Cloudflare SSL for SaaS：0円SSL

B2BマルチテナントSaaSにおける手動インフラの悲劇：顧客カスタムドメインとSSL発行

Notion、Shopify、Vercel、Framer、TypeformのようなB2BエンタープライズSaaSアプリケーションを運用していると、顧客企業（テナント）が自社のブランドドメイン（app.customer-company.com）を当社のSaaSプラットフォームへ接続したいという要望が爆発的に発生します。

しかし、そのために従来広く使われてきたAWS NGINX Reverse Proxy + Certbot (Let’s Encrypt) + AWS ACMクラスタアーキテクチャは、顧客企業が100社、1,000社と増えるたびに深刻なインフラ管理地獄とコスト爆発を引き起こします。

1. NGINX設定ファイルおよびメモリの急増: 顧客カスタムドメインが増えるたびに server { listen 443; server_name app.customer.com; ... } ブロックが無制限に増大し、NGINXプロセスメモリが非線形で膨張します。
2. Certbot Let’s Encrypt 90日期限切れ再発行障害: 1,000個のドメインのSSL証明書更新時にRate Limit超過やDNS検証エラーが発生し、顧客ドメインに NET::ERR_CERT_DATE_INVALID セキュリティ警告画面が表示されるリアルタイム監視の緊急事態が発生します。
3. AWS Load Balancer & NGINX EC2サーバー請求書: SSLハンドシェイクを処理するためのロードバランサー（ALB）ターゲットグループ指定手数料およびEC2ロード分散クラスタサーバー費用により、毎月$300~$1,500が課金されます。

[B2BマルチテナントSaaSカスタムドメイン課金および手動管理の悲劇]
顧客ドメイン (app.customer.com) -> AWS NGINX Certbotクラスタ ($650/月 管理費) -> SSL期限切れ障害誘発
                                     * NGINXサーバーファイル直接修正 & 90日更新手動監視が必要！

2025/2026年現在、この手動インフラ障害を完璧に打破したエッジアーキテクチャこそがCloudflare Custom Hostnames (SSL for SaaS) & Workers Fallback Originパイプラインです。

顧客企業が自社ドメインのCNAMEレコードを当社のFallback Origin Worker（fallback.my-saas.com）に向けるだけで、Cloudflare APIが5秒でLet’s Encrypt / Google Trust Services TLS証明書をエッジで自動発行し、SSL管理手数料$0で完璧に配信します。

本ガイドでは、Cloudflare SSL for SaaSの仕組みからFallback Origin Workerの構築、Custom Hostnames REST APIによる自動発行、custom_metadataを利用した顧客テナントの動的バインディング、そしてベンチマークまで詳細に解説します。

Cloudflare Custom Hostnames (SSL for SaaS) ハイブリッドアーキテクチャ

顧客側はCNAMEたった1行を追加するだけで、CloudflareエッジノードがTLSハンドシェイクとテナントルーティングを完全自動で処理します。

+-----------------------------------------------------------------------------------+
| Cloudflare Custom Hostnames (SSL for SaaS) マルチテナントルーティングパイプライン     |
+-----------------------------------------------------------------------------------+

[顧客ドメイン: app.customer-company.com (CNAME -> fallback.my-saas.com)]
                                       |
                                       v
[Cloudflare Edge SNI / SSL ハンドシェ이크 (5秒動的発行完了)]
                                       |
                    [Fallback Origin Worker エッジランタイム]
                                       |
       +-------------------------------+-------------------------------+
       |                                                               |
 (A) customHostnameMetadata 検出                               (B) テナント DB 0.1ms 検索
   - tenant_id: "tenant_corp_992"                                - 顧客ごとのカスタムテーマ配信
   - custom_domain: "app.customer-company.com"                   - データ隔離およびルーティング
       |                                                               |
       +-------------------------------+-------------------------------+
                                       |
                                       v
                [SSL管理費 $0 & 100% 自動化された SaaS サービスレスポンス]

1. Fallback Origin Workerの宣言: すべての顧客カスタムドメインリクエストが当社の fallback.my-saas.com Workerへ集約されるよう、単一のエッジオリジンを登録します。
2. Custom Hostnames APIの動的発行: 顧客がウェブダッシュボードでドメインを入力した瞬間、Cloudflare APIがエッジ側でLet’s Encrypt / Google Trust Services証明書を5秒で新規発行します。
3. customHostnameMetadata のエッジ検出: 顧客ドメインごとのテナント識別子（tenant_id、custom_theme）をCloudflare TLSハンドシェ이크時点でWorkerへ注入（c.req.raw.cf?.customHostnameMetadata）し、NGINXの再起動を伴わない0msのマルチテナント分岐を完成させます。

ステップ1：Custom Hostname動的登録APIサービスの実装 (src/custom_domain_service.ts)

顧客が当社のSaaSアプリダッシュボードからドメインを登録する際に、Cloudflare REST APIを呼び出してSSL証明書およびCNAME検証を自動申請するルートを実装します。

// src/custom_domain_service.ts
import { Hono } from "hono";

type Env = {
  Bindings: {
    CF_ZONE_ID: string;
    CF_API_TOKEN: string;
    FALLBACK_ORIGIN: string; // 例: fallback.my-saas.com
  };
};

const app = new Hono<Env>();

// 1. 顧客カスタムドメインの新規登録およびSSL証明書の5秒自動申請
app.post("/api/v1/domains/register", async (c) => {
  const { customDomain, tenantId, theme } = await c.req.json<{
    customDomain: string;
    tenantId: string;
    theme: string;
  }>();

  const zoneId = c.env.CF_ZONE_ID;
  const apiToken = c.env.CF_API_TOKEN;

  // Cloudflare Custom Hostnames REST API 呼び出し
  const response = await fetch(
    `https://api.cloudflare.com/client/v4/zones/${zoneId}/custom_hostnames`,
    {
      method: "POST",
      headers: {
        "Authorization": `Bearer ${apiToken}`,
        "Content-Type": "application/json",
      },
      body: JSON.stringify({
        hostname: customDomain,
        ssl: {
          method: "http", // HTTP / CNAME 自動認証
          type: "dv",     // Domain Validated (Let's Encrypt / Google Trust)
          settings: {
            min_tls_version: "1.2",
            http2: "on",
          },
        },
        // 2025/2026の核心：エッジWorkerへ自動注入されるテナントカスタムメタデータ
        custom_metadata: {
          tenant_id: tenantId,
          theme_mode: theme,
          created_at: new Date().toISOString(),
        },
      }),
    }
  );

  const result = await response.json();
  if (!response.ok) {
    return c.json({ error: "Failed to register custom hostname", details: result }, 400);
  }

  // 2. 顧客へCNAMEガイドを提供
  return c.json({
    success: true,
    customDomain: customDomain,
    cnameTarget: c.env.FALLBACK_ORIGIN,
    status: result.result.status, // pending_validation -> active
    verificationTxt: result.result.ownership_verification?.text_name,
  });
});

export default app;

ステップ2：Fallback Origin Worker & エッジテナント検出 (src/index.ts)

顧客ドメインへ入ってくるすべてのHTTP/HTTPSリクエストをエッジで検出し、customHostnameMetadataを取り出してテナントごとのカスタマイズサービスを配信します。

src/index.ts

// src/index.ts
import { Hono } from "hono";
import customDomainApp from "./custom_domain_service";

type CustomMetadata = {
  tenant_id?: string;
  theme_mode?: string;
  created_at?: string;
};

const app = new Hono();

// ドメイン登録管理APIルートの連携
app.route("/", customDomainApp);

// 顧客カスタムドメインのエントリポイント (Fallback Origin Worker)
app.get("*", async (c) => {
  const url = new URL(c.req.url);
  const hostname = url.hostname;

  // 1. CloudflareエッジノードがTLSハンドシェ이크時点で注入したカスタムメタデータを受信
  const cfProps = c.req.raw.cf as unknown as {
    customHostnameMetadata?: CustomMetadata;
  };

  const metadata = cfProps?.customHostnameMetadata;
  const tenantId = metadata?.tenant_id || "default_public";
  const themeMode = metadata?.theme_mode || "light";

  // 2. テナントの別途DBインデックス検索0秒！メタデータからテナント識別子を即時活用
  return c.html(`
    <!DOCTYPE html>
    <html lang="ja">
    <head>
      <meta charset="UTF-8">
      <title>${hostname} - Multi-Tenant Enterprise SaaS</title>
      <style>
        body {
          background-color: ${themeMode === "dark" ? "#121212" : "#ffffff"};
          color: ${themeMode === "dark" ? "#ffffff" : "#000000"};
          font-family: system-ui, sans-serif;
          padding: 3rem;
        }
        .badge {
          background: #6366f1;
          color: white;
          padding: 0.25rem 0.75rem;
          border-radius: 9999px;
          font-size: 0.875rem;
        }
      </style>
    </head>
    <body>
      <span class="badge">SSL for SaaS Active</span>
      <h1>${hostname} へようこそ！</h1>
      <p>連携されたテナントID: <strong>${tenantId}</strong></p>
      <p>CloudflareエッジSSL動的発行が完了し、$0手数料で完璧に配信中です。</p>
    </body>
    </html>
  `);
});

export default app;

ステップ3：CNAME 0秒検証および証明書状態更新ウェブフック

顧客がDNS CNAME設定を完了した際、statusが active に変更されたかを検索するポーリング/ウェブフックサービスの構造です。

// 証明書状態照会エンドポイント
app.get("/api/v1/domains/status/:hostnameId", async (c) => {
  const hostnameId = c.req.param("hostnameId");
  const zoneId = c.env.CF_ZONE_ID;
  const apiToken = c.env.CF_API_TOKEN;

  const response = await fetch(
    `https://api.cloudflare.com/client/v4/zones/${zoneId}/custom_hostnames/${hostnameId}`,
    {
      headers: {
        "Authorization": `Bearer ${apiToken}`,
      },
    }
  );

  const result = await response.json();
  return c.json(result);
});

ベンチマーク：AWS NGINX Certbot cluster vs Cloudflare SSL for SaaS

1,000社の顧客カスタムドメインを運用するマルチテナントSaaS基準の保守およびコスト比較レポートです。

プラットフォーム別コスト＆運用効率比較表

結論：B2BマルチテナントSaaSインフラの終止符

もはや顧客のカスタムドメイン接続リクエスト1つを処理するために、NGINXサーバーファイルに手動でdomain設定コードを追加し、Certbot更新エラーに頭を悩ませる必要はありません。

Cloudflare Custom Hostnames (SSL for SaaS) アーキテクチャは、以下のような圧倒的な価値を提供します：

1. カスタムドメインSSLインフラコスト $0: 毎月数百ドル単位で発生していたNGINXクラスタおよびALBロードバランサーの維持費を$0にしてしまいます。
2. 5秒で新規TLS証明書を発行: 顧客がCNAMEレコードに向けた瞬間、わずか5秒でエッジノードが安全なSSL証明書を生成します。
3. customHostnameMetadata による0msテナント分岐: DB検索なしにエッジTLSハンドシェイク時点で注入されたテナント識別子により、0.1msでテナントごとのサービスを配信します。
4. SSL期限切れ障害0件: 90日の有効期限ごとに発生するCertbot Rate Limit障害を、エッジレベルで100%完全自動更新します。

今すぐB2B SaaSプロジェクトにCloudflare SSL for SaaSおよびWorkersアーキテクチャを導入し、100%自動化されたマルチテナントインフラを構築しましょう。

関連記事：Cloudflare Workers Assets & Dynamic Edge Routing：Vercelを代替する$0フルスタックアーキテクチャでエッジルーティングガイドもあわせて確認できます。