Cloudflareは2026年10月15日、Web通信を検査・制御するGatewayと、情報の持ち出しを検知するDLPのプログラム機能拡張を発表しました。独自コードで通信を加工する「Forward」は同日からパブリックベータとなり、アクセスの判定条件を拡張する「Custom Function」は2026年末までに提供予定です。通信をどう処理するか、何を根拠に許可するかを、自社の要件に合わせて組み立てられるようになります。
Forwardは許可済みの通信をWorkerへ転送
Forwardは、GatewayのHTTPポリシーで許可された通信に適用する新しいアクションです。最初に一致したForwardルールを適用し、該当するHTTP要求を指定のWorkerへ転送します。Workerは、Cloudflareのコード実行基盤であるWorkers上で動くプログラムです。
Cloudflareによると、Workerでは要求のヘッダーや本文、応答を変更できます。通信を継続しながら、Slackへの通知や外部へのログ送信を非同期で実行することも可能です。取得したファイルを外部の隔離検査環境であるサンドボックスへ送ったり、R2へ保存したりする処理も実装できるとしています。
一方、接続の確立や暗号化通信の処理、証明書管理などはGatewayが担います。情シスが検討する際の焦点は、基盤の接続処理だけでなく、Workerで何を変更し、どこへ情報を渡すかにあります。CloudflareもForward用Workerを慎重に設計し、利用者への悪影響を避けるよう求めています。
Custom Functionは独自の判定条件を追加
Custom Functionは、ポリシーの評価中にWorkerを呼び出す新しいポリシーリソースです。文字列、数値、真偽値の返り値をルール条件に使います。Forwardが許可済み通信の処理を担うのに対し、こちらは判定に使う材料を独自コードで補う仕組みです。
Workerへ渡す情報は評価段階によって異なり、送信元IP、ユーザー識別情報、端末状態などが含まれます。外部APIや、Cloudflareのデータ保存サービスであるKV、D1などの情報も評価に利用できるとしています。HTTP以外のレイヤー4通信にも使えると説明しています。
Cloudflareは、アクセス理由を入力する画面や、理由と利用者を結び付けた監査記録も実装できるとしています。ただし、Custom Functionは2026年末までの提供予定であり、パブリックベータが始まったForwardとは異なり、まだ提供されていません。
新機能の対象は全てのZero Trustプランです。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Cloudflare Gatewayを利用し、HTTPポリシーで許可した通信に独自の加工、通知、外部ログ送信を追加したい会社です。Forwardの試験導入を検討する対象になります。
- 影響する: 外部の情報や端末状態などを使い、アクセスの判定条件を拡張したい会社です。Custom Functionの提供予定を踏まえ、要件を整理する段階です。対象プランは全Zero Trustプランとされています。
- 影響しない: Cloudflare Gatewayを利用しておらず、導入も検討していない会社では、今回の機能追加に伴う自社Gateway設定の見直しは対象外です。他社製品への影響は発表には書かれていません。
情シスが今日やること
以下は、発表を踏まえた導入検討の手順です。発表に一律の対応期限は示されていません。
- 今日、GatewayのHTTPポリシーを棚卸しする。 許可している通信のうち、加工や通知を追加したい対象を一覧にします。管理画面の具体的な操作箇所は発表には書かれていないため、画面上の経路は確認が必要です。
- 試験前に、開発担当と処理内容を決める。 要求のヘッダー・本文・応答のどれを変更するか、外部へ何を送るかを書き出します。複数のForwardルールを設ける場合は、最初に一致するルールを確認できる形で整理します。
- 試験前に、セキュリティ担当と業務担当へ確認する。 外部サンドボックスへの送信やR2への保存を行うなら、扱うファイルの範囲と業務への影響を共有します。Forwardはパブリックベータであることも伝えます。
- 本番適用の判断前に、提供状況と検証結果をそろえる。 日本での提供条件を確認し、Workerによる利用者への悪影響がないか検証します。Custom Functionを前提とする要件は別に管理し、提供開始を確認してから実装計画を具体化します。
