアドレスは隠せますか？

オレンジクラウド（プロキシ経由）にしたレコードについては、訪問者からはCloudflareのIPアドレスしか見えなくなり、オリジンサーバーの実IPは隠されます。ただし過去にDNS情報が公開されていた場合や、メールヘッダー等から実IPが特定できる場合もあるため、完全な隠蔽を保証するものではありません。

公式サイト

Cloudflare公式サイトを見る →

Cloudflare完全ガイド