有効にすると、Client-side security のリソース監視は、Content Security Policy（CSP） の report-only HTTP ヘッダー を使い、アプリケーション上で動いているすべてのスクリプトの情報を収集します。
デフォルトでは、レポートは Cloudflare 所有のエンドポイントに送られます。
https://csp-reporting.cloudflare.com/cdn-cgi/script_monitor/report?<QUERY_STRING>Client-Side Security Advanced のお客様は、レポート先エンドポイントを変更し、同じホスト名へ CSP レポートを送れます。
<YOUR-HOSTNAME>/cdn-cgi/script-monitor/report?<QUERY_STRING>同じホスト名で CSP レポートを送ると、ほかの Cloudflare 製品と干渉することがあります。このオプションを選ぶ前に、Cloudflare の設定が次を満たしていることを確認してください。
cdn-cgi/*の URL パスに一致するレート制限ルールがないことcdn-cgi/*の URL パスに一致するカスタムルールがないこと
CSP のレポート先エンドポイントを設定する手順は次のとおりです。
-
Cloudflare ダッシュボードで、Security の Settings ページを開きます。
Settings を開く ↗ -
（任意）Client-side abuse で絞り込みます。
-
Continuous script monitoring > Configurations で、Reporting endpoint の横にある編集アイコンを選びます。
-
Cloudflare-owned endpoint または Same hostname を選びます。
-
Save を選びます。
接続先が Cloudflare に報告されるとき、URI にセッション ID などの機微データが含まれることがあります。
デフォルトでは、Client-side security はドメインだけを、悪意のある脅威インテリジェンスフィードと照合します。ドメインのページから行われた接続の分析に、フル URI を使わせることもできます。URI 内の機微データは平文でログに残り、接続モニターのダッシュボードにアクセスできるユーザーなら誰でも閲覧できます。
-
Cloudflare ダッシュボードで、Security の Settings ページを開きます。
Settings を開く ↗ -
（任意）Client-side abuse で絞り込みます。
-
Continuous script monitoring > Configurations で、Data processing の横にある編集アイコンを選びます。
-
ホスト名だけを分析する場合は Log host only を、フル URI を使う場合は Log full URI を選びます。
-
Save を選びます。
Client-side security のリソース監視をオフにすると、ゾーン上で動いているスクリプト、ドメイン内のページからの送信接続、HTTP トラフィックで検出された Cookie が見えなくなります。
クライアントサイドのリソース監視をオフにする手順は次のとおりです。
-
Cloudflare ダッシュボードで、Security の Settings ページを開きます。
Settings を開く ↗ -
（任意）Client-side abuse で絞り込みます。
-
Continuous script monitoring の横のトグルを Off にします。
Client-side security のリソース監視をオフにしても、content security rules（以前のポリシー）はオフになりません。content security rules をオフにする手順は次のとおりです。
-
Cloudflare ダッシュボードで Security rules ページを開きます。
Security rules を開く ↗ -
（任意）Content security rules で絞り込みます。
-
各ルールの横にある三点リーダーを選び、Disable を選びます。