どんな話？
Vercel の守りを「最初から入っているもの」「困ったときにオンにするもの」「自分でルールを作るもの」に分ける回。DDoS の自動の守りと Attack Mode は無料で、止めたアクセスは請求されません。ただし、止める前に通ったアクセスは数えられます。自分で作るルール（WAF）は、まず Log（記録だけ）で作り、10分ほど記録を見てから Deny か Challenge に変えます。手順は公式ドキュメントに沿っています。
この記事でわかること
- DDoS の自動の守りは、どのプランでも、すべてのデプロイで動く。設定は要らない。ファイアウォールで止めたアクセスの分は請求されないが、止める前に通ってしまったアクセスは、使った量に数えられる
- Attack Mode は、すべてのプランで無料。オンにすると、ページを開く人全員に、ブラウザで自動のチェック（challenge）がかかる。ずっとオンにするものではなく、狙われたときに使う
- 無料プランで、自分で作れる守りのルールは3つまで、止められる住所（IPアドレス）も3つまで。ルールは出し直しなしで、すぐに効く
- ルールは、まず Log（記録だけ）で作って公開し、10分ほどライブの記録を見てから Deny か Challenge に変える。間違えたら、View Audit Log から前の設定に戻せる（Restore）
- レート制限（Rate Limit）は、無料プランでも、1つのプロジェクトに1つ作れる。ルール3つの枠のうち1つを使う。例は、60秒に30回まで
- Bot Protection と AI Bots は、追加料金なしで使える。どちらも、最初は効いていない。Cloudflare などの中継役を Vercel の前に置くと、Bot Protection は正しく動かない
こんな人に
- ページを公開したあと、いたずらや攻撃が心配になってきた人
- 無料プランで、どこまで守られているのか知りたい人
- 「WAF」「ファイアウォール」という言葉で手が止まった人
この話のTIPS
- 注意Attack Mode や Bot Protection と違って、自分で作るルールは、条件に合えば Google の検索のロボットも止めます。「ボットを止める」のような広い条件は作らないでください。
- 注意無料プラン（と Pro のお試し中）では、規約上、あなたが Vercel に渡した内容を、Vercel 自身がAIの学習に使う場合があります（第1話）。こちらは AI Bots では止められません。