Cloudflare と WordPress 向け Jetpack は、追加の設定なしで併用できます。ただし、Jetpack のインストールを保護するためのセキュリティ機能があります。詳細は次のとおりです。
Cloudflare WAF のマネージドルール WP0007 は、すべての Cloudflare プランで xmlrpc.php ファイルを保護し、xmlrpc.php?for=jetpack クエリ文字列を Jetpack だけが使えるようにします。Cloudflare は、Jetpack の自動化システムが使う IP 範囲だけを許可します。そのため、正規の Jetpack IP アドレス以外から xmlrpc.php?for=jetpack へアクセスしようとすると、Cloudflare から HTTP 403 Forbidden が返されます。これは問題ではなく、サイトのセキュリティを高めます。Jetpack の機能には影響しません。
この対策を導入した経緯は、次のブログ記事を参照してください。
https://blog.cloudflare.com/our-waf-is-keeping-wordpress-jetpack-on-track/ ↗
Web Application Firewall (WAF) ↗ のマネージドルールには、有効にすると Jetpack のサーバーが設定を管理できなくなるルールがあります。WAF マネージドルール「WP0002 - Block WordPress XML-RPC」はデフォルトでは無効です。有効にすると、xmlrpc.php ファイルへのアクセスが完全に遮断されます。そのため、xmlrpc.php エンドポイントが攻撃を受けている緊急時にだけ、このルールを有効にすることを推奨します。
詳細は、サポートチームにお問い合わせください。