不正なJSライブラリの置き換え

この機能は、オンにすると、外部JavaScriptライブラリへのURLをCloudflareがホストするライブラリを指すように自動的に書き換えます。この変更はセキュリティとパフォーマンスを向上させ、悪意のあるコードが注入されるリスクを減少させます。

この書き換え操作は、現在polyfill JavaScriptライブラリがpolyfill.ioにホストされていることをサポートしています。

警告

不正なJavaScriptライブラリの置き換えをオンにする際には、コンテンツセキュリティポリシー (CSP)を更新する必要があるかもしれません。この機能が有効な場合、script-srcまたはdefault-srcディレクティブを含むCSPが存在する場合、URLの書き換えは行われません。Cloudflareはreport-onlyディレクティブをチェックせず、CSPヘッダーを変更することはありません。

さらに、HTMLのmetaタグを介してCSPを定義している場合は、この機能をオフにするか、HTTPヘッダーで定義されたCSPに切り替える必要があります。

仕組み

オンにすると、CloudflareはHTTP(S)プロキシトラフィックをチェックし、潜在的に不正なサービスを指すsrc属性を持つscriptタグを見つけ、そのsrc値をcdnjs ↗でホストされている同等のリンクに置き換えます。

書き換えられたURLは、元のURLスキーム（http://またはhttps://）を保持します。

polyfill.ioのURL書き換えについては、/v3パスの下でpolyfillライブラリのすべての3.*バージョンがサポートされています。さらに、/v2パスもサポートされています。/v3パスの下で不明なバージョンが要求された場合、CloudflareはURLを最新の3.*バージョンのライブラリ（現在は3.111.0）を使用するように書き換えます。

利用可能性

この機能はすべてのCloudflareプランで利用可能であり、無料プランではデフォルトでオンになっています。

---

設定

ダッシュボード

1. Cloudflareダッシュボード ↗にログインし、アカウントとゾーンを選択します。
2. セキュリティ > 設定に移動します。
3. 不正なJavaScriptライブラリの置き換えのために、トグルをオンまたはオフに切り替えます。

API

以下のようなPATCHリクエストを発行します：

curl --request PATCH \
"https://api.cloudflare.com/client/v4/zones/{zone_id}/settings/replace_insecure_js" \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{ "value": "on" }'

---

最後の注意事項

pages.devゾーンは無料プランにあるため、これらのゾーンでは不正なJavaScriptライブラリの置き換え機能がデフォルトでオンになっており、オフにすることはできません。