GAS × WordPress × Cloudflare Workers KV で構築する最強の安全設計
🔍 この記事でわかること
- ゼロデータ構成とは何か？
- GAS × WordPress × Workers KV の最適な連携方法
- Cloudflare と ONE の二重WAFによる強固な防御
- サーバープランの API と GAS/KV の API の違い
- 他クラウドとの比較一覧表
🧩 ゼロデータ構成とは？
ゼロデータ構成とは、サーバー側にデータを一切持たないセキュリティモデル。
- WordPress → データを保存しない
- GAS → データを保存しない
- Drive → 不使用
- DB → 不使用
- 辞書データは Cloudflare Workers KV にのみ保存
つまり、攻撃されても奪われるデータが存在しない。
🔥 ゼロデータ構成の全体フロー（図解）
【外部】
Cloudflare（外側WAF）
↓
Workers KV（辞書データ）
↓
【内部】
ONE（内側WAF/IPS/IDS）
↓
WordPress（フォーム）
↓
POST GAS（Google Apps Script）
↓
fetch（サーバー間API） Workers KV（辞書データ）
✔ ユーザーは KV に直接アクセスできない
✔ WordPress も KV に触れない
✔ GAS だけが KV にアクセスする
✔ すべてサーバー間 API（Zero Trust）
🛡 なぜこの構成が最強なのか？
① WordPress がデータを持たない
→ DB漏洩リスクゼロ
→ プラグイン脆弱性の影響が最小化
② GAS がデータを持たない
→ Drive 権限不要
→ 最小権限で安全
③ Workers KV は Cloudflare 内部で保護
→ 外部から直接アクセス不可
→ WAF の内側で安全
④ サーバー間 API のみで通信
→ ユーザーは辞書に触れない
→ 改ざん・漏洩リスクゼロ
⑤ Cloudflare × ONE の二重WAF
→ 外側と内側の両方で攻撃を遮断
🧠 重要：ONEレンタルサーバーの「API」とは別物
この構成で使う API は GAS → Workers KV のサーバー間 API。
これは Google → Cloudflare の通信であり、ONE は関与しない。
つまり：
✔ ONE の API 機能が使えないプランでも問題なし
✔ ONE ベーシックで十分
✔ ONE の API は「ONE 内のデータを外部から操作するための機能」
✔ ゼロデータ構成では ONE の API は不要
📊 クラウドサーバー比較一覧表
| 項目 | ONE | XSERVER | ConoHa VPS | AWS EC2 |
|---|---|---|---|---|
| WordPress安定性 | ◎ | ◎ | △ | △ |
| 内部WAF | ◎ | ○ | × | × |
| IPS/IDS | ◎ | × | × | × |
| GASとの相性 | ◎ | ◎ | ○ | ○ |
| Workers KV利用 | ◎ | ◎ | ◎ | ◎ |
| 管理の簡単さ | ◎ | ◎ | × | × |
| REST API必要性 | 不要 | 不要 | 場合により必要 | 場合により必要 |
| ゼロデータ構成との相性 | 最適 | 良い | 普通 | 普通 |
✔ 結論：ゼロデータ構成には ONE ベーシックが最適
🔐 ゼロデータ・セキュリティモデルの本質
- Zero Data：サーバーにデータを置かない
- Zero Trust：すべて API で明示的に通信
- Stateless：状態を持たない
- Workers KV：辞書データは Cloudflare 内部で保護
- 二重WAF：Cloudflare × ONE
🏁 まとめ（この記事の要点）
- WordPress はデータを持たない
- GAS はデータを持たない
- Drive も DB も使わない
- 辞書は Workers KV にだけ置く
- GAS が API 経由で KV を読む
- Cloudflare × ONE の二重WAFで守る
- ONE の API 機能とは完全に別物
- ONE ベーシックで十分
🔥【追記パート】
Cloudflare × ONE を「Cloudflare × CrowdStrike」にたとえると？
ゼロデータ構成をさらに直感的に理解するために、
外側WAF（Cloudflare）と内側WAF（ONE）を、Cloudflare と CrowdStrike の関係にたとえると非常にわかりやすい。
🛡 Cloudflare × CrowdStrike の関係とは？
- Cloudflare：インターネットの外側で攻撃を遮断する「外側の盾」
- CrowdStrike：PC やサーバー内部の挙動を監視する「内側の盾」
つまり、
外側の攻撃は Cloudflare が止める
すり抜けた攻撃は CrowdStrike が内部で止める
という 二重防御（Defense in Depth） の構造。
🟦 これをこの構成に置き換えると？
Cloudflare（外側WAF）
↓
ONE（内側WAF / IPS / IDS）
✔ Cloudflare → 外側の盾
✔ ONE → 内側の盾（CrowdStrikeの役割に近い）
つまり、この構成はこうなる：
Cloudflare（外側） × ONE（内側）＝ Cloudflare × CrowdStrike と同じ思想
🧩 図で見ると完全に同じ構造
◆ CrowdStrike の世界攻撃者
↓
Cloudflare（外側WAF）
↓
CrowdStrike（EDR / 内側防御）
↓
PC・サーバー
◆ このゼロデータ構成攻撃者
↓
Cloudflare（外側WAF）
↓
ONE（内側WAF / IPS / IDS）
↓
WordPress（フォーム）
↓
GAS（doPost）
↓
Workers KV（辞書データ）
✔ 外側で止めるのが Cloudflare
✔ 内側で止めるのが ONE（CrowdStrike 的役割）
🏆 この構成が強い理由（CrowdStrikeモデルで説明）
① 外側の攻撃は Cloudflare が遮断
- BOT
- スキャナー
- DDoS
- 不正アクセス
- SQLインジェクションの初期段階
② すり抜けた攻撃は ONE が内部で遮断
- 不正POST
- WordPress への攻撃
- XMLRPC攻撃
- プラグイン脆弱性の悪用
- 不審な挙動（IPS/IDS）
③ WordPress はデータを持たない
→ CrowdStrike のように「内部を守る対象」が軽い
④ GAS もデータを持たない
→ 内部攻撃のリスクが極小化
⑤ 辞書データは Workers KV に隔離
→ Cloudflare 内部で守られる（CrowdStrike の守備範囲外＝より安全）
🔰 Cloudflare × ONE は「Cloudflare × CrowdStrike」と同じ二重防御モデル
このサイト構成では、
- Cloudflare が外側の攻撃を遮断し
- ONE（内部WAF/IPS/IDS）が内側の攻撃を遮断する
という 二重防御（Defense in Depth） を採用しています。
これは、企業セキュリティでよく使われる
Cloudflare（外側WAF） × CrowdStrike（EDR）
という構造と非常に似ています。
- Cloudflare → 外側の盾
- CrowdStrike → 内側の盾
この構成では、
- Cloudflare → 外側の盾
- ONE → 内側の盾（CrowdStrike 的役割）
となり、
外側と内側の両方で攻撃を止める強固なセキュリティモデル が実現します。
結論：ONEレンタルサーバー・ベーシックプランは「ネットde診断＋SiteLock」を“まとめて内蔵したようなセキュリティ構成”になっている。
ただし、サービス名として搭載しているわけではなく、同等機能を標準で持っている、という意味である。
🛡 ONEベーシックは「ネットde診断＋SiteLock 相当」を標準搭載している
◆ 結論（機能レベル）
- ネットde診断 → ONEの脆弱性診断・改ざん検知でカバー
- SiteLock → ONEのWAF・IPS/IDS・マルウェアスキャンでカバー
つまり、
ONEベーシック＝ネットde診断＋SiteLockを“最初から含んでいる”ようなセキュリティ構成
ということ。
📊 機能比較一覧表
| セキュリティ機能 | ネットde診断 | SiteLock | ONEベーシック |
|---|---|---|---|
| 脆弱性診断 | ◎ | △ | ◎（標準） |
| 改ざん検知 | ○ | ○ | ◎（標準） |
| マルウェアスキャン | △ | ◎ | ◎（標準） |
| WAF（Web Application Firewall） | × | ◎ | ◎（標準） |
| IPS/IDS（侵入防御/検知） | × | △ | ◎（標準） |
| ブラックリスト監視 | △ | ◎ | ◎（標準） |
| DDoS対策 | × | ○ | ◎（標準） |
| WordPress最適化 | × | × | ◎（専用環境） |
✔ ONEベーシックは「外部サービスを追加しなくても全部入っている」
🧩 なぜ ONE はネットde診断＋SiteLock 相当なのか？
① 脆弱性診断（ネットde診断の役割）
ONE は以下を標準搭載：
- 自動脆弱性スキャン
- 改ざん検知
- ブラックリスト監視
→ ネットde診断の主要機能をすべてカバー。
② WAF・IPS/IDS（SiteLockの役割）
ONE は以下を標準搭載：
- WAF（Web Application Firewall）
- IPS/IDS（侵入検知・防御）
- マルウェアスキャン
- DDoS対策
→ SiteLock の主要機能をすべてカバー。
🔥 このゼロデータ構成との相性が最強な理由
この構成：
Cloudflare（外側WAF）
↓
Workers KV（辞書データ）
↓
ONE（内側WAF/IPS/IDS）
↓
WordPress（フォーム）
↓
GAS（doPost）
✔ 外側：Cloudflare（Cloudflare WAF）
✔ 内側：ONE（SiteLock＋ネットde診断相当）
→ Cloudflare × ONE の二重WAF構成が完成する
これは企業のセキュリティモデルでいう
Cloudflare × CrowdStrike に近い二重防御。
🏁 最終結論
- ONEベーシックはネットde診断＋SiteLockを“まとめて内蔵したような構成”
- 追加契約なしで脆弱性診断・WAF・IPS/IDS・マルウェア検知が全部使える
- このゼロデータ構成（WordPress→GAS→WorkersKV）と相性が最強
- Cloudflare（外側）＋ONE（内側）の二重WAFで企業レベルの防御が完成