Vercelは2026年7月24日(現地時間)、Vercel Blobストア向けにWeb Application Firewall (WAF) のベータ版提供を開始した。この新機能により、既存のデプロイメント保護ルールがBlobトラフィックにも適用され、コードやBlob URLへの変更は不要となる。
Vercel WAFは、Blobストアを保護するため、スクレイパーの停止、地理的ダウンロード制限、高コストアセットのレート制限、不正IPのブロックを可能にする。ルールはエッジでIP、国、パスなどに基づいて評価される。
具体的な機能として、DenyはHTTP 403を返してリクエストを早期に停止し、データ転送を発生させない。Challengeは標準のブラウザチャレンジを提供し、失敗したリクエストはブロックされる。Rate limitはクライアントが設定された制限を超過した場合にHTTP 429を返す。Redirectおよびlog機能はデプロイメントトラフィックと同様に動作する。OWASP Core Rulesetは動的アプリケーショントラフィック向けのため、このWAFではサポートされない。
設定はダッシュボードから行い、Blob storeを開き、Settings、Protect your storeを選択することで有効化できる。ルールは標準のルールビルダーで作成され、即座に適用される。ベータ期間中は設定はダッシュボードからのみ可能で、チャレンジルールはブラウザでの解決が必要となるため、サーバーサイドの@vercel/blobリクエストでチャレンジルールにマッチした場合はブロックされる。Vercel WAF for Blobは全てのプランでベータ版として利用可能である。
参考: Vercel Blog (アーカイブ) — 2026年7月25日 02:48 (JST)
原文ハイライト"The Vercel WAF can now protect a Vercel Blob store."