認証済みオリジンプル（mTLS）

認証済みオリジンプル（Authenticated Origin Pulls、AOP）は、オリジンサーバーへのリクエストが Cloudflare ネットワークから来ていることを確認するのに役立ちます。Full または Full (strict) 暗号化モードの上に、さらにセキュリティ層を追加します。

AOP がないと、オリジンサーバーの IP アドレスを知っている人は、Cloudflare とその保護をすべて迂回して、直接リクエストを送れます。AOP を Cloudflare Web Application Firewall (WAF) と組み合わせると、オリジンは Cloudflare を経由したリクエストだけを受け入れます。サーバーに届く前に、すべてのリクエストが WAF で評価されます。

提供状況

	Free	Pro	Business	Enterprise
提供状況	あり	あり	あり	あり

設定レベル

AOP には、独立した 3 つの設定レベルがあります。それぞれ独自の証明書と有効化設定を使い、オリジンサーバー側の設定も必要です。詳細は各セットアップガイドを参照してください。

グローバル: Cloudflare が提供し、全 Cloudflare アカウントで共有する証明書を使います。ゾーン上のプロキシされたすべてのトラフィックに適用されます。設定は最も簡単ですが、リクエストが Cloudflare ネットワークから来ていることだけを保証します。
ゾーンレベル: アップロードした証明書を使います。ゾーン上のプロキシされたすべてのトラフィックに適用されます。証明書がアカウント専用のため、より厳しいセキュリティになります。ゾーンレベルの証明書は、グローバル証明書より優先されます。
ホスト名単位: アップロードした証明書を、特定のホスト名に適用します。指定したホスト名では、ホスト名単位の証明書がゾーンレベルおよびグローバルの証明書より優先されます。

独自の証明書を使う場合

グローバル AOP は、全アカウントで共有する Cloudflare 提供の証明書を使うため、リクエストが Cloudflare ネットワークから来たことだけを証明します。特定のアカウントから来たことは証明しません。リクエストが自分のアカウントから来ていることを保証するには、独自の証明書でゾーンレベルまたはホスト名単位の AOP を設定します。

独自の証明書は、FIPS ↗ 準拠にも必要です。オリジン保護のより広いガイダンスは、オリジンサーバーを保護するを参照してください。

ポスト量子証明書

ゾーンレベルおよびホスト名単位の AOP は、ML-DSA（FIPS 204）のポスト量子クライアント証明書に対応しています。証明書の生成とアップロードは、ポスト量子署名を参照してください。