WorkersでのRFC 9440 mTLS証明書フィールドの新機能

2026年3月27日

mutual TLS (mTLS) クライアント証明書を含むリクエストに対して、Workersのrequest.cf.tlsClientAuthで4つの新しいフィールドが利用可能になりました。これらのフィールドは、クライアント証明書とその中間チェーンをRFC 9440形式でエンコードします。これはClient-CertおよびClient-Cert-Chain HTTPヘッダーで使用されるのと同じ標準形式であるため、カスタムの解析やエンコードロジックなしに、Workerからオリジンサーバーへそのまま転送できます。

新しいフィールド

フィールド	タイプ	説明
certRFC9440	String	RFC 9440形式（:base64-DER:）のクライアントリーフ証明書。クライアント証明書が提示されなかった場合は空。
certRFC9440TooLarge	Boolean	リーフ証明書が10 KBを超えてcertRFC9440から除外された場合はtrue。
certChainRFC9440	String	RFC 9440形式の中間証明書チェーンをカンマ区切りリストとして表現。中間証明書が送信されなかった場合、またはチェーンが16 KBを超えた場合は空。
certChainRFC9440TooLarge	Boolean	中間チェーンが16 KBを超えてcertChainRFC9440から除外された場合はtrue。

例：クライアント証明書ヘッダーをオリジンに転送

JavaScript

export default {
  async fetch(request) {
    const tls = request.cf.tlsClientAuth;
    
    // 証明書が検証され、チェーンが完全な場合のみ転送
    if (!tls || !tls.certVerified || tls.certRevoked || tls.certChainRFC9440TooLarge) {
      return new Response("Unauthorized", { status: 401 });
    }
    
    const headers = new Headers(request.headers);
    headers.set("Client-Cert", tls.certRFC9440);
    headers.set("Client-Cert-Chain", tls.certChainRFC9440);
    
    return fetch(new Request(request, { headers }));
  },
};

詳細については、Client certificate variablesおよびMutual TLS authenticationを参照してください。