# Discourseがリンク/リソースをプリロードする際にホストのIPアドレスを漏洩するのを止めろ
**URL:** https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012
**Category:** Self-hosting
**Created:** [2026 年 3 月 22 日午後 11:58 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012 "2026-03-22T23:58:11Z")
**Posts on this page:** 6
**Page:** 1
### Author:  [@Yogurt](https://meta.discourse.org/u/Yogurt)
#### Post date: [2026 年 3 月 22 日午後 11:58 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/1 "2026-03-22T23:58:12Z")
こちらに記載されている投稿を参照しています：[Discourse Link previews through a proxy server?](https://meta.discourse.org/t/discourse-link-previews-through-a-proxy-server/72720)
まず、この10年近く前の投稿を掘り起こしてしまい申し訳ありませんが、これが他の誰も困っていないとは本当に信じられません。
私は現在、ホストサーバーとそのIPアドレスをCloudflareの背後に隠すことに成功し、数時間かけて検索した結果、Cloudflareからのネットワークトラフィックのみを許可するように設定し、ポートスキャナーが誤ってIPアドレスでフォーラムを発見しないようにしました。セキュリティは私にとって非常に重要です。メールサーバーは外部にあり、ほぼすべてが保護されていますが、誰かが投稿に餌となる画像を挿入するだけで、Discourseがそれを直接ダウンロードして埋め込むというのは冗談のような状態です。これを無効にする方法はどこにも見つけられませんでした。プレビューであるはずのOneboxでさえ、これらを0に設定しても何の効果もなく、IPロギングピクセルがすぐに埋め込まれ、攻撃者にホストのIPを漏洩させる可能性があり、この場合Cloudflareの保護はまったく役に立ちません。サービスを適切に保護するか、まったく保護しないかのどちらかです。攻撃者が登録して画像を投稿するのに5分もかからずにホストの実際のIPを知ることができる場合、Cloudflareを使用する意味がどこにあるのでしょうか？
私は今日、AI、tor、torsocksを使って何時間も試しましたが、うまくいきませんでした。env設定を変更しようとすると、再構築がクラッシュすることがほとんどです。誰かがどうにかしてこれを実現できたなら、どうか私たちと共有してほしいとほとんど懇願しています。ほとんどの場合、再構築が失敗するのは、GithubがTorトラフィックを禁止しているためか、Githubへのアクセスが機能しないためです。
そして、Discourseがリンクを事前にロードするのを無効にできれば、これらすべてが必要になることはないはずです。
本当に困っています。
---
### Author:  [@merefield](https://meta.discourse.org/u/merefield)
#### Post date: [2026 年 3 月 23 日午前 6:27 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/2 "2026-03-23T06:27:57Z")
これが役立つでしょうか？
> [@"Onebox Assistant", crawl for those previews reliably!](https://meta.discourse.org/t/onebox-assistant-crawl-for-those-previews-reliably/107405?u=merefield):
>
> What it does Turns this kind of result: (where your server has failed to bring back the page source so cannot extract the required tags to build the onebox) Into this!: It simply provides an alternative path for onebox to get its page source with which to look for meta-data when the target server refuses your connection. It …
これはまさにこの目的のために作られたものではありません（主な目的は信頼性の向上でした）が、解決策の一部になるかもしれません。
---
### Author:  [@Yogurt](https://meta.discourse.org/u/Yogurt)
#### Post date: [2026 年 3 月 23 日午前 10:27 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/3 "2026-03-23T10:27:26Z")
ありがとうございます！プラグインを追加してDiscourseをリビルドした後、最初の2つのチェックボックスをオンにすると、プロキシが設定されているかどうかにかかわらず、プロキシの使用が強制されると考えていました。しかし、プロキシの情報を入力しても、値が空であっても、2つのチェックボックスが有効になっているだけでも、VPSのIPアドレスでトラッキングピクセルをロードし続けます:[confused]
今度は、Docker全体、またはDiscourseイメージのみをプロキシを使用するように設定して、Torでのリビルドの失敗のように一般的なプロバイダーで機能するかどうかを試してみます。
---
### Author:  [@merefield](https://meta.discourse.org/u/merefield)
#### Post date: [2026 年 3 月 23 日午前 10:29 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/4 "2026-03-23T10:29:43Z")
ああ、残念です。解決策に関わらず、プラグインルートが依然として正しい方法です。メンテナンスが格段に楽になりますから。
---
### Author:  [@RGJ](https://meta.discourse.org/u/RGJ)
#### Post date: [2026 年 3 月 23 日午後 12:52 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/5 "2026-03-23T12:52:38Z")
個別のホストにTinyproxyのようなものをセットアップし、環境変数を設定してそれを使用するように構成するだけで済みます。TinyproxyでIPヘッダー転送を無効にしていることを確認し、テーマのインストールを容易にするためにGitHubを除外すると役立つ場合があります。
> [@Yogurt](#):
>
> ほとんどの場合、GitHubへのアクセスが機能しないため、再構築は失敗します。これは、GitHubがTorトラフィックを禁止しているためだと思われます。
このようなメカニズムは、Discourseがビルドされるときではなく、Discourseが実行されるときに使用する必要があります。
---
### Author:  [@Yogurt](https://meta.discourse.org/u/Yogurt)
#### Post date: [2026 年 3 月 23 日午後 2:45 UTC](https://meta.discourse.org/t/stop-discourse-leaking-its-host-ip-adress-when-preloading-links-ressources/399012/6 "2026-03-23T14:45:09Z")
お二方とも、ご提案とアイデアをいただき、本当にありがとうございます！
いったんこれで諦めることにします。あまりにも長い間これに取り組んでいて、そんなに難しいとは思っていませんでしたが、SOCKSやSOCKS5のようなプロキシのトピックで少し途方に暮れています。`app.yml`のenvセクションにいくつかのパラメーターや設定を追加するのと同じくらい簡単だろうと思っていましたが、カスタムソリューションにはもっと多くの時間を費やす必要がありそうです。というのも、一般的に、curlを使って例えば[https://check.torproject.org/api/ipのような外部へプロキシ経由で接続を取得するのに苦労しているからです。ですから、プロキシについてもっと深く掘り下げる必要があると思います。](https://check.torproject.org/api/ip%E3%81%AE%E3%82%88%E3%81%86%E3%81%AA%E5%A4%96%E9%83%A8%E3%81%B8%E3%83%97%E3%83%AD%E3%82%AD%E3%82%B7%E7%B5%8C%E7%94%B1%E3%81%A7%E6%8E%A5%E7%B6%9A%E3%82%92%E5%8F%96%E5%BE%97%E3%81%99%E3%82%8B%E3%81%AE%E3%81%AB%E8%8B%A6%E5%8A%B4%E3%81%97%E3%81%A6%E3%81%84%E3%82%8B%E3%81%8B%E3%82%89%E3%81%A7%E3%81%99%E3%80%82%E3%81%A7%E3%81%99%E3%81%8B%E3%82%89%E3%80%81%E3%83%97%E3%83%AD%E3%82%AD%E3%82%B7%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6%E3%82%82%E3%81%A3%E3%81%A8%E6%B7%B1%E3%81%8F%E6%8E%98%E3%82%8A%E4%B8%8B%E3%81%92%E3%82%8B%E5%BF%85%E8%A6%81%E3%81%8C%E3%81%82%E3%82%8B%E3%81%A8%E6%80%9D%E3%81%84%E3%81%BE%E3%81%99%E3%80%82)
私が知っている限りのあらゆる方法でホストIPを隠すことができれば良かったのですが、Discourseのような非常に強力なフォーラムプラットフォームを使用することのトレードオフなのでしょうね。Discourseには非常に多くの設定オプションがあります。リンクやプレビューのプリロード、あるいはより一般的に、ユーザーによって提供される外部リソースのフェッチを防ぐ機能のリクエストは可能でしょうか？こちらにリクエスト用のサブフォーラムが見つかりませんでした:frowning:
> [@RGJ](#):
>
> Discourseが構築されるときではなく、Discourseが実行されるときにそのようなメカニズムを使用するはずです。
はい、しかし、Discourseのアップデートや再構築の後もプロキシ設定を維持したいのです。Dockerを扱うのは少しトリッキーな場合があります。