Cloudflare Gateway、カスタムセキュリティロジックのためにコードをインライン実行可能に

CloudflareはZero Trustプラットフォームの大幅な拡張を発表し、開発者が安全なWebゲートウェイのポリシー評価パス内でカスタムコードを直接実行できるようにしました。2026年10月15日にリリースされたこのアップデートにより、Cloudflare WorkersがGatewayおよびデータ損失防止（DLP）サービスと統合され、ネットワークエッジで任意のロジックをインラインで実行できるようになります。

何が起きたか

長年にわたり、安全なWebゲートウェイは厳格なモデルに基づいて運用されてきました。トラフィックが事前定義された条件に一致すると、システムは許可、ブロック、ログ記録などの終端的なアクションを実行します。標準的なユースケースには有効ですが、このアプローチでは複雑で環境固有の要件への対応が困難です。セキュリティチームは、最大の柔軟性を提供するために高コストなカスタムプロキシインフラストラクチャを維持するか、ベンダーの制約を受け入れて独自の課題解決能力を制限するかという二択を迫られることがよくあります。

これに対応するため、Cloudflareは2つの新機能、「Forward action」と「Custom Functions」を導入します。「Forward action」（本日パブリックベータ版として利用可能）は、一致したHTTPリクエストをCloudflare Workerにルーティングし、Workerをインラインミドルウェアとして機能させます。これにより、開発者はトラフィックが目的地に到達する前にヘッダーの変更、リクエストボディの変換、または外部システムへのログ記録などの非同期アクションをトリガーできます。「Custom Functions」（年内リリース予定）は、Workerがポリシー評価中に型付き値を返すことを可能にし、内部データや複雑なロジックに基づく動的セレクターを作成します。

この統合は、GatewayとWorkersが世界330以上の拠点にある同一マシン上で動作するというCloudflareの既存インフラストラクチャを活用しています。ディスパッチはネットワークホップではなくローカル関数呼び出しであるため、トラフィックを別のクラウド環境へヘアピンニングすることによる追加の遅延はありません。このアーキテクチャは、セルフホスト型プロキシのカスタマイズ性を、インフラストラクチャ管理に伴う運用オーバーヘッドなしで提供することを目的としています。

仕組み

「Forward action」は、Cloudflare Workerをプログラマブルなプロキシに変換します。Gatewayポリシーがリクエストに一致すると、ヘッダーやボディを含む完全なHTTPコンテキストが指定されたWorkerに転送されます。Workerはリクエストを検査・変更し、next()関数を使用してアップストリームに渡すことができます。また、ユーザーに戻される前にレスポンスを変更することも可能です。Gatewayは基盤となるTCP接続、TLS終了、証明書管理を処理し、Workerはアプリケーションレベルのロジックのみ专注于します。

「Custom Functions」は、ポリシー決定エンジンに直接統合されることで異なる方式で動作します。WorkerはソースIP、ユーザーID、デバイスポスチャーなどのコンテキストを受け取り、単純な文字列、数値、ブール値を返します。この戻り値はGatewayポリシービルダー内の新しいセレクターとなります。例えば、関数がJSON Web Tokenを解析してユーザーの役割を抽出し、文字列として返すことができます。管理者はその後、「Custom Function Roleがfinance_contractorと等しい場合は許可」といったルールを作成でき、組み込みセレクターとカスタムの計算データを組み合わせることができます。

主要な詳細

• Forward Action: 一致したHTTPトラフィックをWorkerにルーティングしてインライン変換を行います。2026年10月15日からパブリックベータ版として利用可能です。
• Custom Functions: Workerがポリシー条件で使用するための型付き値を返すことを可能にします。2026年末までにリリース予定です。
• ゼロレイテンシオーバーヘッド: Workerへのディスパッチは同一マシン上のローカル関数呼び出しであり、ネットワーク往復を回避します。
• ユニバーサル可用性: 両機能とも、Free、Paid、Enterpriseプランを含むすべてのZero Trustプランで利用可能になります。
• 課金: Workerにディスパッチされたトラフィックは標準的なWorkerリクエストとして課金され、既存の実行時間および日次リクエスト制限の対象となります。
• フォールバック安全性: Custom Functionsは、コードが失敗したりタイムアウトした場合でも決定的な動作を保証するためにデフォルト値を必要とします。

なぜ重要なのか

ソフトウェアエンジニアやセキュリティリーダーにとって、この変化は_minor_なトラフィック変換のために個別のNGINXプロキシや複雑なWebhookパイプラインを展開・維持する必要をなくします。以前は専用インフラストラクチャの構築が必要だったタスク（JWTクレームに基づくHTTPヘッダーの注入や、機密アクセスの監査証跡作成など）は、Worker内のTypeScript数行で処理できるようになりました。これにより運用負債が削減され、組織の内部ツールやワークフローに特化したセキュリティポリシーの実装が加速します。

任意のコードをインラインで実行できることは、リアルタイムの応答性も向上させます。SIEMに送信される遅延ログにアラート依存する代わりに、Forward actionはDLPルールがトリガーされた際にSlackやPagerDutyへの即時通知を起動できます。さらに、Custom Functionsは、内部リスクスコアリングシステムなどの外部データソースをファイアウォールの意思決定プロセスに直接組み込むことで、よりニュアンスのあるアクセス制御を可能にし、これらのシステムを公開インターネットにさらすことなく実現します。

実施可能なこと

• Forward actionのパブリックベータ版を評価し、内部アプリケーション向けのインラインヘッダー注入やリクエスト変更をテストしてください。
• JWT解析やカスタムログ記録など、Cloudflare Workersに移行できる現在のマニュアルプロキシタスクを特定してください。
• リアルタイムのユーザーコンテキストに基づく動的ポリシーセレクターを作成するために、内部データベースやAPIと統合するCustom Functionsを設計してください。
• 既存のDLPポリシーを見直し、内部レコードとのデータ関連性チェックによって誤検知を減らせるカスタム検証ロジックの適用箇所を判断してください。
• 特に大量トラフィックをForward actions経由でルーティングする計画がある場合、Workerの実行制限とコストを監視してください。
• 現在外部後処理を必要とする複雑な評価ロジックをマッピングすることで、年末のCustom Functionsリリースに備えてください。