要約

  • Workers Freeのアカウントには1日10万件のリクエスト枠があり、UTCの午前0時にリセットされる。超過時、fail openはWorkerを迂回し、fail closedはCloudflareのエラー1027を返す。
  • 既存サーバーの前に置いたWorkerがアクセス検査を担うなら、迂回後に残るのはオリジン側の検査だけだ。Cloudflareはセキュリティ上重要なWorkerにfail closedを勧めている。

値札に隠れた経路の分岐

Workerを既存のアプリケーションの前に置くと、料金プランは単なる経理上の選択で済まなくなる。Cloudflareの無料枠はアカウント当たり1日10万件。使い切った後、ルートの設定が要求を処理する。fail openならWorkerが設定されていなかった場合と同じ経路を進む。fail closedなら1027で終わる。前者ではコードの処理が消え、後者では利用者の作業が止まる。

Routesは、プロキシされたホスト名の先にあるアプリケーションサーバーより手前でWorkerを動かせる。コードが応答を加工する場合もあれば、認可を調べる場合もある。後者をWorkerだけに任せていたなら、迂回時にはオリジンの規則が結果を決める。オリジンが独自に不許可を返す構成ならアクセスは止まる。どの顧客がどちらの構成かは、Cloudflareの公開資料からは分からない。個別の障害や漏えいを作り話にする余地はない。

fail closedはWorker側の境界を守るが、正当な要求にも1027を返す。Cloudflareが安全上重要なWorkerにこの設定を勧める理由は明快だ。一方、fail openは既存サーバーへの到達性を残す代わりに、Workerが行うはずだった仕事を省く。運用者は利用可能性を守る責任と、処理の欠落を許せない責任を同じ設定画面で突き合わせることになる。

UTCの午前0時には枠が戻る。そこまで何時間あるかより、到達した瞬間に何が起きるかを先に決めたい。Cloudflareの現行表ではPaidにこの日次要求上限はない。容量を買う選択と、オリジン側で独立した検査を持つ選択は別物だ。ルートごとの失敗モードを記録し、Workerなしの状態を検証して初めて、無料枠の本当の価格が見える。

出典