Cloudflareによる突然のトラフィック制限がエンジニアの独断だったと判明

仮想通貨市場に関する小規模なデータ提供サービスがCloudflareから予告なく厳しいトラフィック制限を課された件について、Cloudflareが声明を発表しました。声明によると、当該サービスによる規約違反は確認されなかったほか、そもそもCloudflareには帯域幅を大きく取るようなユーザーに対する明確な対応は定められていなかったとのことです。

How Cloudflare erroneously throttled a customer’s web traffic
https://blog.cloudflare.com/how-cloudflare-erroneously-throttled-a-customers-web-traffic/

Cloudflare broke customer website with traffic throttle • The Register
https://www.theregister.com/2023/02/09/cloudflare_traffic_throttle_apology/

この一件は、当該サービス「Tardis.dev」のtardis_thad氏がHacker Newsに投稿したことで明らかになりました。

小規模SaaSがCloudflareから突然アカウント制限を食らってしまったとの体験談 - GIGAZINE

Cloudflareによると、この問題はTardis.devの元サーバーとCloudflareとの間で帯域制限がかけられたために発生したものだったとのこと。

ただし、tardis_thad氏がCloudflareに問い合わせた際、利用規約2条8項の「非HTMLコンテンツ提供の制限」に抵触したため制限がかけられたという説明を受けたのですが、実際には、Tardis.devは2条8項に反するものではなかったそうです。

また、Tardis.devはCloudflareの有料顧客であり、制限がかからないCloudflare Workersの有料顧客でもあったとのこと。tardis_thad氏が問い合わせ時にプランについて相談すると、Cloudflareの担当者は「エンタープライズプランなら承認できる可能性もある」と返答していましたが、今回の声明では、tardis_thad氏がアップグレードを行う必要はなかったと説明されています。

なお、制限がかけられた当時、Tardis.devとCloudflareとの間のトラフィックは、通常は1秒あたり平均1500リクエスト、1リクエストあたり0.5MBのペイロードだったものが、1秒あたり平均3000リクエストと2倍に増え、ペイロードも1リクエストあたり12MBと25倍に急増。輻輳(ふくそう)が発生し、自動軽減策では完全に解決できず、エンジニアが手動で制限を行って大量のトラフィックが発生するのを抑えたとのこと。

Cloudflareではこのエンジニアの対応について、「Cloudflareには、帯域幅を大量に消費する顧客を抑制するための確立されたプロセスがなく、そのつもりもありません。今回の是正策は誤りであり、承認されたものではありませんでした。深く後悔しています」と述べています。

同様の事故の発生を防ぐため、Cloudflareは同種の問題発生時の明確なルールを確立。有料顧客か無料顧客かを問わず、顧客のドメインに対してアクションを行う際には複数レベルの承認と顧客への明確なコミュニケーションが必要になると定めました。

今回の件による被害は限定的だとのことです。