Cloudflare の CAPTCHA がアンプサンド（&）を含む URL で誤作動

TIL: Cloudflare CAPTCHA on at least one ampersand

私は、このサイトのファセット検索エンジンをクローラーが過剰にスパイダーリングするのを防ぐために、Cloudflare の CAPTCHA（現在は「Web Application Firewall > Custom rules > Managed Challenge」と呼ばれています）を使用しています。しかし、単純な?q=term 検索ですらチャレンジを引き起こすことに我慢の限界を感じました。

Claude Code でいくつか試行錯誤した結果、以下のようなルールを登録することで、CAPTCHA が少なくとも1つのアンパサンド（&）を含む検索 URL の場合にのみ作動するようにできることが分かりました：

(http.request.uri.path wildcard r"/search/*" and http.request.uri.query contains "&")

これで、/search/?q=lemur が CAPTCHA を引き起こさずに動作するようになりました！

また、Claude Code で Cloudflare MCP を試すに関するノートも含まれていますが、結局のところ該当するルールを編集できないことが判明したため、Claude Code に Cloudflare API へ切り替えるよう指示しました。

Tags: captchas, cloudflare, model-context-protocol, claude-code

Cloudflare の CAPTCHA（認証テスト）が、少なくとも 1 つのアンドサンダー記号 (&) を含む URL で動作しないという問題について。これは、Claude Code が生成したコードや、Model Context Protocol (MCP) を介して Claude Code と連携するツールが、Cloudflare の保護メカニズムに遭遇した際に発生します。

⟦CODE_0⟧

この問題は、URL に特殊文字が含まれる場合、特にアンプサンド (&) がクエリパラメータの区切りとして使用されている場合に、Cloudflare の CAPTCHA チェックが誤ってトリガーされることで起こります。Claude Code は、MCP サーバーを通じて外部ツールを呼び出す際、これらの URL を自動的に生成・処理しますが、その際にエンコードが不十分だと判断され、CAPTCHA が表示されてしまいます。

⟦CODE_1⟧

解決策としては、URL 内の特殊文字を適切にエスケープまたはエンコードすることが挙げられます。具体的には、アンプサンド (&) を %26 に置き換えることで、Cloudflare のシステムが正常なパラメータとして認識し、CAPTCHA を回避できるようになります。

この問題は、Claude Code と MCP の連携において、セキュリティ対策と機能性のバランスをどう取るかという課題を示しています。開発者は、自動生成された URL が外部サービス（特に Cloudflare による保護下にあるサイト）と互換性を持つよう、エンコード処理を強化する必要があります。