安全でない JS ライブラリを置き換える

この機能をオンにすると、外部 JavaScript ライブラリへの URL を、Cloudflare がホストするライブラリへ自動で書き換えます。セキュリティとパフォーマンスが向上し、悪意のあるコードが注入されるリスクも下がります。

現在この書き換えが対応しているのは、polyfill.io でホストされている polyfill JavaScript ライブラリです。

仕組み

オンにすると、Cloudflare はプロキシされた HTTP(S) トラフィックを調べ、安全でない可能性があるサービスを指す src 属性付きの script タグを探します。見つかった src の値は、cdnjs ↗ でホストされる同等のリンクに置き換えます。

書き換え後の URL は、元の URL スキーム（http:// または https://）を維持します。

polyfill.io の URL 書き換えでは、polyfill ライブラリのすべての 3.* バージョンを /v3 パスでサポートします。あわせて /v2 パスもサポートします。/v3 パスで未知のバージョンが要求された場合は、ライブラリの最新 3.* バージョン（現在は 3.111.0）を使うよう URL を書き換えます。

利用可否

この機能はすべての Cloudflare プランで利用でき、Free プランではデフォルトでオンです。

設定

Cloudflare ダッシュボードで、セキュリティの Settings ページを開きます。
Settings を開く ↗
Replace insecure JavaScript libraries をオンまたはオフにします。

次のような PATCH リクエストを発行します。

Required API token permissions

At least one of the following token permissions is required:

Zone Settings Write

Edit zone settingbash

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/settings/replace_insecure_js" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"value": "on"
	}'

補足

pages.dev ゾーンは Free プランのため、これらのゾーンでは Replace insecure JavaScript libraries がデフォルトでオンになり、オフにはできません。