Cloudflare Bot Fight Mode は、Cloudflare のドメインで使える無料のスイッチです。既知のボットに似たトラフィックを見つけ、CPU に負荷のかかるチャレンジを解かせます。対象はドメイン全体で、調整できる項目はありません。Bot Protection はリクエスト経路の外にあります。サインアップ、サインイン、チェックアウトでサーバーが問い合わせ、理由付きの判定を受け取り、停止しているときは全員を通します。このページでは、Cloudflare Bot Fight Mode の代替として Bot Protection を検討する方のために、両者と、Bot Fight Mode の上にある Cloudflare の有料プランを比べます。
比較表
| Bot Protection | Bot Fight Mode | |
|---|---|---|
| 仕組み | ページ上のタグがブラウザの挙動を読み取ります。サインアップ、サインイン、チェックアウトの前に、サーバーが 1 回呼び出して判定を受け取ります。 | Cloudflare が既知のボットのパターンに一致するトラフィックを見つけ、計算負荷の高いチャレンジを出します。 |
| 対象範囲 | サーバーが問い合わせたアクションだけです。 | ドメインへのすべてのトラフィックで、パスごとの例外はありません。 |
| リクエスト経路上にあるか | いいえ。サーバーが独自の timeout で呼び出します。 | はい。Cloudflare のドメインの設定で、そのリクエストに対して動作します。 |
| サーバーが受け取るもの | クラス（human high から bot high まで）、ボットスコア、理由、そしてアクション（allow、challenge、block）。 | 何も返りません。チャレンジされたリクエストは Cloudflare のセキュリティイベントに Bot Fight Mode として表示されます。bot score は Bot Management for Enterprise でのみ得られます。 |
| 例外の設定 | 自由に設定できます。クラスごとのアクションを決め、問い合わせるルートだけが対象です。 | ほぼ設定できません。WAF のカスタムルールや Page Rules ではスキップできず、先に一致する IP Access ルールだけが例外になります。Cloudflare は API やモバイルアプリのトラフィックにもチャレンジを出すことがあると説明しています。 |
| ブロック前の観察 | はい。モニターモードではすべての応答が allow になり、ブロックモードなら何をしたかも示します。 | できません。オンかオフだけです。有料プランの Super Bot Fight Mode では、ボットのグループごとに許可、ブロック、チャレンジを選べます。 |
| 開始時の料金 | 20,000 件の判定付き 14 日間の無料トライアル。その後は 100 万件で月額 $29。 | 無料です。Cloudflare の Free プランのボット対策です。Super Bot Fight Mode は Pro（年払いで月 20 ドル、月払いで 25 ドル）と Business（200 ドルまたは 250 ドル）に含まれます。Bot Management は Cloudflare のチームが Enterprise プランに追加します。 |
| 導入 | タグと、サーバーからの 1 回の呼び出し。コーディングエージェント用のプロンプトで両方を設定できます。 | ダッシュボードのスイッチひとつです。JavaScript による検出はオフにできないため、Content Security Policy で Cloudflare のチャレンジ用スクリプトを許可する必要があります。 |
| 稼働場所 | EU（ドイツ）のサーバー。IP とトークンは鍵付きハッシュとしてのみ保持します。 | Cloudflare のネットワーク上で、Cloudflare を通しているドメインに対して動きます。 |
Bot Fight Mode が向いている場合
- サイトがすでに Cloudflare 上にあり、単純なボットを全ページで、無料で、スイッチひとつで抑えたい。
- チャレンジで壊れてしまう API やアプリのクライアントがない。
- リクエストがチャレンジされた理由を知る必要がない。
Bot Protection が向いている場合
- サインアップ、サインイン、チェックアウトの判定を自分のコードで行い、クラス、スコア、理由を記録、確認、調整に使いたい。
- API、webhook、モバイルアプリが、解けないチャレンジに出会ってはならない。Bot Protection はサーバーが問い合わせたことにだけ答えます。
- モニターモードから始めて、誰かをブロックする前に何がブロックされるかを確認したい。
- ファームを見つけたい。ネットワーク、デバイス、リズムを共有するセッションのグループです。
併用する場合
両者は重なりません。Bot Fight Mode でドメイン全体の単純なボットを抑えつつ、偽アカウントや盗まれたカードが損失になるアクションでは Bot Protection が判定します。
よくある質問
API だけ Bot Fight Mode をオフにできますか
パス単位ではできません。Cloudflare のドキュメントによると、WAF のカスタムルールや Page Rules ではスキップできず、先に一致する IP Access ルールがあるときだけ動作しません。そのうえで、Skip アクションのカスタムルールで回避できる Super Bot Fight Mode を案内しています。
Bot Fight Mode は Cloudflare Bot Management と同じですか
Cloudflare によると、両者は同じ基盤技術を使っています。Bot Management for Enterprise には bot score、JA3 と JA4 のフィンガープリント、パスごとのルールが加わり、Cloudflare のチームが Enterprise プランに追加します。
出典
2026年11月14日にベンダーの公式ページで確認しました。料金は変わることがあるため、判断の前にベンダーのページをご確認ください。