価格が公開されている Cloudflare Bot Management の代替
Cloudflare のボット対策製品は強力で、その価格は「まず商談」です。サイト全体をプロキシの背後に置かないことで何を手放し、代わりに何が戻ってくるのか。
実際に比べているもの
この二つは同じ形の製品ではなく、そうであるかのように装っても誰の得にもなりません。
Cloudflare Bot Management はリバースプロキシの一部です。DNS が Cloudflare を指し、トラフィックはすべてそこを通り、ボットのスコアリングは通り道で行われる多くの処理のひとつです——キャッシュ、WAF、DDoS 吸収、TLS 終端と並んで。検知は本当に優秀で、独立系ベンダーには到底届かない世界の Web トラフィックの一部を土台にしています。
Karma はスコアリングのサービスです。スニペットとゲートウェイがシグナルを送り、判定が返り、それに基づいて動くのはあなた自身のインフラです。トラフィックの経路は何も変わりません。プロキシもなく、DNS の引っ越しもなく、CDN もありません。
ですから正直な問いは「どちらの検知が上か」ではありません。ボット検知をネットワークのエッジが持つ性質にしたいのか、それとも既存のエッジが問い合わせるサービスにしたいのか、という問いです。
Cloudflare が勝っている点、はっきりと
四つあり、どれも小さくありません。
- 観測の規模。Cloudflare は Web のかなりの部分を見ています。そのどこかに触れたボットネットは、あなたのところへ届く前にすでに知られています。当社が見えるのは顧客が見ているものだけで、窓ははるかに狭いです。
- ボット検知にとどまらない。CDN、WAF、DDoS 吸収もあわせて必要なら、一社から一製品として買うほうが、三つを組み合わせるより安く簡単です。
- 遮断がすでにそこにある。決定は、それを下したのと同じホップで適用され、あなたのスタック側の統合作業はゼロです。
- 成熟度。導入数が多く、遭遇済みの境界事例が多く、あなたより先につまずいた人が書いた文書が多い。
制約 1：サイトをプロキシの背後に置けない
Bot Management は、トラフィックが Cloudflare を通ることを前提とします。多くのチームにはそれで問題ありません。一部には問題があり、その理由はたいてい好みではなく構造的なものです。
規制されたデータ所在地。監督当局や顧客との契約が、指定された法域でトラフィックを終端することを求めているなら、グローバルな anycast 網を経由させるという議論には勝てないかもしれません。
TLS 終端。Cloudflare はリクエストを検査するために TLS を終端します。組織によっては秘密鍵を渡すことも、暗号経路に仲介者が入ることも認められず、契約上の保証でそれが変わることはありません。
すでにエッジを持っている。自前のロードバランサー、自前の WAF、自前の TLS を運用しているなら、その前にもう一段プロキシを足すのは小さな変更ではなく、独自の障害モードを伴う作り直しです。
Karma は、いまあるものの隣に立ちます。シグナルが出ていき、判定が返り、リクエストの経路には手が触れません。
制約 2：電話の前に価格を知る必要がある
Bot Management は Enterprise の機能です。価格はトラフィック量、契約、そして交渉次第で、営業と話して初めて分かります。
大きな組織に売る方法としては正当で、それ以外のすべての人にとっては実際の障害です。答えが月 50 ドルなのか 5,000 ドルなのかを知りたいだけのチームが、そのために打ち合わせを設定しなければならず、分かる頃には二週間が過ぎています。
Karma の価格は料金ページにあります。最上位まで、すべてです。単位は判定——実際に判断が下された完了済みのセッション——で、無料枠は月 25,000 判定、期限なし、カード登録なしです。
予算に収まるかどうかは九十秒ほどで分かります。このページを読むのにかかった時間です。
制約 3：ブロックを説明できる必要がある
Cloudflare は 1 から 99 のボットスコアを返し、Enterprise ではどの検知エンジンがそれを出したかの手がかりも示します。多くの製品より説明可能で、それでも根本的には他社のシステム内部で計算された数字です。
決済できないという電話が顧客から入ったとき、必要なのはスコアではありません。どのシグナルがその判定を生んだのかを見て、そのブロックが正しかったのかを判断し、正しくなければ原因になった規則を直す必要があります。
Karma はパネルで判定ごとの根拠となったシグナルを表示します。「検知が優れている」より控えめな主張であり、サポートの待ち行列の中ではより役に立つ主張です。
並べて比較
それぞれの位置づけ：
| Cloudflare Bot Management | Karma | |
|---|---|---|
| 導入形態 | プロキシ — DNS が Cloudflare を指す | スニペット + 自社ゲートウェイ、経路は不変 |
| TLS | Cloudflare が終端 | 自社のまま |
| 検知コーパス | 世界の Web トラフィックの大きな一部 | Karma の顧客が見ているもの |
| 遮断の実行 | Cloudflare のエッジで | 自社のゲートウェイで |
| 判断の説明 | スコア、Enterprise ではエンジンの詳細も | 判定ごとにシグナルを表示 |
| ほかに提供するもの | CDN、WAF、DDoS 吸収 | ボット判定のみ |
| 価格 | Enterprise、営業へ問い合わせ | 公開、月 25,000 判定まで無料 |
| 契約 | 通常は年単位 | 月次または年次、いつでも解約可 |
両方を併用する
これは二者択一ではなく、多くのチームにとって妥当な最終形は両方です。
Cloudflare には、それが並ぶもののない仕事を任せてください——volumetric な攻撃の吸収、キャッシュ、明白なものの遮断。Karma は、自社アプリケーションが理由づけできる判定が必要な場所に足してください——決済、ログイン、パートナー向け API——そして、特定の訪問者がなぜ止められたのかを見る必要がある場所に。
スニペットはプロキシの背後でも問題なく動きます。ゲートウェイが元のクライアントアドレスを転送するようにしてください。そうでないと判定が訪問者ではなく Cloudflare のエッジに対して下されます。そして何かを遮断する前に、Cloudflare 自身のプローブを許可リストへ入れてください。