Cloudflare Access のよくあるトラブルシューティングシナリオを確認します。
Fetch API で Cookie を含める場合、Cloudflare Access は JavaScript に credentials: same-origin パラメーターの追加を要求します。このパラメーターがないと AJAX リクエストは失敗し、No Access-Control-Allow-Origin header is present on the requested resource などのエラーになります。詳細は CORS の設定 を参照してください。
エラー SAML Verify: Invalid SAML response, SAML Verify: No certificate selected to verify は、アイデンティティプロバイダー（IdP）が SAML レスポンスに署名用公開鍵を含めていないときに発生します。Cloudflare Access は、公開鍵が Zero Trust にアップロードした Signing certificate と一致することを要求します。IdP がレスポンスに公開鍵を含めるよう設定してください。
エラー Failed to fetch user/group information from the identity provider は、Cloudflare が IdP と通信するための必要な API 権限を持っていないときに発生します。ご利用の IdP 向け SSO 連携ガイド を確認し、アプリケーションに正しい権限があることを確認してください（例: Microsoft Entra や Okta）。
Google Workspace を Access の背後に置く場合、そのアプリケーションのアイデンティティプロバイダーとして Google または Google Workspace は使えません。両方のシステムがログイン完了を互いに依存するため、無限のリダイレクトが発生します。
エラー Invalid session. Please try logging in again は、Access が CF_Session Cookie を検証できなかったことを示します。デバイス上のソフトウェアやファイアウォールが Access へのリクエストを妨害すると起きることがあります。サインインの開始と完了に、同じブラウザーインスタンスを使ってください。
Firefox のプライベートウィンドウでは、デフォルトのトラッキング防止により、とくに XHR リクエストで CF_authorization Cookie が送られないことがあります。解消するには、アプリケーションのドメインと チームドメイン をトラッキング保護の対象外にする必要がある場合があります。
アプリケーションのログインパスに Cloudflare Worker のルートが割り当てられていると、Worker が cf-authorization Cookie を上書きすることがあります。これを防ぐには、Worker スクリプトが Access Cookie の Set-Cookie ヘッダーを変更または削除しないようにしてください。
ユーザーにワンタイム PIN（OTP）メールが届かない場合:
- ポリシーによる拒否: ユーザーのメールアドレスがアプリケーションの Allow ポリシーに一致しない場合、Cloudflare は OTP メールを送りません。アカウント列挙を防ぐため、ログインページにはメールを送信した旨のメッセージが表示されます。
- メールの抑制: 以前の配信失敗により、ユーザーのメールが抑制リストに入っていることがあります。メールログを確認するか、抑制を解除するようサポートへ問い合わせてください。
エラー This One-Time PIN has already been used は、ユーザーが入力する前に OTP コードがすでに消費されたときに発生します。OTP コードは 1 回限りで、最初のリクエストから 10 分で期限切れになります。このエラーは、ネットワーク上のメールセキュリティまたはフィッシング対策ツールがメール内のリンクを自動でたどり、入力する前にコードを消費する場合にいちばんよく起きます。
解消するには、ログインページで Request new code を選択します。エラーが繰り返し起きる場合は、noreply@notify.cloudflare.com をメールセキュリティツールの許可リストに追加し、Cloudflare の認証メールをスキャンしないようにしてください。設定手順は ワンタイム PIN ログイン を参照してください。
Google Workspace の SSO プロバイダーとして Access を使う場合、Google Super Admin は admin.google.com へのアクセス時に Access 経由でサインインできません。Google は、管理コンソールへ常にアクセスできるよう、Super Admin に元の Google パスワードの使用を求めています。
SAML 認証中に Required attributes are missing エラーが出る場合、IdP が必須の email 属性を送っていることを確認してください。あわせて、IdP の設定 で属性名の誤字（例: groups と gropus）がないかも確認してください。
エラー Error 0: Bad Request. Please create a ca for application は、Access アプリケーション用の証明書がまだ生成されていないときに表示されます。アプリケーション用の CA を生成するには、SSH 短命証明書 を参照してください。
このエラーは、対象サーバーの SSH デーモン（sshd）の設定不備を示すことがよくあります。
- SSHD の設定:
PubkeyAuthenticationがyesで、TrustedUserCAKeysが正しい Cloudflare CA ファイルを指していることを確認してください。 - 複数の認証方式: Cloudflare Access for Infrastructure は現在、カンマ区切りの複数要件を持つ
AuthenticationMethods（例:publickey,keyboard-interactive）をサポートしていません。
エラー Access api error auth_domain_cannot_be_updated_dash_sso は、Cloudflare ダッシュボード SSO が有効な状態でチームドメインを変更しようとすると発生します。ダッシュボード SSO は現在、チームドメインの変更をサポートしていません。
Cloudflare Gateway 経由でプロキシされる接続はすべて、Access for Infrastructure の SSH ターゲットへのトラフィックを含め、保証される最大継続時間は 10 時間です。Gateway のリリース中に接続がアクティブだった場合、その 10 時間後に切断されます。
予期しない切断を防ぐため、あらかじめ決めたスケジュール（例: 8 時間のアイドルタイムアウト）でセッションを終了することを推奨します。SSH サーバーまたはクライアントの設定で ChannelTimeout を使って構成できます。
問題を解決できない場合は、サポートケースを開いてください。エラーを再現しながら取得した HAR ファイル と、エラーページが表示される場合は Ray ID を添えてください。