DNSをCloudflareに変えたら勝手に計測タグ
ネームサーバーをCloudflareに切り替えただけで、JSなしのサイトにも計測用スクリプトが無断で挿入されていたとHNで報告に。無料プランはデフォルトで有効という。
ひかり：ねえねえ聞いてっ! ネームサーバーをCloudflareに変えただけなのに、勝手に何か仕込まれてたって話があるんだけどっ!
みずき：…ネームサーバーって、住所録みたいなやつでしょ。中身まで書き換えられるようなものなの?
ことね：それがポイントなの。stagasさんという開発者が、JavaScriptを一切使ってない自分のサイトをCloudflare経由にしたら、いつのまにかアナリティクス用のJSタグが差し込まれてたのを見つけたのよ。Cloudflareは通信を中継する「リバースプロキシ」として動いているから、暗号化を一旦解いて、応答の中身を書き換えられる立場にあるの。
ひかり：えっ、届く前に中身変えられちゃうってことっ!? ちょっとこわいんだけどっ!
ことね：2024年9月から、無料プランはこの計測機能がデフォルトでオンになってるの。有料プランだと逆にオプトインのみで、勝手にはつかないのよ。
みずき：…で、Cloudflare側の言い分は?
ことね：「無料サイトはデフォルトでオン。パフォーマンスの参考データを提供するため」って説明してるわ。ブログですでに告知済み、とも言ってるんだけど……
みずき：…その「告知済み」に誰も気づいてなかったから、いま揉めてるんでしょ。無料の代わりに何か持っていかれる、って話、聞き飽きたはずなのに全然聞き飽きない。
ひなた：ふぁ〜……お店の試食コーナーで、味見のつもりがいつのまにかアンケート書かされてた時と、ちょっと似てる気がするのです……
ひかり：えー、じゃああたしも自分のサイトのネームサーバー、ちゃんと確認しなきゃかもっ!
まとめ：タダで受け取ったものには、たいてい見えない代金がついてくる。今回はそれが、JSタグ1本ぶんだった。