Cloudflare uses the _cflb, _cf_bm, and _cfduid, cookies to maximize network resources, manage traffic, and protect our Customers’ sites from malicious traffic.
概要
_cflb, _cf_bm, and _cfduid Cookieは、（プライバシーポリシーにて定められているように）お客様が依頼したサービスを提供するのに絶対に必要です。詳細は以下で説明します。
Cloudflareは、（プライバシーポリシーにて定められているように）こうしたCookieの使用をエンドユーザーに開示するようお客様に促します。一部の管轄区域では、お客様はこうしたCookieの使用をエンドユーザーに開示することが義務付けられている場合があります。
Cookieデータは、米国のCloudflareのデータセンターで処理され、Cloudflareのプライバシーポリシーの「クロスボーダーデータ転送」セクション（セクション7）の適用対象となります。
_cflb cookie for Cloudflare Load Balancer session affinity
Cloudflareのロードバランサーでセッションアフィニティを有効にすると、Cloudflareは、要求元クライアントへの最初の応答時に一意の値を使用して_cflb Cookieを設定します。Cloudflareは、将来のリクエストを同じオリジンにルーティングし、ネットワークリソースの使用を最適化します。 ファイルオーバーが発生した場合、Cloudflareは、新しい_cflb Cookieを設定して、将来のリクエストをフェイルオーバープールに向けて送信します。
_cflb Cookieにより、Cloudflareは、一定期間（お客様が設定する期間）にわたってエンドユーザーを同じお客様のオリジンに返します。それにより、お客様のオリジンはエンドユーザーの体験をシームレスに維持できます（たとえば、エンドユーザーがWebサイト内を移動する間エンドユーザーのアイテムをショッピングカードに保管します）。このCookieはセッションCookieであり、数秒から最長24時間存続します。
_cf_bm cookie for Cloudflare Bot Management
_cf_bm Cookieは、ボットに関連付けられている基準に一致する着信トラフィックを管理することで Cloudflare Bot Managementをサポートします。 Cookieは、個人データを収集しません。収集した情報は一方向暗号の対象となります。 この暗号化されたファイルには、Cloudflare独自のボットスコアが含まれ、特定の基準に一致する着信トラフィックを管理するのに役立ちます。
Cloudflare Bot Managementを使用するお客様のサイトをエンドユーザーが訪問すると、Cloudflareは、_cf_bm Cookieをお客様のエンドユーザーのデバイスに配置します。エンドユーザーがチャレンジ質問を通過した場合、Cookieは最長30分間追加のチャレンジ質問を出しません。このCookieは、エンドユーザーがサイトに接続した時点から最長30分間存続するセッションCookieです。
Cloudflareのお客様は、Cloudflare Bot Managementを無効にすることで_cf_bm Cookieをオフにすることができます。
_cfduid cookie for identifying individual visitors privately
_cfduid Cookie は、Cloudflareのお客様のWebサイトの悪意のある訪問者を検出して、正当なユーザーのブロックを最小限に抑えるのに役立ちます。_cfduid Cookieは、お客様のエンドユーザーのデバイスに配置し、共有IPアドレスの背後にいる個々のクライアントを識別して、セキュリティ設定をクライアントごとに適用します。Cloudflareのセキュリティ機能をサポートするのに必要です。
プライバシーと_cfduid Cookie
_cfduid Cookieは、個々に識別できないように、一定の値の一方向ハッシュを使用して、エンドユーザーIPアドレスを収集して匿名化します。Cookieは、30日後に有効期限が切れるセッションCookieです。
_cfduid Cookieは、以下を行いません：
- クロスサイトトラッキングを許可する、
- さまざまな_cfduid識別子をプロフィールにマージして、サイト間でユーザーをフォローする、または
- お客様のWebアプリケーション内の任意のユーザーIDに対応する。
通常、Cloudflareは、無料プラン、Proプラン、Businessプランのドメインのユーザーレベルデータ（リクエスターのIPアドレスを含む）を24時間まで保管し、Cloudflare Logs（旧称Enterprise LogShareまたはELS）を有効にしたEnterpriseプランのドメインでは最大7日間保管します。 セキュリティアラートをトリガーしたIPアドレスについては例外がある場合があります。 Cloudflare Logsの詳細については、このブログ投稿を参照してください。
Cloudflareは、お客様が各自のネットワーク内にCloudflare Logsをどれくらい長く保管できるかを制御できません。Cloudflareのエッジサーバー上でキャッシュされたコンテンツが生存できるかどうかについて、どのデータをどれくらいの期間にわたってキャッシュするかを制御するのはお客様です。
__cfduid とAlways Use HTTPS
Always use HTTPS設定は、HTTPスキームを持つすべてのリクエストをHTTPSにリダイレクトします。 これは、ドメインへのすべてのHTTPリクエストに対して適用されます。このオプションは、CloudflareダッシュボードのSSL/TLSアプリにあります。
以下にドメインのAlways Use HTTPS設定に基づいた__cfduid Cookieの例を示します。
If Always Use HTTPS = True, then:
Set-Cookie: __cfduid=de73c7e08a3753ac6b2fc84a838098dd91524036568; expires=Thu, 18-Apr-19 07:29:28 GMT; path=/; domain=.domain.com; HttpOnly; Secure
If Always Use HTTPS = False then:
Set-Cookie: __cfduid=dbed136878a72f4a881e70c74fcf4b3411524036444; expires=Thu, 18-Apr-19 07:27:24 GMT; path=/; domain=.domain.com; HttpOnly
ドメインがCloudflare Managed CNAMEサービスを使用している場合、__cfduid CookieはAlways use HTTPSが有効になっている場合でも常に非セキュアなCookieになります。 Cloudflare内でDNS解決が完全に管理されている場合、Cloudflareは常にHTTPSを使用することを保証します。Managed CNAMEを使用する状況では、ユーザーがHTTPアクセスまたはHTTPSアクセスのいずれかで識別されるように__cfduid Cookieを非セキュアにする必要があります。
__cfduid CookieとRate Limiting
__cfduid Cookieは、お客様がRate Limiting機能のうち特定のEnterpriseプランの機能を利用する場合にのみ使用されます。
__cfduidを無効にする
Enterpriseプランのお客様は、Cloudflareサポートに連絡することで_cfduid Cookieを無効にすることを依頼できますが、無効にすることはお客様のWebサイトへの悪意のある訪問者の影響を検出して軽減するCloudflareの機能に大きく影響します。表示速度を上げるために静的リソースのCookieを削除することを推奨している場合もありますが、パフォーマンスの影響はごくわずかです。