ボットスコアは、そのリクエストがボットから来た可能性を示す 1 から 99 までのスコアです。
たとえば、スコア 1 はリクエストが自動化されたものであると Cloudflare がかなり確信していることを意味し、スコア 99 はリクエストが人間から来たとかなり確信していることを意味します。
ボットスコアは WAF カスタムルール で使い、スコアに応じてリクエストをブロック、チャレンジ、許可できます。ボットスコアは Workers でも利用でき、アプリケーションの動作をカスタマイズできます。詳細は Bot Management の変数 を参照してください。
Pro 以上のプランのお客様は、Security > Bots を開くと、ボットトラフィックがグループに自動で分かれます。
| カテゴリ | 範囲 |
|---|---|
| Not computed | ボットスコアが 0 のリクエストです。 |
| Automated | ボットスコアが 1 のリクエストです。 |
| Likely automated | ボットスコアが 2 から 29 のリクエストです。 |
| Likely human | ボットスコアが 30 から 99 のリクエストです。 |
| Verified bot | 悪意のない自動トラフィックです（検索エンジンやほかのアプリケーションを動かすために使われます）。 |
次の検出エンジンは、Enterprise の Bot Management にのみ適用されます。ご利用プランに含まれるエンジンの詳細は、プラン を参照してください。
既知の悪意あるフィンガープリントのデータベースに対するパターンマッチングで、自動トラフィックを捕捉します。
Heuristics エンジンは、すべてのリクエストを処理します。Cloudflare は自動トラフィックを特定するために複数のヒューリスティック検査を行い、リクエストを増え続ける悪意あるフィンガープリントのデータベースと照合します。
Heuristics エンジンは、確信度が高く決定的な検出に対して、自動リクエストにスコア 1 を付けます。Cloudflare が自動トラフィックを特定しつつ、トラフィックの重なりをまだ評価している場合は、ヒューリスティックがスコア 29 を設定することがあります。
1 日あたり数十億件のリクエストにわたるリクエスト特徴を分析し、高度なボットを捕捉します。ほとんどのスコアは 2 から 99 の間になります。
機械学習（ML） エンジンは、検知の大部分を担い、人間のトラフィックとボットのトラフィックを区別します。この方式は、1 日あたり数十億件のリクエストをプロキシするグローバルネットワークを活用し、自動化トラフィックと人間のトラフィックの両方を識別します。
ML システムは教師あり機械学習の手法で、最終的な Bot Score（1～99）を決定します。
コアモデルは次のプロセスに依存します。
- 入力変数（X）: Cloudflare ネットワーク全体のトラフィックから収集した、さまざまなリクエスト特徴（ヘッダー、セッション特性、ブラウザーシグナル）。
- 出力変数（Y）: クライアントが人間である予測確率（Challenge を正常に解く確率など）。この確率が最終的な 1～99 の Bot Score にマッピングされます。
ML エンジンは、膨大な匿名化データを使い、定期的に再学習します。精度を維持し、新しい脅威に適応するためです。お客様は、これらのモデルが使うリクエスト特徴を、Cloudflare の Logpull や Logpush などのログで分析できます。
そのサイト固有の学習済みベースラインとトラフィックを比較し、外れ値のリクエストを検出します。
異常検知（Anomaly Detection、AD） エンジンは、教師なし学習の一種を使うオプションの検知エンジンです。Cloudflare はドメインのトラフィックのベースラインを記録し、そのベースラインを使って外れ値リクエストを検知します。この手法は User-Agent に依存せず、アカウントチームがオン / オフできます。
Cloudflare for SaaS を使うドメインや、大量の API トラフィックが見込まれるドメインには、AD は推奨しません。AD エンジンは自動リクエストにすぐスコア 1 を付けます。
ヘッドレスブラウザー（ソフトウェアが制御し、表示ウィンドウも人間の操作者もいないブラウザー）や、その他の自動化ツールを捕捉します。
JavaScript Detections（JSD） エンジンは、ヘッドレスブラウザーやその他の悪意あるフィンガープリントを識別します。このエンジンは、厳格なプライバシー基準 ↗ を守りながら、任意のリクエストのクライアント側に軽量で不可視の JavaScript を注入します。この過程で個人を特定できる情報は収集しません。JSD エンジンは、リクエストをブロック、チャレンジ、またはほかのエンジンへ渡します。
JSD はデフォルトで有効ですが、完全に任意です。設定を変更するには、Security > Bots から Bot Management Configuration ページを開きます。
Cloudflare Service は、Enterprise の Zero Trust で誤検知を避けるための特別な ボットスコア ソースです。
ボットスコア 0 は、Bot Management がそのリクエストを評価しなかったことを意味します。Cloudflare 内部のサービスリクエストや、Bot Management が動く前にリダイレクトまたは別機能（Redirect Rules など）で処理されたリクエストが該当します。スコア 0 は、リクエストが安全または人間であることを示すものではありません。
Cloudflare は __cf_bm Cookie を使い、ボットスコア を平滑化し、実際のユーザーセッションでの誤検知を減らします。
Bot Management Cookie は、1 人のユーザーのリクエストパターンを計測し、機械学習データに適用して、そのユーザーのすべてのリクエストに対して信頼できるボットスコアを生成します。
詳細は Cloudflare Cookies を参照してください。