https://infomation-sytem-security.hatenablog.com/entry/cloudflare-pricing-guide-2025

「AWS WAFの請求額が、DDoS攻撃を受けた月に数十万円に跳ね上がった」

「CDNの転送量が増えすぎて、利益を圧迫している」

情報システム部の現場では、こうした「クラウド従量課金の恐怖」に関する相談が後を絶ちません。私はセキュリティの専門家（CISSP）として断言しますが、中小企業や予算が固定されている組織において、セキュリティ対策に「青天井の従量課金」を採用することは、それ自体が経営リスクです。

この記事では、世界最強のネットワーク基盤を持つCloudflare（クラウドフレア）の料金体系を、情シス担当者の視点で徹底解剖します。AWSやAkamaiとのコスト比較、そして無料版（Free）と有料版（Pro/Biz）のどちらを選ぶべきかの判断基準を、定量的なデータに基づいて解説します。

まずは、Cloudflareの主要なプランの違いを整理しましょう。多くの企業が迷うのが、「Pro（月額$20）」と「Business（月額$200）」のどちらにすべきか、という点です。

以下は公式サイトの情報を基に作成した、ビジネス利用における主要機能の比較です。（2025年11月現在）

機能・特徴	Free (無料)	Pro ($20/月)	Business ($200/月)	Enterprise (要見積)
DDoS防御	標準 (Unmetered)	標準 (Unmetered)	標準 (Unmetered)	SLA保証あり
WAF	限定的ルール	完全なWAF	カスタムルール作成	高度な管理
画像最適化	×	Polish/Mirage	Polish/Mirage	Polish/Mirage
PCI DSS準拠	×	×	準拠	準拠
サポート	コミュニティのみ	メール (平均4時間)	チャット/メール (優先)	24/365 電話対応
SLA (稼働率)	なし	なし	100%	100% (返金規定あり)

引用元：Our Plans | Cloudflare

情シス担当として、プラン選定の分水嶺は以下の2点にあると分析します。

ECサイトでクレカ決済を扱うか（PCI DSS） もし自社サイトでクレジットカード情報を通過させる（非保持化していない）場合、PCI DSS準拠が必要です。この要件を満たすのはBusinessプラン以上となります。
SLA（稼働率保証）が必要か 「サイトが止まったら損害賠償が発生する」ようなクリティカルなシステムの場合、SLA 100%が保証されるBusinessプランが必須です。逆に、コーポレートサイトやオウンドメディアであれば、Proプランでも十分なパフォーマンスとセキュリティ（WAF）を享受できます。

WAFの詳細な仕組みやチューニングについては、以下の記事で解説しています。

ここで、最大の関心事である「他社との比較」を行います。特にAWS WAFとの比較は、予算管理において決定的な差を生みます。

AWS WAFは「Web ACL利用料」に加え、「リクエスト数」に応じた従量課金が発生します。一方、Cloudflareは（Enterprise以外は）定額です。

もし、月間1,000万リクエストのサイトが、小規模なDDoS攻撃（＋5,000万リクエスト）を受けた場合を想定します。（※簡易的な試算であり、実際の為替や構成により変動します）

AWS WAF:
- 基本料 + 通常リクエスト課金 = 数千円
- 攻撃リクエスト課金 = 5,000万回 × $0.6/100万回 = $30 (約4,500円)
- ※もしCDN (CloudFront) も通過していれば、転送量課金がさらに加算され、数十万円〜数百万円の請求になるリスクがあります。
Cloudflare (Pro/Biz):
- 月額固定費のみ ($20 または $200)
- 攻撃リクエストによる追加課金 = 0円
- 転送量による追加課金 = 0円

Cloudflareの最大の強みは、「DDoS攻撃を受けても請求額が変わらない（Unmetered Mitigation）」というポリシーにあります。

AWSやAzureは「インフラ」の思想であるため、「使った分（攻撃された分）だけ払う」のが原則です。対してCloudflareは「セキュリティ」の思想であり、「守ることは当たり前」というスタンスです。

予算が限られる中小企業にとって、「攻撃されてもコストが変動しない」ことは、機能以上に重要な経営上のメリットと言えます。DDoS攻撃の脅威と防御戦略については、以下の記事も参照してください。

また、詳細な3社比較（Akamai含む）は以下の記事にまとめています。

「Cloudflareは無料版でも高機能だから、それで十分では？」という質問をよく受けます。個人ブログならYESですが、法人利用ではNOです。その理由を解説します。

画像最適化（Polish）が使えない Core Web Vitals（CWV）改善の要となる、画像のWebP自動変換や圧縮機能はProプラン以上です。ECサイトなど画像が多いサイトでは、月額$20の投資でコンバージョン率が変わる可能性があります。 CDN（コンテンツデリバリーネットワーク）完全ガイド：情シス担当が教える仕組み・SEO（CWV）改善・セキュリティ（WAF連携）・主要サービス比較
WAFの「誤検知」対応ができない WAFを導入すると、正常な顧客をブロックしてしまう「誤検知」が必ず発生します。この時、原因を調査するための詳細なログ機能や、特定の条件だけ除外するカスタムルールの作成枠が、無料版では圧倒的に不足します。

「顧客が買えない」という機会損失を防ぐには、Proプラン以上の機能が必要です。
WAFの「誤検知」はなぜ起きる？情シス担当が教える原因と「月額1万円」でプロにチューニングを任せる現実解