User-Agentで通す・止めるを決める規則は、相手が版を上げると効き方が変わる。CloudflareのBrowser Runが既定の名乗りをChrome 152にした日に ── 自社の規則を棚卸しして確かめる13項目（2026年11月時点）

目次

1. 01 何が書いてあるか — Browser Runの既定の名乗りが、Chrome 119から152に変わった
   1. 変更記録に書かれた主な点
   2. この記事で書かないこと
2. 02 なぜ・背景 — 名乗りは「版つきの文字列」で、版は上がり続ける
   1. User-Agentには、ブラウザの版の数字が入っている
   2. 版が上がることは、ほかのクローラーの文書にも書かれている
   3. 名乗りは、誰でも書ける
   4. 壊れ方には、2つの向きがある
   5. 気づきにくい理由
3. 03 用語 — 出てくる言葉を、先にそろえる
   1. 名乗りと、robots.txtの名前は別のもの
   2. 版の数字の書き方は、3通りに分かれる
4. 04 型別 — 規則の置き場所、確かめられないこと、確かめる手順
   1. 🅰 適用範囲 — 名乗りで決めている規則は、どこに置かれうるか
   2. 🅱 この情報が測っていないこと
   3. 🅲 手順1 — 自社の規則を一覧にする
   4. 🅲 手順2 — 版の数字が入っている規則に印を付ける
   5. 🅲 手順3 — 壊れる向きを決める
   6. 🅲 手順4 — 規則の根拠を、名乗りから別のものに替えられるか考える
   7. 🅲 手順5 — 相手の更新を知る仕組みを置く
5. 05 明日、担当サイトで確認できることチェックリスト
6. 06 代替・他の選択肢 — 名乗りを根拠にしない書き方
   1. 規則の根拠の強さを比べる
   2. 名乗りの名前だけで足りる場面
   3. 自社の道具の名乗りは、自社で決められる
   4. 遮断の規則を、版で作らない
7. 07 当サイトで確かめたこと — クローラーの名乗りを使う取得を、公式の一覧と照らし直した
8. 08 このテーマは、ここまで — 名乗りの確かめ方と、取得する側の話の流れ
   1. これまでの記事
   2. 今回の記事の位置
9. 09 この記事のまとめ

01 何が書いてあるか — Browser Runの既定の名乗りが、Chrome 119から152に変わった

Cloudflareは2026年10月30日、同社の変更記録で、Browser Runの既定のブラウザをChrome 152にした、と書いた。Browser Runは、Cloudflareの網の上で、画面のないChromeを動かし、ページの読み込み、スクリーンショット、PDFの作成、文章の取り出しなどをさせる機能である。その中の「Quick Actions」は、コードを置かずに、1回のHTTPの要求で、スクリーンショットなどを頼める使い方を指す。

この記事の主題は、その変更記録の中の1つの文である。Quick Actionsが名乗る既定のUser-Agentが、Chrome 119を名乗る形から、Chrome 152を名乗る形に変わった。変更記録は、このUser-Agentを許可したり、照合したりしている人は、規則を更新するようにと書いている。この記事は、Cloudflareの機能を解説する記事ではない。相手が名乗りの版を上げたとき、自分の側の規則に何が起きるかを、自社の規則の棚卸しとして確かめる記事である。

変更記録に書かれた主な点

筆者が読んだ範囲で、要点は次のとおりである。

• 既定のブラウザがChrome 152になる。利用者のコードの変更は要らない、と書かれている。
• Quick Actionsの既定のUser-AgentがChrome 119からChrome 152に変わる。許可や照合をしているなら、規則を更新するように、とある。
• 名乗りを自分で決めたいときは、userAgentという指定で、独自の文字列を渡せる。
• 要求がふつうのChromeの要求に近づくので、一部のサイトで遮断される場面が減ることが見込まれる、と書かれている。
• 信頼しなくなった根の証明書が、信頼の一覧から取り除かれた。
• 大きな応答のヘッダーを持つページが、正しく読み込めるようになった。ほかに、リンクの取り出しや文章への変換の細かい直しも書かれている。

この記事で使うのは、2番目の点と3番目の点だけである。ほかの点は、この記事の主題から外れるため触れない。

この記事で書かないこと

変更記録は、Cloudflareの検知が人間の訪問者を遮断するかどうかについては、何も書いていない。この記事も、それを書かない。また、Browser Runが名乗る文字列の全文（版の数字以外の部分）や、名乗り以外の見分けの手がかりを、Cloudflareがどう扱っているかは、読んだ範囲に書かれていなかった。書かれていないことは、この記事も書かない。

02 なぜ・背景 — 名乗りは「版つきの文字列」で、版は上がり続ける

User-Agentには、ブラウザの版の数字が入っている

ブラウザやクローラーは、ページを取りに来るとき、自分の名前と版を書いた文字列を、要求に添える。これがUser-Agentである。MDN Web Docsは、この文字列を、要求した側のアプリ、OS、提供元、版を、サーバーなどが見分けるためのもの、と説明している。Chromeの文字列には、Chromeの大きな版の数字が入っている。MDNは、Chromeの例として、版の部分が「143.0.0.0」のように、大きな版は正確で、細かい版は常にゼロになる、と書いている。

つまり、Chrome 152を名乗る文字列には、「152.0.0.0」と読める部分が含まれる。筆者の読みでは、規則の中に「Chrome 119」と版の数字まで書いてあれば、相手が152に上げた瞬間に、その規則は何にも一致しなくなる。

版が上がることは、ほかのクローラーの文書にも書かれている

Browser Runだけの話ではない。筆者が開いた各社の文書にも、名乗りの中の版が変わることが書かれている。

• Google: クローラーの一覧のページは、Googlebotの名乗りの中に「Chrome/W.X.Y.Z」という形の版の部分があり、これは使っているChromeの版に置き換わる、と説明している。版が上がり続けるので、ログを探したり、サーバーで絞ったりするときは、版の部分をワイルドカードにするよう勧めている。ページの最終更新は2026年10月30日である。
• Apple: Applebotの案内は、検索用の名乗りにブラウザの版が含まれ、Appleが版を更新することがあるが、全体の形は保つ、と書いている。
• OpenAI: クローラーの案内は、OAI-SearchBotとGPTBotの名乗りの例に、「版の数字は変わりうる」と添えている。ChatGPT-Userの例には、読んだ範囲で同じ一文を確かめていない。

3社とも、名乗りの中の版が変わりうることを書いている（OpenAIは2つの名乗りの例について）。相手が版を上げるのは、例外ではなく、ふつうのことである。

名乗りは、誰でも書ける

もう1つ、名乗りには弱さがある。Apacheのアクセス制御の手引きは、User-Agentの値で許可や拒否を決める書き方を例に挙げたうえで、この方法は当てにならないと注意している。理由は、利用者が好きな値を書けるからである。Googleの確認方法のページ（最終更新は2026年3月20日）も、Googleの名乗りで来る要求が本当にGoogleのものかを、逆引きと正引きの組み合わせ、または公開された範囲の一覧との照合で確かめる、と書いている。この方法は、Googlebotの名乗りは誰でも書ける。通す・止めるを名乗りだけで決めず、接続元で確かめる ── 自分のサイトの判定を点検する13項目（2026年10月時点）に詳しい。

名乗りは、版が上がると変わる。名乗りは、誰でも書ける。この2つの弱さがあるのに、名乗りを許可や遮断の根拠にしている規則が、自社のどこかに残っていないか。これが、この記事の問いである。

壊れ方には、2つの向きがある

相手が版を上げたとき、規則の壊れ方は、規則の目的で向きが逆になる。次の図は、筆者が整理した2つの向きである。

左の向きは、通したいものが止まる。たとえば、自社の点検の道具の名乗りを許可していたのに、道具の版が上がって、許可から外れる。右の向きは、止めたいものが通る。たとえば、古い版の名乗りを「自動のもの」と見なして遮断していたのに、相手が新しい版に変えて、遮断を抜ける。どちらも、規則自体にはエラーが出ない。静かに、効き方だけが変わる。

気づきにくい理由

これは筆者の読みだが、気づきにくい理由は3つある。1つ目は、規則を書いた人が、数か月後には版の数字まで覚えていないことである。2つ目は、規則が一致しなくなっても、サーバーはエラーを出さないことである。通すはずのものが止まると、止まった側の人が気づく。止めるはずのものが通ると、誰も気づかない。3つ目は、規則が置かれている場所が1つではないことである。CDNやWAFの画面、サーバーの設定、アプリのコード、監視の道具の設定、アクセス解析の除外の設定と、散らばっている。

03 用語 — 出てくる言葉を、先にそろえる

名乗りと、robots.txtの名前は別のもの

混同しやすいので、先に書いておく。クローラー向けのrobots.txtに書く名前（トークン）と、要求に添えられるUser-Agentの文字列は、別のものである。Googleのクローラーの概要のページ（最終更新は2026年6月12日）は、クローラーを、通常のもの、特別な用途のもの、利用者の操作で動くものに分けて説明していて、robotsに従うかどうかは種類で違うと書いている。この記事が扱うのは、要求に添えられる文字列の側である。robots.txtの書き方は、Cloudflareは確認済みボットを、名乗りが本物かに加えて、robots.txtと429を守り続けているかでも評価し続ける仕組みを書いた ── 自分のサイトのrobots.txtと429がボットに読める形かを確認する13項目（2026年10月時点）に書いた。

版の数字の書き方は、3通りに分かれる

規則の中で版をどう書くかは、大きく3通りに分かれる。筆者が整理した。

• 版まで固定して書く: 名乗りの全文、または「Chrome/119」のように版の数字まで入れる。相手が版を上げると、一致しなくなる。
• 版を範囲で書く: 「Chromeの110から130まで」のように、数字の範囲で書く。範囲の外に出ると、一致しなくなる。
• 版を書かない: 「Chrome」や、製品の名前だけを見る。版が上がっても一致し続ける。

どれが正しい、という話ではない。どれで書いてあるかを、自分で知っていることが、棚卸しの出発点である。

04 型別 — 規則の置き場所、確かめられないこと、確かめる手順

🅰 適用範囲 — 名乗りで決めている規則は、どこに置かれうるか

名乗りで通す・止めるを決める規則は、1か所とは限らない。置かれうる場所を、表にした。表の「探し方」は、筆者の案である。

全部を見るには時間がかかる。最初は、CDN・WAF、サーバーの設定、監視の道具の3つだけでよい。止まったとき、または通ったときの影響が大きいのは、この3つだと筆者は読む。

🅱 この情報が測っていないこと

変更記録は、規則の更新が必要な人に向けて、短く書かれている。次の点は、書かれていない。

• どのサイトが、Chrome 119を条件にした規則を実際に持っていたか。
• 規則を更新しなかったサイトで、何が起きたか。
• Chrome 152の名乗りで、遮断が実際にどれだけ減るか。
• Browser Runが、名乗り以外の手がかりで自分を名乗っているか。

どれも、変更記録からは分からない。自社の規則に版の数字が入っているかは、自社の画面と設定を開くしか確かめる方法がない。

🅲 手順1 — 自社の規則を一覧にする

まず、前の表の7つの置き場所のうち、見られる場所を決める。見られる場所ごとに、「名乗りを条件にしている規則」を探し、1行ずつ書き写す。書き写す内容は4つで、場所、規則の文、通すか止めるか、誰が書いたかである。誰が書いたか分からなければ、「不明」と書く。不明が多いことが、そのまま、棚卸しの最初の結果になる。

🅲 手順2 — 版の数字が入っている規則に印を付ける

一覧の規則の文を見て、版の数字が入っているものに印を付ける。見分け方は簡単で、「Chrome/」の後ろに数字が続いているか、「Safari/」「Firefox/」の後ろに数字が続いているか、全文をそのまま書いていないかを見る。印の付いた規則が、相手の更新で効き方が変わりうる規則である。

🅲 手順3 — 壊れる向きを決める

印の付いた規則ごとに、壊れる向きを書く。「通したいものが止まる向き」なのか、「止めたいものが通る向き」なのか。次の図の5つの段階のうち、3番目がこの判断にあたる。

「通したいものが止まる向き」の規則は、止まった側から苦情が来るので、見つけやすい。「止めたいものが通る向き」の規則は、通った側が黙っているので、見つかりにくい。先に確かめるべきは、後者だと筆者は考える。

🅲 手順4 — 規則の根拠を、名乗りから別のものに替えられるか考える

印の付いた規則を、2つに分ける。1つ目は、名乗りでなくても決められる規則である。たとえば、自社の点検の道具を通したいだけなら、道具の接続元の範囲を決めて、その範囲を通す形にできる。2つ目は、名乗りを見るしかない規則である。たとえば、特定の製品の名乗りを、ログの集計から外したいだけの規則である。この場合は、名乗りを根拠にしてよい。ただし、版は書かない形に直す。

外部のクローラーを通す規則なら、公式の接続元の範囲の一覧と照らす方法がある。OpenAIの案内には、OAI-SearchBot、GPTBot、ChatGPT-Userのそれぞれに、公開された範囲の一覧のファイルがある、と書かれている。Perplexityの案内も、PerplexityBotとPerplexity-Userのそれぞれの一覧を、ファイアウォールの規則の元にするよう勧めている。Appleの案内は、Applebotを、逆引きの結果か、公開された範囲の一覧で確かめる、と書いている。これらの確かめ方は、Googlebotの名乗りは誰でも書ける。通す・止めるを名乗りだけで決めず、接続元で確かめる ── 自分のサイトの判定を点検する13項目（2026年10月時点）で扱っているので、ここでは繰り返さない。

🅲 手順5 — 相手の更新を知る仕組みを置く

最後に、次の更新に気づく仕組みを置く。今回の更新は、変更記録に書かれていた。変更記録を読む人が自社にいなければ、同じことがまた起きる。筆者の案は2つである。1つ目は、自社が名乗りを頼りにしている相手（点検の道具、スクリーンショットの道具、外部の取得サービスなど）を一覧にして、その相手の更新の知らせを見る担当を決めることである。2つ目は、名乗りの規則の一覧に「見直しの日」の列を足して、3か月に1度、一覧を開く日を決めることである。

05 明日、担当サイトで確認できることチェックリスト

以下は、名乗り（User-Agent）で通す・止めるを決めている規則を見つけ、版の数字の有無と壊れる向きを確かめて、直す順番を決める13項目である。1〜3番目は変更記録の読み取り、4〜8番目は規則の一覧づくり、9〜11番目は壊れる向きの判断、12〜13番目は直し方と見直しの日の記録である。1項目は5分以内でできる。チェックの状態は、お使いのブラウザに保存され、サーバーには送られない。

• Cloudflareの変更記録（2026年10月30日付）を開き、User-Agentが変わると書かれた文の、前の版と後の版の数字をメモ帳に書き写す
• 自社がCloudflareのBrowser Runを使っているか、使っていそうな外注先や道具があるかを、担当者に1通のメッセージで聞く
• 使っているなら、その道具の名乗りが、自社の許可の規則や点検の道具の設定に書かれているかを、担当者に聞く
• 自社のCDN・WAFの画面を開き、User-Agentを条件にしたルールの数を数えて、メモ帳に書く
• 数えたルールを1行ずつ書き写し、通すルールと止めるルールに分けて、場所と文を台帳に書く
• サーバーの設定を開ける人に、User-Agentを条件にしている行が何行あるかを、書面で聞く
• 監視の道具、スクリーンショットの道具、表示確認の道具の設定を開き、それぞれの名乗りの文字列を台帳に書き写す
• アプリや拡張機能の設定画面で、「User-Agent」「ボット」という言葉の付いた項目を、3画面開いて探す
• 台帳の規則の文を上から見て、「Chrome/」などの後ろに版の数字が入っている規則に印を付け、印の数を数える
• 印を付けた規則ごとに、版が上がったとき「通したいものが止まる」か「止めたいものが通る」かを、台帳の1列に書く
• 「止めたいものが通る」と書いた規則を、先に直す候補として台帳の上に並べ替える
• 印を付けた規則のうち、名乗り以外の根拠（接続元の範囲など）に替えられるものを、3つ選んで台帳に書く
• 台帳に「見直しの日」の列を足して、次の見直しの日付を3か月後に決め、カレンダーに1件登録する

06 代替・他の選択肢 — 名乗りを根拠にしない書き方

規則の根拠の強さを比べる

名乗りの規則を見直すとき、何を根拠にするかで、強さと手間が変わる。筆者の整理を、表にした。

この表の「偽装への強さ」は、筆者の読みである。公式の文書が、名乗りは偽装されうること、接続元の範囲の一覧や逆引きで確かめられることを書いているので、それを並べた。個別の方法の強さまでは、各社の文書を確かめてほしい。

名乗りの名前だけで足りる場面

名乗りを全部やめる必要はない。たとえば、自社のアクセス解析から、よく知られたボットの名乗りを外したい場合は、名乗りの名前だけで足りる。間違えて人を外しても、数字が少しずれる程度で、サイトの動きには影響しない。この場面でも、版の数字は書かないのがよい。

自社の道具の名乗りは、自社で決められる

今回の変更記録でもう1つ読めるのは、名乗りを利用者が指定できることである。Browser RunのuserAgentの指定は、その例である。自社が使う点検の道具が、名乗りを指定できるなら、版を含めない固定の名前を決めておく方法がある。自社の規則はその名前だけを許可する。ただし、名乗りは誰でも書けるので、その名前を許可した規則は、名乗りを知った人にも通る。重要なページや操作を、名乗りだけの許可で通さないのが前提である。

遮断の規則を、版で作らない

「古い版のブラウザは自動のものだ」と見なして遮断する規則は、新しい版に変えられると効かなくなる。遮断の規則は、版ではなく、ふるまい（短時間の回数、存在しないページへの取得の多さ、ログインの失敗の連続など）を根拠にするほうが長持ちする、というのが筆者の読みである。ふるまいで見分ける考え方は、CloudflareのWAFは、リクエストと応答を対にして見る検知と応答のルールを全プランに入れた ── 自社の画面とルールを確かめる13項目（2026年10月時点）と、PHPの脆弱性にWAFの保護が入っても、PHPの更新は要る。Cloudflareは「追加の層」と書いた ── CDNを通らない経路・ルールの対象外・WAFを切ったときを確かめる13項目（2026年10月時点）の読み方が参考になる。

07 当サイトで確かめたこと — クローラーの名乗りを使う取得を、公式の一覧と照らし直した

当サイトはCloudflareを使っていない。だから、今回のBrowser Runの更新は、当サイトの設定には直接関係しない。ただ、相手の側が変わったのに、自分の側が追いついていなかった経験はある。2026年10月19日に、当サイトは、クローラーの名乗りを使う取得のうち公式の接続元の範囲に合わないものを断る設定を、各社の公式の一覧と照らし直し、設定に足りなかった範囲を足した。名乗りだけで通していたわけではない。それでも「相手の側が変わったのに、自分の側が追いついていない」という形は、版の更新と同じだった。詳しくは、Cloudflareが確認済みのボットを「行儀」で評価し始めた週、当サイトの9つの名乗りの取得（4,317行）の18.1%は、公式のIPアドレスの一覧と合わなかった ── 14日分のログで数え直したに書いた。

そのとき分かったのは、公式の接続元の範囲を写した設定は、一度書いたあと、見直されないまま残りやすいことである。公式の一覧は毎週自動で取り直しているが、設定に足すのは人の手で、一覧の更新に追いつかなかった。名乗りが版を変えるのとは別の原因である。

当サイトがログを読むときの入口には、🔧 IPA提供 攻撃兆候検出ツール iLogScanner で簡単ログ分析ツール（会員登録が必要・無料）がある。名乗りの規則そのものを調べる道具ではないが、規則を直したあとに、ログに何が残るかを確かめる入口になる。

08 このテーマは、ここまで — 名乗りの確かめ方と、取得する側の話の流れ

これまでの記事

名乗りと、そのほかの手がかりをめぐっては、次の記事を書いてきた。

• 名乗りの確かめ方の基本は、Googlebotの名乗りは誰でも書ける。通す・止めるを名乗りだけで決めず、接続元で確かめる ── 自分のサイトの判定を点検する13項目（2026年10月時点）に書いた。
• 自動のアクセスを名乗りの合計だけで読みかけた失敗は、「AIクローラーが弾かれている」と読みかけた ── 日別に割ったら、正体は数十の名前を名乗る貸しサーバーだったに書いた。
• 当サイトのログで、自動と分かるものの割合を数えた記録は、Cloudflareが通信の半分以上は人間ではないと書いた週、当サイトのログで自動と分かるものは36.2%だった ── 他人の大きな数字を、自社のログ1週間分で数え直すに書いた。
• 名乗りを公式の一覧と照らして数え直した記録は、Cloudflareが確認済みのボットを「行儀」で評価し始めた週、当サイトの9つの名乗りの取得（4,317行）の18.1%は、公式のIPアドレスの一覧と合わなかった ── 14日分のログで数え直したに書いた。
• AI学習の通し方を決めた記録は、Cloudflareが9月15日に加えた「AI学習だけを止める」設定 ── 検索に載せたまま止められる範囲と、今週確かめる6つに書いた。
• 遮断の画面を別のものと読み違えかけた記録は、外から取った画面は、目当ての画面とは限らない ── 遮断の画面を404と読み、引用符の違いでnoindexを「無い」と読みかけたに書いた。

今回の記事の位置

これまでの記事は、取りに来る側の名乗りを、受ける側がどう確かめるかを扱ってきた。今回は、向きを少し変えて、受ける側の規則が、取りに来る側の更新で効き方を変える話を書いた。名乗りを根拠にした規則は、偽装に弱いだけでなく、相手の更新にも弱い。2つの弱さを知って、規則の根拠を選ぶのが、この記事の結論である。名乗りで通した要求が実際に本物かどうかを、接続元の範囲の一覧で確かめる流れは、前の記事に任せる。

規則の見直しのあとで、公開ページの外からの状態を点検する入口には、🔧 WEBサイトの外からできるセキュリティ対策監査ツール（会員登録が必要・無料）がある。名乗りの規則を調べるものではないが、規則を直したあとに、外から見える設定を見直す助けになる。