トークン形式

Cloudflare の API 認証情報は、プレフィックス付きのスキャン可能な形式を使います。認証情報スキャンツールが識別しやすくなります。認証情報の種類ごとに固有のプレフィックスがあり、その後ろに 40 文字とチェックサムが続きます。

認証情報の種類	説明	形式
Global API Key	ユーザーアカウントに紐づくグローバルキー（フルアクセス）	`cfk_[40 characters][checksum]`
User API Token	特定の権限向けに作成するスコープ付きトークン	`cfut_[40 characters][checksum]`
Account API Token	アカウントが所有し、特定ユーザーに紐づかないトークン	`cfat_[40 characters][checksum]`

既存のトークンは引き続き使えます。新しく作成するトークン、または再発行したトークンは、すべて自動でスキャン可能な形式になります。

漏洩トークンの検出

プレフィックス付き形式とチェックサムにより、認証情報スキャンツールは漏洩した Cloudflare トークンを高い確度で検出できます。Cloudflare は認証情報スキャンのプロバイダーと連携し、漏洩トークンを先回りして見つけて失効させ、悪用される前に止めます。

Cloudflare は GitHub の Secret Scanning プログラム ↗ に参加しています。GitHub は、パブリックリポジトリとプライベートリポジトリの両方で、すべてのコミットをスキャンし、Cloudflare API 認証情報を探します。

パブリックリポジトリ — GitHub が漏洩した Cloudflare トークンを検出すると、チェックサムでトークンを検証し、Cloudflare に webhook を送ります。Cloudflare はトークンを自動で失効させ、メールで通知します。差し替え用のトークンを発行してください。
プライベートリポジトリ — GitHub は漏洩した Cloudflare トークンを通知します。トークンをローテーションしてください。

スキャン可能な形式の導入前に作成したトークンは、プレフィックスなしの文字列です。これらのトークンは引き続き使えます。Cloudflare は旧形式と新形式の両方で漏洩トークンをスキャンし、失効させます。