Cloudflare Rate Limiting：DDoS請求爆発を防ぐ

サーバーレス時代の新たな脅威：ウォレット拒否攻撃（Denial of Wallet）

従来のオンプレミス（On-Premise）や仮想サーバー（EC2/Compute Engine）環境でDDoS（Distributed Denial of Service）攻撃を受けると、サーバーのCPU使用率が100%に達してサービスがダウンします。これを「サービス拒否攻撃（Denial of Service）」と呼んでいました。

しかし、従量課金制であるサーバーレス（Serverless）やエッジコンピューティング（AWS Lambda, Vercel, Supabase, Cloudflare Workers）、およびLLM API（OpenAI, Anthropic Claude）環境でDDoS攻撃や悪質なスクレイパーボットによる無差別な連打攻撃を受けると、サービスがダウンする代わりに莫大な額のインフラ請求書爆弾が炸裂します。

これこそが、現代のクラウドセキュリティにおける最も致命的な**ウォレット拒否攻撃（Denial of Wallet, DoW）**です。

[ウォレット拒否攻撃（Denial of Wallet）被害事例（2026年基準）]
- 開発者が個人プロジェクト / スタートアップAPIを公開（Vercel + Supabase / Lambda + OpenAI API）
- 悪質なボットネットワークが毎分100,000件のAPI呼び出しトラフィックを発生
- 結果：わずか1日で$5,000~$12,000（韓貨約700万~1,600万ウォン）の請求書自動決済が発生

従来はこのような連打攻撃を防ぐため、外部Redis（Upstash, Redis ElastiCache）やWorkers KVにリクエストカウンターを積載する方式でRate Limiting（トラフィック制限）を直接実装していました。

しかし、この方式には**(1) Redis通信時に10ms~30msのネットワーク遅延が発生する**、(2) Redisの読み書き手数料による新たなインフラ費用が発生するという限界がありました。

2025年9月に正式GA（Generally Available）へ昇格した**Cloudflare Native Workers Rate Limiting API（ratelimits binding）とCloudflare Edge WAF（Web Application Firewall）**を組み合わせることで、追加サーバー/Redisインフラ費用$0、遅延時間0msの完璧な3段階エッジ防御陣を構築できます。

本記事では、Denial of WalletのメカニズムからCloudflare Native Rate Limiting API（env.RATE_LIMITER）の実装方法、WAF Edgeルールの設定、Hono.jsミドルウェアの連携、そして実戦的な攻撃防御ベンチマークまで詳細に解説します。

Redis Rate Limiting vs Cloudflare Native Rate Limiting API

階層型3段階エッジ防御アーキテクチャ（Layered Edge Defense）

クラウド費用爆弾を完全遮断するためには、3段階の階層構造で防御線を構築する必要があります。

+-----------------------------------------------------------------------------------+
| Cloudflare 3段階エッジ防御パイプライン (Layered Edge Defense)                         |
+-----------------------------------------------------------------------------------+

[悪質DDoS / スクレイパーボットトラフィック]
         |
         v
 [Layer 1: Cloudflare Edge WAF Rules] ------------> (Worker実行前 0.1ms 自動遮断 / $0 消耗)
         | (正常IP / 正常パケットのみ通過)
         v
 [Layer 2: Native Worker Rate Limiting API] ------> (env.RATE_LIMITER: IP/ユーザー別 毎分100回制限)
         | (HTTP 429 Too Many Requests 即時返却)
         v
 [Layer 3: Cloudflare Turnstile] -----------------> (CAPTCHA代替 ボット遮断検証)
         |
         v
 [保護されたバックエンドロジック / D1 DB / OpenAI API] (安全な実行)

1. Layer 1 (Cloudflare Edge WAF): 悪質なボットネットワークや既知のスパムIP帯域を、Workerコードが実行される前にエッジノードで遮断します。（Worker実行回数自体を0にして課金$0を達成）
2. Layer 2 (Native Workers Rate Limiting API): 正常であっても短時間に大量のリクエストを送信するユーザー（IP, API Key, User ID基準）を、毎分/毎秒 env.RATE_LIMITER.limit({ key }) で判定し、HTTP 429 Too Many Requests を返却します。
3. Layer 3 (Cloudflare Turnstile): 重要なフォーム送信（会員登録、決済、LLMプロンプトリクエスト）時、サイレントな生体/行動パターン検証でボットを徹底的に排除します。

ステップ1: wrangler.jsonc Native Rate Limiting 宣言

Cloudflare Workersの ratelimits バインディングを宣言します。

// wrangler.jsonc
{
  "$schema": "node_modules/wrangler/config-schema.json",
  "name": "edge-dow-defense",
  "main": "src/index.ts",
  "compatibility_date": "2026-01-01",
  "compatibility_flags": ["nodejs_compat"],

  // 2025/2026年 正式GA Native Rate Limiting Binding 宣言
  "ratelimits": [
    {
      "binding": "API_RATE_LIMITER",
      "namespace_id": "1001", // アカウント内固有のネームスペースID
      "simple": {
        "limit": 60,         // 最大許容リクエスト数
        "period": 60          // タイムウィンドウ（秒単位: 60秒間に60回許容）
      }
    },
    {
      "binding": "STRICT_AUTH_LIMITER",
      "namespace_id": "1002",
      "simple": {
        "limit": 5,          // ログイン/パスワード試行: 60秒間に5回のみ許容
        "period": 60
      }
    }
  ]
}

ステップ2: Hono.js サーバーレスミドルウェア構築

WorkerアプリケーションのエントリポイントにNative Rate Limiting APIを連動させるミドルウェアを構築します。

src/index.ts 実戦コード

// src/index.ts
import { Hono } from "hono";
import { cors } from "hono/cors";

type Env = {
  Bindings: {
    API_RATE_LIMITER: RateLimiter;
    STRICT_AUTH_LIMITER: RateLimiter;
  };
};

const app = new Hono<Env>();

app.use("*", cors());

// -------------------------------------------------------------------
// 1. グローバルIPベース Native Rate Limiting ミドルウェア (Layer 2)
// -------------------------------------------------------------------
app.use("/api/*", async (c, next) => {
  // Cloudflare エッジヘッダーからクライアントの実際のIPを抽出
  const clientIP = c.req.header("cf-connecting-ip") || "anonymous";

  // Native Rate Limiter 実行 (遅延時間0ms!)
  const { success } = await c.env.API_RATE_LIMITER.limit({ key: clientIP });

  if (!success) {
    console.warn(`[DoW Defense] Rate limit exceeded for IP: ${clientIP}`);
    return c.json(
      {
        error: "Too Many Requests",
        message: "リクエスト制限を超過しました。1分後に再試行してください。",
      },
      429,
      {
        "Retry-After": "60",
      }
    );
  }

  await next();
});

// -------------------------------------------------------------------
// 2. 厳格なログイン/認証ルート専用 Rate Limiter
// -------------------------------------------------------------------
app.post("/api/auth/login", async (c) => {
  const clientIP = c.req.header("cf-connecting-ip") || "anonymous";

  // ログイン失敗ブルートフォース攻撃（Brute Force）防御（毎分5回制限）
  const { success } = await c.env.STRICT_AUTH_LIMITER.limit({ key: `auth:${clientIP}` });

  if (!success) {
    return c.json(
      { error: "Auth Lockout", message: "パスワード試行回数を超過しました。" },
      429
    );
  }

  // ログインパスワード検証ロジック実行...
  return c.json({ success: true, token: "jwt_token_sample" });
});

// -------------------------------------------------------------------
// 3. ユーザー API Key / JWT ベース カスタム Rate Limiting
// -------------------------------------------------------------------
app.post("/api/v1/llm-generate", async (c) => {
  const authHeader = c.req.header("authorization") || "";
  const apiKey = authHeader.replace("Bearer ", "") || "guest";

  // IPではなくAPI Keyごとの上限制限を適用（個別顧客ユーザーごとのスロットリング）
  const { success } = await c.env.API_RATE_LIMITER.limit({ key: `apikey:${apiKey}` });

  if (!success) {
    return c.json({ error: "API Key Rate Limit Exceeded" }, 429);
  }

  // 高価なOpenAI / Claude API呼び出しを実行（保護済み！）
  return c.json({ response: "AI Generated Content" });
});

export default app;

ステップ3: Cloudflare Edge WAF ルール設定（Layer 1 防御）

Native Worker Rate Limiting APIはWorkerロジック内部での高価なDBクエリやLLM呼び出しを防ぎますが、Worker呼び出し自体を遮断するためには Cloudflare Dashboard Edge WAF Custom Rules を併用する必要があります。

WAF Custom Rule 1: 無差別ボット遮断（Threat Score）

(cf.threat_score gt 15 or http.request.version eq "HTTP/1.0") -> Block

脅威スコア（Threat Score）が15以上であるか、旧式のHTTP/1.0ボットリクエストはWorker実行前に即時遮断します。

WAF Custom Rule 2: APIパス毎分100回超過遮断（Edge WAF Rate Limit）

1. Cloudflare Dashboard > Security > WAF > Rate limiting rules を選択
2. Rule Name: Block API Abuse DoW
3. Expression: (http.request.uri.path starts_with "/api/")
4. Rate: 100 requests per 1 minute
5. Action: Block (Duration: 10 minutes)

このWAFルールが適用されると、毎分100回を超過する攻撃IPはWorkerインスタンスすら実行されず、Cloudflareのグローバルエッジバックボーンネットワークで0.1msにしてdropされます。

ベンチマーク: 10万回の無差別DDoS/スクレイパー攻撃時の費用および性能指標

10万回の悪質パケット攻撃（Minute Attack）発生時における、防御アーキテクチャ別の費用と性能の比較レポートです。

DoW防御アーキテクチャ比較表

結論: Denial of Wallet攻撃からクラウドのウォレットを守れ

クラウドとサーバーレスは優れた開発の利便性と拡張性をもたらしてくれましたが、セキュリティ対策のない公開APIは、いつでも企業を破産させかねない「ウォレット拒否攻撃（Denial of Wallet）」の標的となります。

Cloudflareの Native Workers Rate Limiting API (env.RATE_LIMITER) と Edge WAF の結合は、次のような驚異的なメリットをもたらします。

1. ウォレット料金爆弾を100%遮断: 高価なDBクエリ、LLM API、外部通信ロジックの前方でトラフィックを完璧にスロットリング。
2. 遅延時間0ms: 外部Redisサーバー通信のないインプロセスV8エッジ検証により最高速のUXを維持。
3. 追加インフラ費用$0: ストレージや外部サービスのサブスクリプションなしでCloudflareランタイム内蔵機能で解決。
4. 階層型エッジセキュリティ: WAF + Native Rate Limiter + Turnstileで無敵の3重防御陣を構築。

今すぐバックエンドAPIルートにNative Rate Limiting APIを適用し、いかなる悪質なトラフィック攻撃にも揺るがない100%安全なサーバーレスアーキテクチャを構築しましょう。

関連記事: Auth0/ClerkなしでCloudflare Workers + Passkey(WebAuthn)により認証費用$0構築ガイドでエッジセキュリティ認証構築ガイドも併せて確認できます。