Aug 21, 2026

author: hondazn

JS をゼロにしたつもりが、Cloudflare が配っていた

このブログはのをにしていて、クライアント JS を配りません。ビルド物を grep して <script> がであることもしていました。

ところがのには JS がいました。Cloudflare がにいたものです。でたに書きます。

気づいたきっかけ

のを切り替えるを作って、デプロイしたのでした。切替 UI をないはずの /about に、スクリプトがある。の物にはものです。

# 手元のビルド
$ grep -ro '<script' dist/ | wc -l
0

# 本番
$ curl -s https://blog.jozo.beer/about/ | grep -o '<script' | wc -l
1

ファイルをいるつもりで、ものがいました。

入っていたもの

ありました。

注入	対象	中身
Email Address Obfuscation	メールらしきを含む	スクリプト `email-decode.min.js` を1本
JavaScript Detections		インライン 920 バイト

どちらもでにしたがありません。はアップにでになるでした。

1つめ — コード例が書き換えられていた

Email Address Obfuscation は、のアドレスをにてボットからです。なにます。

は、このブログにのがもことでした。ソースをしてしたのは、にたこれだけです。

<code>github.com@evil.com</code> のような見た目の似たホストが弾かれます

としてた物ので、<code> のにあります。Cloudflare はこれをアドレスとして、こうていました。

<a href="/cdn-cgi/l/email-protection" class="__cf_email__"
   data-cfemail="7a1d130e120f18541915173a1f0c131654191517">[email&#160;protected]</a>

がになり、JS をいるには [email protected] とされます。をたいで、のがない。

にされるのがあります。<script> <noscript> <textarea> <xmp> <head>、それと HTML 。

<code> はいません。がアドレスをとしてと、ます。

2つめ — ETag が剥がされていた

もうの JavaScript Detections は、ボットのためのです。に 920 バイトます。

のをと、ました。

は、Bot Fight Mode をいるはこれをでにできないこと。もうは、これではしないこと。js_detection.passed を WAF カスタムルールを作ってます。そのルールがなら、に 920 バイトだけです。

めがのはいいとして、のほうがものでした。にこうてあります。

Enabling JavaScript Detections (JSD) will strip ETags from HTML responses where JSD is injected.

すると、そのとおりでした。

# HTML には ETag が無い
$ curl -sI https://blog.jozo.beer/blog/gh-img/ | grep -iE 'etag|cache-control'
cache-control: public, max-age=0, must-revalidate

# 同じサイトのアセットには付いている
$ curl -sI https://blog.jozo.beer/favicon.svg | grep -iE 'etag|cache-control'
cache-control: public, max-age=14400, must-revalidate
etag: "f46e90f224a1df98b3114a0c9c8956da"

HTML は max-age=0, must-revalidate なので、サーバに合わせるです。ETag があれば 304 Not Modified でます。れていると、合わせるたびにを直させられます。

で gzip 35KB。のたびに、これをです。をにしているサイトで、でした。

止め方

ボードでにこともできますが、JavaScript Detections は Bot Fight Mode ごとことになります。がのジトリにないのもが。

とも Cache-Control に no-transform があればされません。これはにされています。Cloudflare Pages は _headers をので、ジトリのでします。

/
  Cache-Control: public, max-age=0, must-revalidate, no-transform

/about/
  Cache-Control: public, max-age=0, must-revalidate, no-transform

/blog/
  Cache-Control: public, max-age=0, must-revalidate, no-transform

/blog/*
  Cache-Control: public, max-age=0, must-revalidate, no-transform

は Pages のに no-transform をただけです。アセットにはいません。/* でに、Pages が max-age=14400 をしてのシュをます。

として Cloudflare の HTML・がます。Rocket Loader、Polish、Mirage。このサイトは CSS をにインラインし、も webp に済みなので、ものはありませんでした。

結果


のビーコン	920 バイト	0
スクリプト	1本	0
の	`[email protected]`	`github.com@evil.com`
HTML の ETag		（`304` を）
アセットのシュ	`max-age=14400`