管理画面はパスキーだけで十分？ Cloudflare Accessを重ねたほうがいい？
ひとことで答えると
個人のブログなら、パスキーでもかなり強い守りです。Accessを重ねるのは、守りを一段上げたいとき。ただ、設定によっては画像や検索まで見られなくなるので、慎重に行います。
くわしい答え
パスキー（指紋・顔認証）は、パスワードと違って盗み見や偽サイトに強いログイン方法です。まずは次の3つで十分な守りになります。
- パスキーを2台以上の端末に登録しておく（1台なくしても入れるように）
- 管理者のアカウントを人と共有しない
- 使わなくなった人のアカウントは、管理画面で無効にする
Cloudflare Access（決めたメールアドレスの人しか入れない門）を重ねることもできます。ただし注意点があります。
- 公式の手順では、管理画面だけでなく
/_emdash/以下の全体を守るよう書かれています（Authentication） - このブログでは、記事の画像やサイト内検索も `/_emdash/` 以下から配信しています。そのまま全体を閉じると、読者が画像や検索を使えなくなります
- コマンド（CLI）での接続にも、Access用の追加設定が必要になります
会社のルールで「Accessを必ず使う」と決まっている場合や、お客様のサイトで使う場合は、画像・検索をどう通すかも含めて、エンジニアと相談して設定しましょう。