Cloudflare One（Zero Trust / SASE）の公式チェンジログから、2026年7月に掲載されたアップデートを Gateway・Access を中心にまとめます。今月は社内向けDNSの一般提供（Internal DNS GA）や、Gateway HTTPポリシーのヘッダー制御、インフラ向けの独立MFA（YubiKey PIVキー）など、ゼロトラストの名前解決・認証・トラフィック制御まわりの強化が目立ちました。対象は2026年7月掲載分（7月1日〜7月21日）、出典は Cloudflare One Changelog です。
今月の注目ポイント
- Internal DNS が一般提供（GA）に。 プライベートネットワーク向けの権威・再帰DNSを、パブリックDNSと同じ基盤・APIで運用でき、解決先は Gateway のリゾルバーポリシーで制御できます。
-
Gateway HTTPポリシーで高度なヘッダー制御に対応。 Allowポリシーで、リクエストヘッダーの追加・上書き・削除ができ、
@{identity.email}などの動的変数も使えます。 -
インフラ向けアプリで独立MFA（YubiKey PIVキー）に対応。 SSH接続にハードウェアベースの第2要素を追加でき、
rootなど機微なユーザー名だけに強制する運用も可能です。 - IPsec ダウングレード保護（ベータ）。 IKEv2拡張により、量子計算能力を持つ攻撃者がポスト量子鍵交換を古典暗号へ格下げするダウングレード攻撃を防ぎます（Cloudflare WAN / Magic Transit）。
- ⚠ 運用影響あり: 2026年10月5日に、Zero Trust Networks / Cloudflare Tunnel API で破壊的変更（CIDRエンコード版ルートエンドポイントの削除、
connectionsフィールドの削除）が予定されています。該当APIを使う環境は移行が必要です。
Gateway 関連
Gateway HTTPポリシーの新しいヘッダー制御オプション（7月17日）
Cloudflare Gateway の Allow（許可）ポリシーで、リクエストヘッダーの高度な制御ができるようになりました。管理者は、一致したリクエストに対してヘッダーを追加（add_headers：既存値を保持したまま追加）・上書き（set_headers：値を置換、なければ作成）・削除（delete_headers）でき、静的な値だけでなく動的変数も使えます。Gateway は「削除→上書き→追加」の順に適用します。ヘッダー値には @{identity.email}（ユーザーのメール）、@{device.posture}（デバイスポスチャの結果）などの動的変数を @{...} 構文で埋め込め、リクエスト時にID・デバイス・ネットワークのコンテキストから解決されます。静的テキストと変数の混在も可能です（例：user-@{identity.email} → user-jdoe@example.com）。
詳細
Internal DNS が一般提供（GA）に（7月15日）
プライベートネットワーク向けの権威DNSおよび再帰DNSを提供する Internal DNS が一般提供（GA）になりました。パブリックDNSやZero Trust、アプリケーションサービスと同じグローバルネットワーク・コントロールプレーン上で動作し、公開・非公開のDNSを1つのプラットフォーム・1つのAPI・1つの監査証跡で運用できます。内部/外部の名前解決は、共有ゾーンに対する別々の「ビュー」として定義し、どのユーザー・デバイスがどのビューで解決するかを Gateway のリゾルバーポリシーで制御できます。設定はゾーン作成・ビュー作成・リゾルバーポリシー定義の3ステップで、Enterprise 向けに Cloudflare Gateway に含まれます。
詳細
Access 関連
プレーンHTTPの社内アプリでブラウザベースログインに対応（7月20日）
Cloudflare Access が、ポート 80 のプレーンHTTPで提供されるプライベートアプリケーションに対しても、標準のブラウザベースのログインフローを使うようになりました。従来、プレーンHTTPのプライベートアプリは SSH や RDP など非HTTPプロトコルと同じセッションフローにフォールバックし、ユーザーは Cloudflare One クライアントの「Authentication required」ポップアップから通知を選び、ブラウザを開いてログインする必要がありました。今後はHTTPプライベートアプリにアクセスすると、ブラウザに直接 Access のログインページが表示され、成功すると標準の Access アプリケーショントークンが発行されます。これにより（Gateway の TLS 復号を有効にした）HTTPS アプリと同じ体験になります。設定変更は不要です。プライベートネットワークへのルーティングには引き続き Cloudflare One クライアントが必要ですが、HTTPアプリの Access セッション管理はクライアントが行わなくなります（SSH・RDP・任意のTCP/UDP など他の非HTTPプロトコルは従来どおりクライアントの通知フローを使用します）。
詳細
ブラウザベースRDPでのPDF一括印刷（7月16日）
ブラウザベースRDPのセッションで、複数のPDFファイルを1つの印刷ジョブとしてまとめて印刷できるようになりました。リモートマシン上でファイルをクリップボードにコピーし、クリップボードパネルで「Print all PDFs」を選ぶと、1つのPDFに結合されてローカルプリンターへ送信されます。一括印刷はChromium系ブラウザとFirefoxで利用できます。
詳細
ブラウザベースRDPのファイル転送制御（ベータ）（7月7日）
Cloudflare Access で、ブラウザベースRDPのファイル転送制御を設定できるようになりました（ベータ）。ローカル端末とリモートWindowsサーバー間のファイルのアップロード/ダウンロードを、ポリシー単位で許可・制限できます。BYOD（私物端末の業務利用）や業務委託先の非管理端末を想定した機能で、リモートセッションから個人端末へ機微データが持ち出されるのを防げます。新規ポリシーではファイル転送は既定で拒否され、全Zero Trustプランで利用できます。
詳細
単一ページアプリ（SPA）向けリダイレクトURLフラグメントのエンコード修正（7月1日）
Access がログイン後にユーザーをアプリへ戻す際、URLフラグメント内の文字（/、?、=、&、;）を正しく保持するようになりました。従来はこれらが encodeURIComponent でエンコードされ、シングルページアプリ（SPA）で使われるフラグメントベースのルートが壊れる問題がありました。設定変更は不要で、認証後にナビゲーションが壊れていた場合はこの修正で解消します。
詳細
インフラ向けアプリの独立MFA（YubiKey PIVキー対応）（7月1日）
Access for Infrastructure が、YubiKey PIVキーを用いたSSH接続向けの独立した多要素認証（MFA）に対応しました。ハードウェアベースの第2要素を追加することで、デバイスのセッションが侵害されただけではサーバーに到達できないようにします。アプリ単位・ポリシー単位で設定でき、root など機微なユーザー名にはPIVキー認証を強制しつつ、他のユーザー名には別の要件を適用できます。MFAセッションの有効期間を設定して、再認証の頻度を制御することも可能です。
詳細
その他 Cloudflare One 更新
Cloudflare One クライアント（WARP）2026.6.880.0（Windows / macOS / Linux）（7月21日）
Windows・macOS・Linux 向け Cloudflare One クライアント（WARP）の新しいGAリリース（2026.6.880.0）が3プラットフォーム同時に公開されました。これは、フォールバックDNSサーバーおよび内部DNSサーバーへの DNS-over-TCP クエリが大幅に増加するリグレッション（不具合）を修正するホットフィックスです。従来はUDPとTCPの両プロトコルで並行してクエリしていましたが、本リリースではまずUDPで問い合わせ、応答が切り詰められた（truncated）場合にのみTCPへフォールバックするようになりました。
Windows / macOS / Linux
DLP ソースコード検出の改善（7月10日）
DLP（Data Loss Prevention）のソースコード検出が、ソースコードファイル全体のアップロード/ダウンロードの識別に焦点を当てるよう改善されました。従来は部分スキャンにより誤検知が多く、チャットメッセージや資料・コードサンプルに埋め込まれたコードまで検出していましたが、今回からファイル全体のみを評価するため、こうした埋め込みコードは検出されなくなります。評価には最低500文字が必要で、それ未満のファイルはノイズ低減のため検出対象外です。信頼度しきい値（confidence level）を設定すると一致感度を調整でき、高くすると誤検知が減り、低くするとノイズと引き換えに検出が増えます。適用先は Gateway HTTPポリシー内の単独のソースコードファイルで、.docx など他のファイル形式やチャット内に埋め込まれたコードは対象外です。
詳細
Zero Trust Networks ルートエンドポイントと Tunnel connections フィールドの廃止予告（7月9日掲載、廃止は2026年10月5日）
2026年10月5日に、Zero Trust Networks API と Cloudflare Tunnel API で2つの変更が実施されます。1つ目は、CIDRをURLエンコードしてパスに埋め込む旧ルートエンドポイントの削除で、既存の route_id ベースの標準エンドポイントに一本化されます。2つ目は、Cloudflare Tunnel / Cloudflare Mesh ノード（cfd_tunnel / warp_connector リソース）の list・get レスポンスからの connections フィールドの削除で、今後は専用の connections エンドポイントを使って接続情報を取得します。API・cloudflared・Terraform などでプライベートネットワークのルートやトンネル接続情報を扱っている場合は、削除日までに移行してください。
詳細
IPsec ダウングレード保護（ベータ）（7月8日）
Cloudflare の IPsec が、IKEv2 拡張 IKE_SA_INIT_FULL_TRANSCRIPT_AUTH に対応し、IPsecトンネルへのダウングレード攻撃を防げるようになりました（ベータ）。従来のIKEv2は各エンドポイントが自分の送信メッセージのみに署名する設計のため、量子計算能力を持つ経路上（on-path）の攻撃者がポスト量子鍵交換を古典暗号へダウングレードできる余地がありました。本拡張では、両者が認証交換時にハンドシェイク全体に署名するため、攻撃者がネゴシエーション（鍵交換の交渉）を検知されずに改ざんすることができなくなります。なお保護が有効になるには、イニシエーター（利用者側の機器）とレスポンダー（Cloudflare）の双方が本拡張に対応している必要があります。Cloudflare WAN および Magic Transit の IPsec トンネルで利用でき、現時点ではアカウント単位のフィーチャーフラグで制御されます（有効化はアカウントチームへ連絡が必要です）。
詳細
Cloudflare One クライアント for Windows（2026.6.850.0）（7月7日）
Windows 向け Cloudflare One クライアント（WARP）の新しいGAリリース（2026.6.850.0）が公開されました。これは組み込みの WebView2 ブラウザにおける Windows 認証の問題を修正するホットフィックスです。従来はシングルサインオン（SSO）がWindowsのプライマリアカウントを使えず、対話的なサインインを求められることがありましたが、組み込み認証ブラウザが、OSのプライマリアカウントが利用可能な場合にそれをSSOに使えるようになりました。※本更新はWindows向けクライアント専用です。
詳細
Browser Isolation が認可プロキシエンドポイントに対応（7月7日）
Browser Isolation が Gateway の認可（authorization）プロキシエンドポイントに対応しました。これにより、Cloudflare One クライアントからのトラフィックと同様に、認可プロキシエンドポイント経由のトラフィックにも HTTP Isolate ポリシーを適用できます。従来はソースIPプロキシエンドポイントのみが対応し、しかも非アイデンティティポリシーに限られていました。認可プロキシエンドポイントはIdP（IDプロバイダー）でユーザーを認証するため、Cloudflare One クライアント不要で、PACファイル経由のトラフィックにアイデンティティベースのIsolateポリシーを適用できます。
詳細
Cloudflare One 仮想アプライアンスのセルフサービス登録（7月6日）
Cloudflare One 仮想アプライアンスを、ダッシュボードから直接登録して認証キー（ライセンスキー）を発行できるようになりました。アカウントチームへ連絡する必要はありません。Connectors ページで「Add an appliance」→「Virtual appliance」を選ぶと登録と認証キー発行ができ、コネクタのメニューから「Regenerate authentication key」でキーの再生成も可能です（再生成すると旧キーは即時かつ取り消し不能で無効化されます）。認証キーは一度しか表示されないため、安全に保管してください。ハードウェアアプライアンスは従来どおりアカウントチーム経由での提供です。
詳細
Cloudflare Mesh のホスト名ルーティング（7月2日）
Cloudflare Mesh ノードに、従来のCIDRルートに加えてホスト名ルートを追加できるようになりました。IPレンジを管理する代わりに、ホスト名宛のトラフィックをMeshノードへ引き寄せられます。プライベートホスト名（例：wiki.internal.local）では、IPが不定・一時的な内部アプリに名前で到達でき、Mesh ではDNSサーバーを立てなくてもノード上のhostsファイルエントリや Gateway リゾルバーポリシー（スプリットDNS）で対応できます。パブリックホスト名（例：www.example.com）では、そのホスト名のトラフィックをノード経由でルーティングし、ノードのパブリックIPからegress（外部への送出）できます。
詳細
Cloudflare One クライアント for Linux（2026.6.836.0）（7月1日）
Linux 向け Cloudflare One クライアント（WARP）の新しいGAリリース（2026.6.836.0）が公開されました。これは 2026.6.822.0 と同じリリースで、RPMパッケージの不具合を修正したものです。従来はリポジトリが全OSバージョンに単一のビルドを配信しており、そのバージョンに存在しない依存関係を取得してインストールに失敗することがありました。現在は各OSバージョンに正しいビルドを配信します。2026.6.822.0 をRPM系ディストリビューションにインストール済みの場合は、リポジトリ設定の更新が推奨されます。※修正内容はRPM系ディストリビューション向けです（Debian・Ubuntu は影響を受けません）。
詳細
出典・対象期間
- 対象: 2026年7月掲載分（2026年7月1日〜7月21日）
- 出典: Cloudflare One Changelog および Cloudflare 全体チェンジログ
- 本記事は Cloudflare One 全体のチェンジログから、Gateway・Access を中心に、WARPクライアント・Tunnel/Mesh・DLP・WAN・Browser Isolation・仮想アプライアンスなどの更新を整理したものです。専門用語は必要に応じて簡単に補足しています。
- 補足: 一部のエントリ（7月17日の Gateway ヘッダー制御など）は Cloudflare One 製品グループ専用フィードに反映されていなかったため、全体チェンジログから補完して収録しています。