ボット対策

弊社のボット対策機能を使用すると、異なるトラフィックタイプがサイトでどのようにブロックまたは検証されるかを制御することができます。

この機能は、プラットフォームに組み込まれたセキュリティに新たなレイヤーを追加します。標準の保護機能により、悪意のあるトラフィックは自動的にブロックされます。これには、特定のエンドポイントを狙った攻撃や、既知の脅威に関連するIPアドレスからのアクセスのフィルタリングが含まれます。さらに、弊社の内部セキュリティ対策に加え、Cloudflareのエンタープライズレベルのファイアウォールが連携し、厳格なルールセットに基づいて受信トラフィックをフィルタリングします。これにより、ハッキングの試みやDDoS攻撃に関連するIPアドレスをブロックし、多くの攻撃をサーバーに到達する前に防ぎます。

また、弊社では日々の受信トラフィックを積極的に監視し、プラットフォーム全体における脅威や潜在的な感染の兆候を検出しています。お客様のデータを徹底的に保護するため、能動的・受動的なセキュリティ対策に加えて、その他の高度な保護機構とともにハードウェアファイアウォールを導入し、不正アクセスを防止しています。

デフォルトでは、弊社のプラットフォームレベルの防御により、悪意があると判断されたトラフィックの約15〜20%が、お客様のサイトに影響を及ぼす前にブロックされます。この基本レイヤーは、ネットワーク全体にわたる明らかに有害なリクエストや、既知の脅威ソースからのアクセスを対象としています。ただし、トラフィックの特性やビジネス要件はサイトごとに異なるため、より柔軟な制御が求められる場合もあります。弊社のボット対策は、この基本レイヤーを補完し、ピーク時の負荷軽減や、より厳格なセキュリティ制御の適用など、トラフィックの種類ごとに処理方法を細かく調整できるようにします。

弊社プラットフォームでは、ボットやクローラーであることを明確に識別できる既知のトラフィックは、プラン使用量の計算対象から自動的に除外されます。ボットやクローラーであることを明確に示すユーザーエージェントは、アクセス解析から除外され、使用量にもカウントされません。

本機能は、ボットであることを確実に判定できない場合でも、自動化されたアクセスや不正なアクセス、不審なアクセスを検出するための機能です。トラフィックの挙動を分析し、リクエストを複数のカテゴリに分類します。MyKinstaにおけるトラフィックの分類方法はこちらをご覧ください。

こうした分類は確率や行動分析に基づいているため、「自動化された可能性が高い」と分類されたトラフィックであっても、実際にサイトへ到達したリクエストは使用量としてカウントされる場合があります。使用量の計算対象から自動的に除外されるのは、自動化されたアクセスであることを明確に識別できるトラフィックのみです。

不審なトラフィックや自動化された可能性が高いトラフィックが大量に発生している場合は、本機能の対策レベルをより厳しくすることで、その影響を軽減することができます。例えば、可能性の高いボットに対して検証を要求したり、アクセスをブロックしたりすることで、サイトへ到達する自動化リクエストを減らし、パフォーマンスやリソース消費への影響を抑えます。

ボットとは

ボットとは、人間のユーザーではなく、自動化されたソフトウェアからのリクエストとして識別されるものです。弊社では、プラットフォーム全体で観測されたトラフィックパターンと業界標準に基づき、独自のボット分類システムを構築・運用しています。これにより、自動化されたトラフィック、特に大量のリクエストを生成したり、サイトへの負荷を増加させたりするボットを識別・分類しています。

さらに、これをCloudflareの機械学習ベースのリアルタイムボット分類によって補完しています。この仕組みでは、各リクエストに対して、ボットである可能性を示すスコア（1〜99）が割り当てられ、スコアが1に近いほど自動化されたリクエストである可能性が高く、99に近いほど人間によるアクセスである可能性が高いことを示します。

MyKinstaにおけるトラフィックの分類方法

MyKinstaでは、トラフィックが以下のカテゴリに分類されます。

• 検証済みのボット：Google、Bing、監視、SEOツールなど、正当で検証済みの企業からの自動トラフィックです。弊社では選択した対策レベルに関係なく、ほとんどの検証済みのボットが許可されます。検証済みボットには、Cloudflare公式の検証済みボットリストに掲載されている、弊社の稼働監視ボット、主要な検索エンジンのクローラー、各種APIボット（WordPress管理ツールを含む）、AIボットなどが含まれます。
  さらに、このリストに対して独自の分類ルールを適用しています。AIクローラーや過度なリクエストを送るクローラーは、検証済みのボットであっても再分類される場合があり、高い負荷を引き起こす自動トラフィックが適切に分類・管理されるようにしています。
  また、弊社が許可する検証済みのボットが、お客様のSEOや検索順位、AIを活用したツールでの可視性に悪影響を及ぼすことはありません。
• 人間の可能性が高い：通常の閲覧行動を示す、実際のユーザーである可能性が高い訪問者です。ボットスコアは30〜99の範囲です。
• ボットの可能性が高い：未確認の自動化トラフィックが検出された訪問者です。これらはボットである可能性が高く、ボットスコアは2〜29の範囲です。
• 未分類のトラフィック：明確に分類できないトラフィックで、量は非常に少なく、通常は無害です。主に、サイトがエラーページを返した際に発生するリクエストなど、オリジンサーバーに影響を与えない内部サービスからのリクエストで構成されます。全体のトラフィックの0.07%未満を占め、そのうち実際に配信されるのはおよそ3分の1程度です。
  
• 自動化トラフィック：人間のユーザーではなく、ソフトウェアによって生成された自動リクエストです。ボット対策レベルを「悪意のあるトラフィックをブロック」よりも高く設定すると、このトラフィックはブロックされます。
  このカテゴリには、WordPress管理ツールの一部、カスタムAPI連携、稼働状況監視、デプロイメントスクリプト、または適切な識別情報なしで自動リクエストを送信するサードパーティサービスなど、正当ではあるものの検証済みボットとして分類されないツールやサービスが含まれる場合があります。
  これらのツールをWordPressサイトで使用しており、かつ弊社のボット対策レベルを上げる場合は、それらがCloudflareの検証済みボットリストに掲載されているか確認することをおすすめします。リストに掲載されていない場合は、サービス提供元が検証申請を行うことで、ブロックを回避できる可能性があります。
  
• 悪意のあるトラフィック：攻撃、DDoS、不正利用などに関連するトラフィックです。弊社の標準的なセキュリティ対策の一環として、すべてのサイトで自動的にブロックされます。これには、DDoS緩和対策に加え、悪意のあるトラフィックに特有のIPやエンドポイントを対象としたグローバルルールが含まれます。これらの対策に加え、継続的な監視、ハードウェアファイアウォール、高度なセキュリティ対策を組み合わせて、サイトの安全を保護します。ベースラインのセキュリティ対策により、悪意のあるトラフィックの約15〜20%はサイトに到達する前にフィルタリングされますが、実際のユーザーを装う高度なボットに対しては、ボット対策のレベルを引き上げるなど、追加の対策が必要になる場合があります。
• AIクローラー：AIシステムで処理するためにサイトを巡回し、コンテンツを収集するボットです。従来の検索エンジンのクローラーと似ていますが、検索結果に表示するためのインデックス作成だけでなく、AIモデルのトレーニングや分析、機能提供に使用するデータも収集します。Cloudflareによって検証済みのボットやGPTBotのように、サイトへのアクセス時に自身の情報や目的を明示するAIクローラーもあります。一方、キャッシュされていないリソースを含めて頻繁にリクエストを送信し、大量のトラフィックを発生させるものもあり、サイトのパフォーマンスに影響を及ぼす可能性があります。
• 高頻度アクセスAIクローラー：サーバーのパフォーマンスやリソース使用量に悪影響を及ぼす可能性があるほど大量のリクエストを生成するAIクローラーです。このトラフィックには、認証済みのボットやAIツールを利用するユーザーによるものだけでなく、正規のボットを装うためにユーザーエージェントを偽装した自動化システムによるものも含まれます。また、設定が不適切なAIエージェントや監視されていないAIエージェントが、意図せず過剰なリクエストを発生させる場合もあります。対策レベル「ボットを検証」または「すべてのアクセスを検証」を選択すると、高頻度アクセスのAIクローラーに対して自動的に検証が実行されます。これにより、大量のリクエストを生成している正規ユーザーや認証済みサービスは、検証を通過することで正当なアクセスであることを証明できます。

検証とは

検証は、受信したトラフィックが実際のユーザーによるものか、あるいは自動化されたソフトウェアによるものかを判断するための追加ステップです。リクエストを即座に許可またはブロックするのではなく、フィルターのように機能し、正当な訪問者を通しつつ、多くの不要なボットを排除します。

リクエストが検証の対象になると、訪問者が正当であることを確認するためのステップが完了するまで、一時的に保留されます。この仕組みにより、不正または自動化されたトラフィックを抑えつつ、実際のユーザーへの影響を最小限に抑えることができます。

検証ステップには、以下のようなものがあります。

• ブラウザベースの検証（JavaScriptチェックなど）
• CAPTCHAやインタラクティブなテスト
• ユーザー操作を必要としないバックグラウンドでの自動検証

検証が正常に完了するとリクエストは許可され、訪問者はサイトにアクセスできます。一方、検証に失敗した場合や完了できない場合は、リクエストはブロックされます。正当なユーザーであれば、特別な操作なしでこの検証を通過できますが、自動化されたリクエストの多くはこのプロセスを完了できません。

一度検証に成功した訪問者は、同じブラウザとIPアドレスを使用している限り、少なくとも10日間は再度検証を求められることはありません。

Kinstaのボット対策の活用方法

弊社のボット対策は、いつ・どのように使用するかを柔軟にコントロールできます。サイトの状況や要件に応じて、必要なタイミングで対策レベルを引き上げたり、継続的に高いレベルの対策を適用したりすることも可能です。ただし、ボット対策は訪問者や各種連携サービスがサイトとどのようにやり取りするかに影響を与える可能性があるため、トレードオフを理解したうえで、意図的に使用することをおすすめします。

次のような状況では、より高いレベルのボット対策を利用することをおすすめします。

• トラフィックの急増時： サイトに突然トラフィックの急増が発生した場合、ボット対策のレベルを引き上げることで、すべての訪問者をブロックすることなく、悪意のある負荷を迅速に軽減できます。トラフィックの急増は、「サイト」＞（サイト名）＞「分析」＞「プランご利用状況」の「訪問数」セクションで確認できます。
• パフォーマンスの問題が見られる場合： サイトのパフォーマンスに問題が発生している場合、ボット対策のレベルを上げることで、自動化されたトラフィックが負荷の原因となっているかどうかを判断するのに役立ちます。パフォーマンスの状況は、「サイト」＞（サイト名）＞「分析」＞「パフォーマンス」タブで確認できます。
• 疑わしいトラフィックを評価したい場合：異常な挙動が見られるものの、すぐに完全ブロックしたくない場合は、ボット対策のレベルを引き上げることで、そのトラフィックが検証を通過できるかどうかを観察できます。これにより、より厳しい対策を講じる前に状況を見極めることができます。

活用例

次のようなケースでは、より高いレベルのボット対策を適用することをおすすめします。

• ECサイトで偽の購入手続きやカートスパムが発生している：カゴ落ちの急増、偽の注文やスパム登録、不明なIPアドレスや地域からのチェックアウトページやカートページへの大量アクセスなどが見られることがあります。
• 会員制サイトで総当たりログイン攻撃を受けている：ログイン失敗の繰り返し、ユーザーアカウントのロック、ログインページへのアクセス急増、セキュリティプラグインによる不審な認証アクティビティの警告などが発生することがあります。
• コンテンツサイトがAIクローラーによる大量スクレイピングの対象になっている：トラフィックの急増、帯域幅やサーバーリソースの異常な消費、記事ページやドキュメントページへのアクセス増加、ログやアクセス解析におけるクローラー活動の増加などが見られることがあります。
• マーケティングサイトで過剰なボットアクセスによりアクセス解析データの精度が下がっている：訪問者数の異常な増加、現実的ではないエンゲージメント指標、不審な参照元トラフィック、実際のユーザー行動を伴わない大量のアクセスなどが確認されることがあります。
• 大規模な製品リリースやセール時に、不正なアクセスへの対策を強化したい：在庫情報のスクレイピング、フォームの悪用、サイトへの過剰な負荷、不公平なアクセス獲得などを目的としたボットの影響を、トラフィック増加時でも最小限に抑えることができます。

長期的または継続的な使用における考慮事項

より高いレベルのボット対策を長期間有効にしておくことも可能ですが、その場合は以下のような影響が生じる可能性があります。

• ユーザー体験への影響：すべての訪問者に検証を適用する設定では、軽微なものであっても、訪問者に追加の確認ステップが発生します。ほとんどのユーザーはこのプロセスをスムーズに通過でき、長期間にわたって一度だけ求められるため、その後のリクエストは中断なく処理されます。ただし、モバイル端末や通信速度の遅い環境では、ごく一部のユーザーがわずかな遅延を感じる場合があります。それでも、この方法はユーザー体験とのバランスを保ちながら、見えにくいボットアクセスを大幅に減らすのに役立ちます。
• アクセシビリティへの懸念：一部の検証方法、特にCAPTCHAは、支援技術を利用しているユーザーにとって負担になったり、場合によっては利用が難しくなったりすることがあります。
• 正当な自動化への影響：検証されていないAPIや自動化サービスは、ブロックまたは検証の対象となり、連携が中断される可能性があります。ビジネス上重要な連携や、サイトに接続するサードパーティツールについては、Cloudflareの検証済みボットリストに掲載されているかを確認することをおすすめします。掲載されていない場合は、サービス提供元が検証申請を行うことで、ブロックや影響を回避できる可能性があります。代表的な例としては、カスタム連携、セルフホスト型の監視ツール、デプロイ自動化などがあります。
• SEOとパフォーマンスへの考慮：GoogleやBingなど、広く認知されている検索エンジンのクローラーは検証済みボットとして扱われるため、通常は影響を受けません。一方で、知名度の低いSEOクローラーや未検証の特化型ツールは、検証の対象となる場合があります。

最終的に、ボット対策をいつ利用するか、またどのレベルの対策を適用するかは、お客様の判断に委ねられます。変更を行う際は慎重にテストし、サイトのトラフィック傾向、パフォーマンス、目指すユーザー体験に応じて設定を調整することをおすすめします。

ボット対策機能によってプラグイン、連携機能、またはAPIの動作に問題が発生する場合、「通常のWordPress自動処理を許可」を有効にするか、「常に許可」の設定で例外を追加してください。

外部セキュリティレイヤーとの併用

Cloudflareは、WAFやボット対策機能を有効にしない限り、弊社のボット対策と併用できます。両方を有効にしている場合は、まずCloudflare側でトラフィックが評価されます。その段階でブロックされたリクエストは弊社に到達しないため、ボット対策はCloudflareを通過したトラフィックにのみ適用されます。

弊社のボット対策と、追加のカスタムボット対策ルールを併用することは推奨されません。複数の保護レイヤーを同時に適用すると、分類の不一致が発生し、正当なトラフィックが誤ってボットと判定されてブロックされる可能性があります。その結果、正常なアクセスが中断されたり、サイトへのアクセスが完全に遮断される場合もあります。

また、弊社のボット対策は、AWS、Microsoft Azure、Sucuri、Fortinet、他のCDN、またはリバースプロキシ構成などのサードパーティプラットフォームでは利用できません。これは、トラフィックの元の送信元を正確に特定できず、リクエストが人間によるものか自動化されたものかを適切に判断できないためです。

カスタムWAFルールとの併用

弊社カスタマーサポートによって管理対象のカスタムルールが設定されている場合、ボット対策に以下のような通知が表示されます。

弊社が管理するボット対策ルールと、弊社スタッフが設定した管理対象のカスタムルールおよび「常に許可」例外は、いずれも受信リクエストに対して評価されます。

通常は、弊社のボット対策ルールが最初に評価されます。リクエストがこれらのルールのいずれかに一致した場合は、対応するアクション（許可、ブロック、または検証）が適用されます。一方、管理対象ルールに一致しなかった場合は、該当する弊社管理のカスタムルールが評価され、リクエストが許可またはブロックされることがあります。

一部のケースでは、弊社管理のカスタムルールが、ボット対策ルールよりも先に評価されるよう設定されることがあります。この場合は、カスタムルールが優先されます。例えば、すべてのトラフィックを許可してWAFをバイパスするルールが設定されている場合、それらのリクエストにはボット対策やその他の管理対象セキュリティルールは適用されません。

サイトに適用されている弊社管理のカスタムルールについて詳しく知りたい場合や、カスタムルールまたは例外の変更が必要な場合は、カスタマーサポートまでお問い合わせください。

ボット対策レベルの変更

ボット対策のレベルを変更するには、「サイト」＞（サイト名）＞「ボット対策」に移動し、「対策レベル」セクションの「変更する」をクリックします。

複数のサイトの対策レベルを一括で変更する場合は、「サイト」画面で対象のサイトを選択し、「操作」＞「ボット対策の変更」をクリックします。

MyKinstaでボット対策レベルは、以下の4つから選択可能です。

• 悪意のあるトラフィックをブロック：デフォルトの対策レベルです。悪意のあるトラフィックは、ベースラインのセキュリティ対策の一環として、すべてのサイトで自動的にブロックされます。これには、DDoS対策や、悪意のあるトラフィックに特有のIPおよびエンドポイントを対象としたグローバルルールが含まれます。
• 自動化されたアクセスをブロック：自動化されたトラフィックと悪意のあるトラフィックの両方をブロックします。
• ボットを検証：自動化されたトラフィックと悪意のあるトラフィックをブロックし、ボットである可能性が高いものと未分類のトラフィックを検証します。
• すべてのアクセスを検証：最も高い対策レベルです。自動化されたトラフィックと悪意のあるトラフィックをブロックし、人間・ボット・未分類のトラフィックを検証します。

MyKinstaにおけるトラフィックの分類方法はこちらをご覧ください。

各項目のアイコンは以下を意味します。

• 許可：検証なしで許可されるトラフィック
• 検証：検証が実行され、検証を通過した場合のみアクセスが許可されるトラフィック（詳細はこちら）
• ブロック：ブロックされるトラフィック

任意のレベルを選択したら、「ボット対策レベルを変更」をクリックして完了です。

リクエストの内訳

このグラフには、過去24時間にサイトへ送信されたすべてのリクエストと、それぞれがKinstaでどのように分類されたかが表示されます。

• 人間の可能性が高い：通常の閲覧行動を示す実際の訪問者からのトラフィック
• 検証済みボット：GoogleやBingをはじめ、監視ツールやSEOツールなど、正当なサービス提供元による検証済みの自動トラフィック
• ボットの可能性が高い：検証されていない自動化トラフィックで、ボットによるものと考えられるリクエスト
• AIクローラー：AIモデルの学習や分析、サービス提供のためにサイトのコンテンツを収集するボットからのトラフィック
• 過剰なアクセス頻度のAIクローラー：サーバーリソースに負荷をかける頻度でリクエストを送信するAIクローラーからのトラフィック
• 未分類のトラフィック：通常は無害なトラフィック。エラーページへのリクエストなどの内部サービスによるアクセスが含まれ、オリジンサーバーには影響しない。
• 自動化トラフィック：人間ではなくソフトウェアによって生成されたことが確認されたリクエスト。検証済みボットには分類されないWordPress管理ツール、カスタムAPI連携、稼働監視ツール、デプロイスクリプトなどが含まれる。
• 悪意のあるトラフィック：攻撃、DDoS、その他の不正アクセスによるトラフィック
• カスタムルール：サイトに設定された弊社管理のカスタムルールに一致したリクエスト
• WordPressの自動処理：WordPressの一般的な機能、連携、バックグラウンド処理による自動リクエスト。これらは「通常のWordPress自動処理を許可」で許可またはブロック可能。

MyKinstaにおけるトラフィックの分類方法はこちらをご覧ください。各リクエストにカーソルを合わせると、以下の内訳が表示されます。

• 許可：サイトへのアクセスが許可されたリクエスト
• 検証：検証が実行され、認証に失敗したためブロックされたリクエスト
• ブロック：設定したボット対策レベルに基づき、即座にブロックされたリクエスト

「分析」画面の「ボットアクセス」タブでは、リクエスト数、ボット対策状況、上位のトラフィックのデータを確認できます。トラフィック上位の情報をチャートで確認することもできます。

AIクローラーをブロックする

AIクローラーは、AIシステムによって処理されるサイトのコンテンツを収集するためにスキャンを行うボットです。従来の検索エンジンクローラーと似ていますが、単に検索結果のためにページをインデックスするだけでなく、AIモデルの学習や分析、機能強化のためのデータ収集にも利用されます。

AIクローラーの中には、Cloudflareで検証されたボットやGPTBotのように、自身の識別情報や目的を明確に示してアクセスするものもあります。その一方で、キャッシュされていないアセットへのリクエストなどを頻繁に行うことで、大量のトラフィックを発生させ、サイトのパフォーマンスに影響を与える可能性があるものも存在します。

弊社のボット対策では、検証済みのものを含め、必要に応じてAIクローラーを完全にブロックすることが可能です。なお、この設定はAIクローラーのみを対象としており、GooglebotやBingなどの検索エンジンクローラーは対象外となります。

この機能は、大量トラフィックやパフォーマンスの問題がボットに起因するかどうかを判断する際に役立ちます。ただし、クローラーの中には検索エンジンによるインデックス作成に使用されるものだけでなく、検索体験や要約、レコメンドなどでコンテンツを表示するAIツールに利用されるものもあるため、ブロックすることで、検索結果でのサイトの表示に影響が出る可能性があります。

また、不要なトラフィックやサーバー負荷を軽減できますが、検索エンジンやAIベースの検索結果におけるサイトの可視性が低下する可能性もあります。そのため、設定の変更は慎重に行い、トラフィックやSEOパフォーマンスへの影響を継続的に確認することをおすすめします。

AIクローラーのブロックによってプラグイン、連携機能、またはAPIの動作に問題が発生する場合は、「通常のWordPress自動処理を許可」を有効にするか、「常に許可」で例外を追加してください。

AIクローラーをブロックするには、「サイト」＞（サイト名）＞「ボット対策」に移動し、「AIクローラーのブロック」のトグルをオンにします。

複数のサイトに対して一括で適用するには、「サイト」画面で対象のサイトを選択し、「操作」＞「AIクローラーブロックの変更」をクリックします。

活用例

通常のWordPress自動処理を許可

この設定では、バックグラウンドで自動実行される一般的なWordPress機能や連携を許可します。

弊社では、WordPressサイトで一般的に利用されるWordPressの機能やツール、サードパーティサービスを許可リストとして管理しています。

以下のような機能をサイトで使用している場合は、この設定を有効にしてください。

• プラグインや連携機能（SEOツール、フォーム、解析ツールなど）
• WordPress REST API（/wp-json/）
• 予約投稿、更新処理、cronジョブ、データ同期などのバックグラウンド処理

サイトのコンテナ内、または弊社が管理する内部インフラから発生するリクエストは常に許可され、この設定の影響を受けません。これには、/wp-json/などのエンドポイントへの内部リクエストや、WP-Cronをはじめとする、弊社管理下のWordPress自動処理が含まれます。ほとんどの場合、これらのエンドポイントへの外部アクセスをブロックしても、WordPressの通常の機能に影響はありません。コアの定期実行タスクは引き続き内部で実行されます。

また、プラットフォームに内部IPアドレスの許可リストが組み込まれているため、より厳格なボット対策を有効にしている場合でも、WordPressの基本機能や弊社の各種サービスは正常に動作します。

自動化トラフィックをより厳格に管理し、細かな制御を行いたい場合は、この設定を有効にせず、「常に許可」 に必要な例外を個別に追加することもできます。

この設定はデフォルトでは無効になっています。より厳格な対策レベルを有効にしている状態でこの設定が無効になっていると、一部のプラグインや外部サービスとの連携、WordPressの自動処理が意図せずブロックされたり、検証の対象になったりする可能性があります。

1つのサイトで「一般的なWordPressの自動処理を許可」を有効にするには、「サイト」＞（サイト名）＞「ボット対策」に移動し、「通常のWordPress自動処理を許可」をオンにします。

複数のサイトで一括して許可するには、「サイト」画面で対象サイトのチェックボックスを選択し、「操作」をクリックして「WordPress自動処理の許可設定を変更」を選択します。

活用例

• WooCommerceサイト：注文情報、在庫データ、サブスクリプション情報、顧客データなどをサードパーティサービスと同期する場合。
• お問い合わせフォームプラグイン：送信されたフォームデータをCRM、ヘルプデスクシステム、メールマーケティングツールへ連携する場合。
• SEOプラグイン：インデックス作成、メタデータ管理、サイトマップ生成などのために、WordPress REST API（/wp-json/*）へアクセスする場合。
• 予約投稿、WP-Cronタスク、自動更新、バックグラウンド処理：WordPress内で自動的に実行される各種処理。
• アクセス解析、翻訳、サイト内検索、最適化サービス：バックグラウンドでサイトと通信する各種サービス。
• モバイルアプリやヘッドレス構成のWordPress：REST APIを利用してコンテンツの取得や更新を行う場合。
• 自動化プラットフォームや外部連携サービス：Zapier、Make（旧Integromat）、Slack、Webhookベースのサービスなどを利用する場合。
• 外部監視サービスや稼働監視ツール：サイトの可用性やパフォーマンスを定期的に確認する場合。

例外

「例外」セクションでは、有効にしているボット対策レベルにかかわらず、特定のIPアドレス、パス、ユーザーエージェント、国・地域からのアクセスを許可、検証、またはブロックできます。

これにより、特定のトラフィックに対するボット対策の動作を個別に設定できます。たとえば、監視ツールや安全であることが確認できているIPアドレスからのアクセスを常に許可したり、特定の国・地域や不審なユーザーエージェントなど、信頼できないアクセス元からのトラフィックを検証またはブロックしたりすることができます。

例外の優先順位

これらの例外を設定すると、ボット対策による検証やブロックのルールよりも優先して適用されますが、弊社の基本となるセキュリティ対策は無効になりません。悪意のあるリクエストと判断された場合や、プラットフォームレベルのセキュリティルールに違反する場合は、サイトおよび弊社プラットフォームを保護するため、引き続きブロックされることがあります。

弊社のセキュリティ対策とは別に、同じリクエストに複数の例外が該当する場合は、「許可」→「検証」→「ブロック」の順に優先されます。例外の一覧も、この優先順位に従って表示されます。

複数の例外に一致する場合は、優先順位の高い設定が適用されます。「許可」は常に「検証」と「ブロック」より優先され、「検証」は「ブロック」より優先されます。

この優先順位は、例外の条件が重複する場合に特に重要です。たとえば、ある国・地域全体からのアクセスを許可し、同時に特定のIPアドレス、ユーザーエージェント、またはパスをブロックしている場合、その国・地域からのリクエストはブロックの条件にも一致していても許可されます。これは、「許可」が「ブロック」より優先されるためです。

例

• 国・地域 Germany（ドイツ）からのアクセスを許可する例外を追加
• ユーザーエージェント BadBot をブロックする例外も追加
• ドイツからBadBotのユーザーエージェントを使用したリクエストが送信される
• このリクエストは「許可」（Germany）と「ブロック」（BadBot）の両方のルールに一致しますが、「許可」が優先されるため、リクエストは許可される

許可している国・地域からであっても特定のボットをブロックしたい場合は、より対象を絞ったルールを設定する必要があります。たとえば、国・地域全体を許可するルールを設定せずに、そのユーザーエージェントをブロックする方法や、IPアドレス単位で例外を設定する方法があります。例外の優先順位は、IPアドレス、パス、ユーザーエージェント、国・地域といった条件の種類ではなく、「許可」「検証」「ブロック」のアクションによって決まります。

大陸と国・地域の間でも同じルールが適用されます。大陸全体からのアクセスを許可している場合、その中の特定の国・地域だけをブロックすることはできません。「ブロック」の条件がより具体的であっても、「許可」が「ブロック」より優先されるため、大陸単位の「許可」が適用されます。

例

• 大陸 Europe（ヨーロッパ）からのアクセスを許可する例外を追加
• 国・地域 Germany（ドイツ）からのアクセスをブロックする例外も追加
• ドイツからリクエストが送信される
• このリクエストは「許可」（Europe）と「ブロック」（Germany）の両方のルールに一致するが、「許可」が優先されるため、リクエストは許可され、国・地域単位のブロックは適用されない

許可している大陸から特定の国・地域だけを除外したい場合、「ブロック」ルールを使用することはできません。大陸全体を許可するのではなく、アクセスを許可したい国・地域ごとに「許可」の例外を追加してください。

例外の追加

例外を追加するには、「例外を追加」をクリックします。

例外を適用する対象を選択し、一致するリクエストを許可、検証、またはブロックするかを選択します。

• IPアドレス：IPアドレスを入力します。IPv4アドレス（例：192.168.1.1）、IPv6アドレス（例：2001:0db8:85a3:0000:0000:8a2e:0370:7334）、または単一のIPアドレスではなくIPアドレスの範囲を指定するCIDRブロックを使用できます（例：192.168.1.0/24では、192.168.1.0〜192.168.1.255の範囲が対象になります）。複数のIPアドレスを追加する場合は、1行に1件ずつ入力します。
• パス：サイト上のパスを入力します。複数のパスを追加する場合は、1行に1件ずつ入力します。ワイルドカードには対応していません。デフォルトでは前方一致（Starts With）が使用されるため、パスの先頭部分を入力すると、その文字列で始まるすべてのURLが対象になります。たとえば、/wp-json/を入力すると、以下のようなURLがすべて一致します。
  • /wp-json/wp/v2/posts
  • /wp-json/wp/v2/pages
  • /wp-json/custom-endpoint
• ユーザーエージェント：ユーザーエージェントを入力します。たとえば、独自の監視サービスであればMyCompanySiteMonitor、SlackであればSlackbotと入力します。複数のユーザーエージェントを追加する場合は、1行に1件ずつ入力します。
• 国・地域：国・地域または大陸を検索します（例：United States、Germany、Japan、Brazil、Europe）。

一致するリクエストの処理方法として、「許可」「検証」「ブロック」のいずれかを選択します。

例外は最大50件まで追加できます。必要な情報を入力したら、「例外を追加」をクリックして保存します。

一般的な例

監視サービス・稼働監視ツール

• Pingdom
• UptimeRobot
• StatusCake

決済サービス・外部サービス

• PayPal IPN
• Stripe webhooks
• Shopify integrations

APIエンドポイント

• /wp-json/
• /wp-admin/admin-ajax.php
• /webhooks/

IPアドレス

• オフィスの固定IPアドレス
• 開発チームが利用するVPNのIPアドレス
• 制作会社やクライアントのIPアドレス

検索エンジン・クローラー

• Googlebot
• Bingbot

サードパーティ連携

• Zapier
• Slack webhooks
• Mailchimp
• HubSpot

国・地域に基づくアクセス制御

特定の地域のユーザーのみを対象とするサイトでは、対象となる国・地域からのアクセスだけを許可し、それ以外をブロックまたは検証することができます。たとえば、地域密着型のビジネスでUnited StatesとCanadaからのアクセスのみを許可したり、サービスを提供していない、または商品の配送対象外となっている国・地域からのアクセスをブロックしたりすることができます。

ヘッドレス構成のWordPressサイト

フロントエンドアプリケーションがWordPress APIに依存している場合は、/wp-json/を常に許可することをおすすめします。

上位のトラフィック

過去24時間のトラフィックについて、アクセス数の多いパス、ユーザーエージェント、国・地域、IPアドレスを表示します。ドロップダウンから「悪意のあるトラフィック」「自動化トラフィック」「AIクローラー」などのトラフィックタイプを選択すると、その種類に応じたデータが表示されます。

MyKinstaにおけるトラフィックの分類方法はこちらをご覧ください。

ボットアクセスチャートに見られるスパイク

サイトが大規模なDDoS攻撃を受けた場合、弊社プラットフォームでは、99%以上の悪意のあるトラフィックがブロックされます。しかし、ごく一部のリクエストは通常のアクセスと非常によく似ているため、悪意のあるトラフィックと判別することが極めて難しく、オリジンサーバーまで到達する場合があります。

このわずかなトラフィックは、大規模な攻撃時には通常時の100〜3,000倍、あるいはそれ以上になる可能性があります。ボット対策機能をご利用の場合、このようなリクエストもボット対策ルールに基づいて評価され、ブロックされます。

そのため、攻撃が発生した日のボットアクセス関連のチャートには、大きなスパイクが表示され、それ以外の日のトラフィックがほとんど表示されないことがあります。しかし、これは他の日にトラフィックがなかったことを意味するものではありません。攻撃時のトラフィック量が極端に多いため、通常時のトラフィックが同じスケールでは目立たなく表示されるためです。

たとえば、以下のようになります。