← 2026-08-17 の一覧へ戻るホーム
HN 投稿：Cloudflare がネームサーバーを変更する際に静かに分析ツールを挿入しています

2026/08/17 2:49

HN 投稿：Cloudflare がネームサーバーを変更する際に静かに分析ツールを挿入しています

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

Cloudflare のデフォルトの「Proxied」設定では、ユーザーの同意なく分析コードが注入され、メールアドレスの暗号化などの機能が有効化されます。これは、追跡をすべて明示的に停止しているサイトでも同様です。この問題が発生する理由は、プロキシングによって Cloudflare がエッジで TLS を終端し HTML を書き換えることができるためであり、実質的に同意なしの中間者攻撃となります。この問題は、特定のスクリプト（例：

email-decode.min.js
）を含むデフォルト設定や、これらの設定に対する歴史的な変更によりユーザーを混乱させたことによっても悪化しています。ネームサーバーが Cloudflare に引き渡されても、プロキシを有効にするだけ（オレンジ色の雲）で、この侵襲的な状況はユーザーの意図に関係なく確立されます。「DNS Only」（灰色の雲）に切り替えるだけで、注入は直ちに停止します。

これを解決するには、サイト所有者がダッシュボード内のすべての DNS レコードを手動で編集してプロキシステータスを無効にする必要があります。専門家らは、これらのリスクを完全に回避するために Bunny.net やレジストラが提供するストレートな DNS ホスティングなどの代替案を検討することを推奨しています。この状況は、CDN が明確な許可なしにスクリプトを注入する場合でも、セキュリティヘッダーや暗号化を完全になめられるという前提を疑問視し、サービスの「enshittification」に関する広範な不安や、ボットやユーザーに対する KYC などの将来の侵襲的な要件の可能性を反映しています。

本文

Cloudflare のデフォルト設定とキャッシュ機能に関する問題点：DNS Only モードにおける隠れたリスク

Cloudflare のキャッシュ機能をいくつかのサイトで誤って有効化していたことが、HTML 注入などの不具合の原因となりました。特に「キャッシュ」は「サイトの改変」とは異なりますが、現在の挙動は許されざる不適切な行為です。

問題の背景とユーザー側の認識のギャップ

  • HTTPS 接続での挙動: DNS 機能のみで HTTPS を直接サーバーへ送る場合でも、HTML が注入される現象が見られます。これは Cloudflare が HTTPS をターミネートさせ、事実上プロキシとして動作している証拠です。
  • Web Analytics のデフォルト状態:
    • 旧来のサイトでは手動有効化が必要でしたが、新ドメイン追加時にデフォルトで有効化されている可能性があります。
    • ダッシュボードを確認しましたが、一部のユーザーは「Analytics」が無効な設定にも関わらず問題が発生していました。
  • 設定変更の混乱:
    • プロキシ機能を当初「Proxy」から「DNS Only」に変更しましたが、ネームサーバー切り替え時に慌てて設定を見落とした可能性があります。
    • 「Once Skip（一旦スキップ）」や明示的な指示がない場合、ユーザーが機能の有無に気づかずデフォルト設定を受け入れてしまいます。

Cloudflare CDN の利用とデフォルトリスク

  • コスト対効果: Cloudflare は顧客への提供を想定し、原価で優れた価格を提供していますが、CDN を使用せずに純粋な DNS として機能させる設計は手間がかかります。
  • ユーザー体験の欠如:
    • 「Proxy」の有効化/無効化を選択する際、明確な指示がありません。
    • 無料ホスティングサービスで過去に経験したような、自社のスクリプトや広告をページに強制的に注入する仕組みと類似しています。
  • 実装のトリック: HTML タグ終了を検知して回避策（タグ省略、大文字小文字操作など）を用いているケースがあり、ユーザーが正しく機能していないことに気づきにくくしています。

セキュリティリスクとトラッキングの実態

textlog.cc（HTML 用の JS フリーサイト）にアナリティクスの JS スニペットが注入された事例では、「ホスティングしていないサイトへ敵対的なコードを注入」という疑念が生まれました。

  • 権限超過の懸念: この行為は「Computer Fraud and Abuse Act」における権限を超えたアクセス違反と見なされる可能性があります。
  • HTML 提供による追跡能力:
    • Cloudflare をプロキシとして使用する場合、これが周知の事実ですが、そうでない場合でも HTML を介して個々の Web リクエストを追跡する能力を有しています。
    • DNS エキスパートでない場合、この設定の違いにより深刻な混乱（デバッグ困難化）をもたらします。

逆説的なリスク：裸晒されたサーバー

  • ユーザーが「保護されている」と思い込みながら、実際には**「DNS Only」でサーバーが裸晒せられている**ケースも問題です。
  • 特に別のプロバイダーからの DDoS 保護移行時には、この認識不足が致命傷となります。

技術的なメカニズム：なぜ HTML が編集可能なのか

  • TLS の終端と再書き換え:
    • TLS は Cloudflare で終端され、オリジンサーバーでは終わらないためです。
    • レコードがプロキシ化（オレンジの雲）されている場合、Cloudflare 保有の証明書で通信し、HTML を平文として再書き換えします。
    • このメカニズムは WAF やキャッシュ機能でも使用されており、アナリティクス機能に固有のものではありません。
  • 証明書の管理: DNS を別のプロバイダーへ渡す際、Cloudflare が証明書を掌握・再署名（Self-Assigned Certificate）している可能性がありますが、ブラウザが警告を出さない仕組みが働いています。

推奨アクションと代替案

1. デフォルト設定の無効化手順

  • 目的: HTML の注入やスクリプト追加を完全に防ぐため。
  • 手順: 
    1. Domains
      → 
      Overview
      → 
      [your.site]
      に移動します。
    2. DNS
      → 
      Records
      を開きます。
    3. 各エントリをクリックし、プロキシアイコン（オレンジの雲）を**「DNS Only（灰色の雲）」**に変更します。
  • 効果: MITM（中間者攻撃）的な挙動やスクリプト注入はこれで終了します。

2. 代替プロバイダーの利用検討

  • Cloudflare は「真の DNS ホスティングプロバイダー」ではなく、CDN 機能との併用を前提としています。
  • Bunny.net（EG）のような純粋な DNS プロバイダーや、レジストラ内での提供サービスを活用することで、以下のメリットがあります。
    • 100% 予見可能な「エンシッフィケーション」（サービスの劣化・監視強化）の回避。
    • 企業顧客でない限り必要とする機能を全て備えつつ、驚きや不意打ちが少ない環境が得られます。

将来への警鐘：Centralization と KYC の拡張

  • 技術的支配の拡大:
    • Cloudflare はすでに HTML 編集を開始しており、十分な独占力を手に入れた後には、KYC（顧客確認）手続きを受けないボットをブロックするプログラムを開始しました。
    • 将来的には一般ブラウザユーザーに対しても KYC ブローカーとなる可能性があります。無料のインターネットは終わるかもしれません。
  • セキュリティヘッダーの監査: CDN が注入するものを定期的に見直すことと同様に重要です。
  • 中間者攻撃（MITM）への警戒: 慣れ親しんだ挙動も「エンシッフィケーション」の一環であり、より悪質なものへと発展していく可能性があります。

結論として：オプトアウトのメカニズムが存在しないため、信頼を燃やしている現状です。デフォルトでは何も期待せず、常にレコードがプロキシ化（オレンジ）されていないか確認する必要があります。

同じ日のほかのニュース

一覧に戻る →

2026/08/17 2:01

第 3 の世界組み込みエンジニアによる「RISC-V はもっと慎重だったべきだ」という批判への回答

## Japanese 翻訳： RISC-V は、ライセンス料という障壁によって競合他社（ARM など）が妨げられることなく、シームレスなスケーラビリティを提供するオープンアーキテクチャを有しているため、安価なマイクロコントローラー市場で支配的になると位置づけられています。Dmitry Grinberg 氏の「RISC-V：彼らはもっとよく知るべきだった」と題した論文に触発された議論において、トリニダード・トバゴ在住の組み込みエンジニアである Armstrong Subero は、Grinberg 氏の批判が発展途上国における重要な経済的現実を見落としていることを指摘しています。Grinberg 氏が安価なマイクロコントローラーへの要件を正しく特定したことは事実ですが、彼は単一の ISA（指令セットアーキテクチャ）内で低エンドおよび高エンドのニーズの両方を満たす RISC-V の能力を見積もり低估していました。Subero は、ARM が仮想メモリーといった高度な機能のためにユーザーがコアファミリーを切り替える必要（Cortex-M から Cortex-A など）とし、これには高額なロイヤルティ、販売交渉、そして多くの場合主要な小売業者での ID 検証の障壁を含む長いリードタイムが必要とされると反論します。一方、RISC-V は MMU や権限分離といった機能能力を、同じアーキテクチャ内のオプション拡張として扱い、契約上の壁を取り除いています。Subero は、アクセシビリティは単に技術的な設計のみならず経済的実現可能性にもよることを強調しています。発展途上地域へのチップの運搬コスト（他の地域で「送料無料」であるのに対して 60〜200 ドル）が、学生のアクセスを著しく妨げていると指摘します。Subero は、フラグメンテーションという主張に対し、具体的な RISC-V インプレメンテーションを挙げ反論しています：10 セントの CH32V003（RV32EC）、USB 3.2 Gen1 とイーサネットを搭載した高級二コアの CH32H417、そして Linux/seL4/Xous を実行する Baochip-1x SoC です。Subero は、このスタック全体の専門知識を習得するために運搬費だけで 100 ドル未満で達成でき、価格と入手可能性での勝利がグローバルアクセシビリティに決定的要因であることを示しています。AI 主導の需要が高騰させるにつれて ARM ライセンスコストが上昇する中、RISC-V は、発展途上国のエンジニアがアーキテクチャ的な妥協や金銭的ペナルティなしに高度な機能にアクセスすることを可能にする、より包摂的な代替案として登場しています。

2026/08/16 21:48

Claude: システムプロンプト

## Japanese Translation: 入力テキストは「Loading」文字列の繰り返しのみを含んでおり、実際のニュース、記事の内容、または物語構造を提供していません。したがって、関連する背景を確立するための日付、製品名、IT 詳細、または特定のデータポイントはいっさい含まれていません。テキストが実質的な情報を欠いているため、予測、将来の展開、または後続事件を示すことも、ユーザー、企業、あるいはより広い業界に対する含意を特定することもできません。その結果、情報提供レポートではなく汎用的なステータスインジケーターとなっています。

2026/08/17 3:48

Protobuf は LSP をサポートしています。ご自由にご利用ください。

## Japanese Translation: 原文の要約は、発表から技術的な詳細へ、そして今後の改善へと論理的に流れを続け、重要なハイレベル情報を欠かさずにキーポイント一覧の内容を正確に反映しており、よく書かれています。 ## Text to translate: **Repeat the original.** The original summary is well-written, flows logically from the announcement to technical specifics and then to future improvements, while accurately reflecting the content of the Key Points List without missing critical high-level information.