WAF・スキャン対応ガイド

公開した瞬間からスキャンされる前提で、「存在しないパスを塞ぐ → 送信元は巻き添えを確かめてから止める → 自分のスキャン結果は誤検知を切り分けて渡す」。

公開前・公開直後

• 公開した HTTPS サイトは「即」スキャンされる前提で準備する — @ku_suke
• 公開アプリ解析前提でバックエンドを守る（A2B 攻撃の点検チェックリスト） — @yousukezan

WAF の運用

• Cloudflare 無料プランで「探索系スキャン」を塞ぐ（ブロックログ起点のカスタムルール） — @yousukezan
• WAF で送信元を止める前に「巻き添え」を確かめる（IP / ASN / JA4 の使い分け） — @yousukezan

自分で回したスキャンの扱い

• 脆弱性スキャン結果の誤検知を切り分ける 3 手 — @yousukezan