Cloudflareにブロックされたときの解除方法｜1020・1015などエラー番号別の対処

Cloudflareを使っているサイトで「Sorry, you have been blocked」や「Access denied」が表示されるのは、サイト側に設定されたセキュリティのルールに、あなたのアクセスが引っかかったためです。

ここで大事なのは、ブロックを決めているのはCloudflareではなく、そのサイトの運営者だという点です。だから対処も「サイト側の設定を直す」か「自分の通信を正常な状態に戻す」のどちらかになります。

この記事では、画面に出るエラー番号の読み方と、訪問者・サイト運営者・APIを叩く開発者それぞれの立場での解除方法を整理します。

なお、この記事はボット対策そのものをすり抜ける方法は扱いません。正当なアクセスが誤ってブロックされた状態を解く、という範囲に限ります。

まずエラー番号を見る

Cloudflareのブロック画面には、下部に4桁のエラー番号とRay IDが表示されます。番号によって原因が違うため、ここを見ないと対処を選べません。

番号	表示される内容	意味
1020	Access denied	サイトが設定したファイアウォールのルールに一致した
1015	You are being rate limited	短時間のアクセス回数が多すぎる
1006 / 1007 / 1008 / 1106	Your IP address has been banned	IPアドレス単位で拒否されている
1010	banned your access based on your browser’s signature	ブラウザの特徴を根拠に拒否されている
1012	Access Denied	サイトのポリシーによる制限

Ray IDは、その1回のアクセスに割り振られた識別子です。サイト運営者はこの値からログを特定できるため、問い合わせるときは必ず添えてください。

訪問者として解除したいとき

1020や1010が出ている場合、次の順に試すと切り分けられます。

1. 通信経路を変える

最も多い原因がVPN・公衆Wi-Fi・携帯キャリアの共有IPです。同じIPを多数の人が使っているため、他の誰かの行為でそのIPが拒否対象になっていることがあります。

VPNを使っているなら切って再アクセスする
Wi-Fiを切り、モバイル回線に切り替える
職場や学校のネットワークなら、別の回線で試す

ここで見られるようになったなら、原因はIPです。自分の端末の問題ではありません。

2. ブラウザの状態を戻す

Cloudflareの判定は、ブラウザが正常に振る舞っているかを見ています。次の設定が影響します。

確認項目	理由
Cookieが有効か	判定結果を保持できず、毎回チェックに戻される
JavaScriptが有効か	ブラウザ判定のスクリプトが動かない
端末の時刻が正しいか	ずれていると証明書の検証に失敗する
広告ブロック等の拡張機能	判定用の通信を遮ることがある
ブラウザのバージョン	古すぎると対応していない通信方式になる

切り分けとしては、シークレットウィンドウ（拡張機能が無効）で開くのが手早い方法です。ここで見られるなら、原因は拡張機能かキャッシュです。

3. キャッシュとCookieを消す

過去の判定結果が残っていることがあります。そのサイトのCookieとキャッシュを消してから再読み込みします。

4. サイト運営者に連絡する

ここまでで解決しないなら、そのサイトが意図的にあなたのアクセスを拒否している可能性が高くなります。解除できるのは運営者だけです。問い合わせる際は次を伝えます。

エラー番号（1020など）とRay ID
アクセスしようとしたURL
発生した日時とタイムゾーン
使っている回線（自宅・社内・モバイルなど）とブラウザ

サイト運営者として解除するとき

自分のサイトで、正当な訪問者がブロックされている場合の確認手順です。

1. Ray IDからログを特定する

Cloudflareの管理画面にはセキュリティイベントのログがあり、Ray IDで検索すると、どのルールがそのアクセスを止めたかが分かります。ここを見ずに設定を触ると、原因ではない箇所を変えることになります。

2. 止めている機能を特定する

ブロックの出どころは1つではありません。

機能	止める対象
WAF（マネージドルール）	攻撃とみなされるパターンを含むリクエスト
カスタムルール	自分で書いた条件（国・IP・パス・UAなど）
レート制限	一定時間内のアクセス回数が閾値を超えたもの
ボット対策	自動化されたアクセスと判定されたもの
IPアクセスルール	指定したIP・IP範囲・国

誤検知で多いのはWAFのマネージドルールです。問い合わせフォームに記号を多く含む文章を書いた、管理画面のURLにアクセスした、といった正常な操作が攻撃パターンに一致することがあります。

3. 全体を止めず、条件を絞って許可する

原因のルールが分かったら、機能ごと無効にするのではなく、必要な範囲だけ通すのが原則です。

特定のルールIDだけを、そのパスに対して除外する
社内のIPアドレスを許可リストに入れる
APIのエンドポイントだけ、レート制限の閾値を上げる

セキュリティ機能をまとめてオフにすると、防いでいた通信も一緒に通ります。「誤検知を1つ直す」ために「防御を全部やめる」のは割に合いません。Webセキュリティの考え方はWebセキュリティの基礎にまとめています。

4. 変更したら必ず再現テストをする

設定を変えたあと、ブロックされていた条件で実際にアクセスして確認します。管理画面の表示だけで判断しないでください。

プログラムからアクセスして止められるとき

自作のスクリプトやAPIクライアントが1020や1015を受け取る場合、原因はたいてい次のどれかです。

原因	対処
リクエストが速すぎる（1015）	間隔を空ける。並列数を下げる
User-Agentが空、または既定のまま	連絡先を含む識別できるUAを設定する
利用規約で自動アクセスが禁止されている	公式APIがあればそちらを使う
そもそも許可されていない	運営者に用途を説明して許可を得る

Pythonであれば、ステータスコードとRay IDを確認するところから始めます。

import requests

res = requests.get(
    "https://example.com/api/items",
    headers={"User-Agent": "MyTool/1.0 (contact: you@example.com)"},
    timeout=30,
)
print(res.status_code)                 # 403 など
print(res.headers.get("cf-ray"))       # Ray ID
print(res.text[:200])                  # エラー番号が本文に含まれる

ここで得たRay IDを添えて運営者に連絡すれば、どのルールで止まったかを特定してもらえます。

回数を分散させて検知を避ける、といった方向で解決しようとしないでください。利用規約に反する場合があり、恒久的に拒否される結果になります。公開APIの使い方はAPIとは？Web通信の仕組みで扱っています。