Cloudflare

Cloudflare は既定で cf-ja4 リクエストヘッダー をオリジンに転送します (JA4 fingerprint)。nginx 側で cf-ja4 を X-Client-JA4 に変換 するだけで unmask が読めます。

1. Cloudflare ダッシュボード → 該当の zone を選択
2. Rules → Transform Rules → Managed Transforms
3. Add visitor location headers や JA4 fingerprint 系のトグルを ON
4. cf-ja4 / cf-ja4-signal 等がオリジンへのリクエストに自動で乗る

http {} スコープに追加:

# Cloudflare が送ってくる cf-ja4 を unmask が読む X-Client-JA4 に rename.
# cf-ja4 が空なら fallback (直 origin access 等) で空文字 → unmask は
# native module の自計算 $client_ja4 に倒れる.
map $http_cf_ja4 $http_x_client_ja4_remap {
    default $http_cf_ja4;
}

※ unmask の標準 map は $http_x_client_ja4 を読むので、server スコープの set $effective_ja4 $http_cf_ja4; で直接上書きする方が簡単な場合もある。

AWS ALB / CloudFront

残念ながら 2025 時点で AWS ALB / CloudFront 共に native の JA4 抽出機能はありません。 custom header に template variable を入れる仕組み (GCP の {client_ja4_fingerprint} 相当) もありません。迂回策が必要です。

AWS ALB の前段に Cloudflare を入れて、JA4 の抽出を Cloudflare に任せる。最もシンプルで、 本番でもそのまま使える。詳細は Cloudflare タブを参照。

CloudFront に Lambda@Edge function を割り当て、viewer request の段階で TLS handshake を 解析し、JA4 を計算してヘッダーへ注入する。実装は JA4 の仕様に準拠する。解析は aws-sdk 系のライブラリと自前実装の組み合わせになる。

// Lambda@Edge (Node.js) sketch — viewer request event
exports.handler = async (event) => {
    const req = event.Records[0].cf.request;
    // CloudFront は req.clientIp と一部 TLS info を提供するが,
    // 完全な ClientHello bytes は来ないため, JA4 完全実装は厳しい.
    // 代わりに ja3 hash や clientTLSVersion 等を組み合わせて proxy
    // signature を作る pragmatic 実装が現実解.
    req.headers['x-client-ja4'] = [{ key: 'X-Client-JA4', value: 'placeholder' }];
    return req;
};

EC2 インスタンスに Elastic IP + ACM 証明書を直接割り当てて nginx で TLS を終端する。nginx は unmask native module でクライアントの TLS handshake を直接見られるので、完全な JA4 を取得できる。ただし、 ALB の機能 (sticky sessions, WAF integration) は使えなくなる。

その他の LB / Reverse proxy

レシピは上記の LB と同じで、前段レイヤーで TLS を終端し、そこでクライアントの JA4 を 計算して X-Client-JA4 ヘッダーに詰めて backend へ転送する (クライアントの送信値は上書きする)。unmask がそのヘッダーを信頼するよう、 管理画面 設定 → ネットワーク の custom LB セクションで 前段レイヤーの接続元 CIDR を追加する。クライアントの TLS handshake から JA4 を出せる reverse proxy なら、同じ方式で unmask を動かせる。

unmask の native mode に切り替えるのが最も楽 (公式 module を提供)。インストール手順は install guide の native mode を参照。