訪問者がドメインのコンテンツをリクエストすると、Cloudflare はまずキャッシュから配信を試みます。この試行が失敗すると、Cloudflare はコンテンツを取得するため、オリジン Web サーバーへリクエスト（origin pull）を送ります。
Authenticated Origin Pulls は、これらの origin pull がすべて Cloudflare から来ることを保証します。言い換えると、Cloudflare の外からの HTTPS リクエストには、オリジンから応答が返らないようにします。
この遮断は、Cloudflare の プロキシされていない DNS レコード へのリクエストにも適用されます。
Cloudflare は、Cloudflare とオリジン Web サーバーの間で接続を確立するときに、TLS クライアント証明書認証を追加して Authenticated Origin Pulls を強制します。
詳細は、紹介ブログ ↗ を参照してください。
詳細は TLS ハンドシェイクとは ↗ を参照してください。
標準 TLS ハンドシェイク
クライアント認証付き TLS ハンドシェイク
Authenticated Origin Pulls がない場合、Cloudflare はクライアント端末と Cloudflare の間、および Cloudflare とオリジンの間で、標準 TLS ハンドシェイクを行います。 Full または Full (strict) の暗号化モードを有効にしていても同じです。
flowchart TD
accTitle: Authenticated Origin Pulls がない場合の接続図
A[エンドユーザーのクエリ: <code>example.com</code>] --標準 TLS ハンドシェイク--> B[Cloudflare ネットワーク]
B --標準 TLS ハンドシェイク--> C[オリジンサーバー]
D[外部デバイス] --標準 TLS ハンドシェイク ----> C
認証がないため、オリジンが Cloudflare の背後で保護 されていても、オリジンの IP アドレスを知る攻撃者は HTTPS リクエストに対してオリジンから応答を受け取れます。
Authenticated Origin Pulls がある場合、Cloudflare はクライアント端末と Cloudflare の間では標準 TLS ハンドシェイクを行い、Cloudflare とオリジンの間ではクライアント認証付き TLS ハンドシェイクを行います。
flowchart TD
accTitle: Authenticated Origin Pulls がある場合の接続図
A[エンドユーザーのクエリ: <code>example.com</code>] --標準 TLS ハンドシェイク--> B[Cloudflare ネットワーク]
B --クライアント認証付き TLS ハンドシェイク--> C[オリジンサーバー]
D[外部デバイス] --標準 TLS ハンドシェイク -----x C
この追加の認証層により、Cloudflare の外からの HTTPS リクエストには、オリジンから応答が返らなくなります。