From 98ae1fc0f2a496cef5460587bc69af66ecd46acd Mon Sep 17 00:00:00 2001
From: polidog <polidogs@gmail.com>
Date: Sun, 26 Jul 2026 09:30:13 +0900
Subject: [PATCH 1/3] =?UTF-8?q?feat:=20Cloudflare=20Workers=20=E3=82=92?=
 =?UTF-8?q?=E5=90=8C=E6=9C=9F=E5=85=88=E3=83=97=E3=83=AD=E3=83=90=E3=82=A4?=
 =?UTF-8?q?=E3=83=80=E3=83=BC=E3=81=A8=E3=81=97=E3=81=A6=E8=BF=BD=E5=8A=A0?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Worker Secrets を REST API で同期する cloudflare provider を追加する。

- Sync: PUT /accounts/{id}/workers/scripts/{name}/secrets で登録し、
  既存一覧の GET で新規/更新を分類。prune は DELETE で削除する
- secret: false（平文 vars）は警告のうえスキップする。平文 vars は
  wrangler 設定の [vars] が所有しており、API で設定しても次の
  wrangler deploy で上書きされて消えるため
- environments は別 Worker スクリプト <script>-<環境名> に解決する
  （wrangler が [env.staging] を my-worker-staging としてデプロイする
  慣習に合わせる）。config の cloudflare.environments で上書き可能
- スクリプト名の解決順: CLOUDFLARE_SCRIPT_NAME > config の
  cloudflare.script > wrangler.jsonc/json/toml の name
- validate サブコマンド対応（GET のみの読み取り専用診断）
- setup サブコマンドに Cloudflare の対話プロンプトを追加
- モノレポ向けに cloudflare.scripts[] と --cloudflare-script を追加
- README（英日）・env-sync.yaml・docs/architecture.md・usage を更新

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
---
 README.ja.md                                  | 147 +++-
 README.md                                     | 148 +++-
 cmd/env-sync/main.go                          |  30 +-
 docs/architecture.md                          |  31 +-
 env-sync.yaml                                 |  33 +-
 internal/config/appconfig.go                  | 224 +++++-
 internal/config/appconfig_test.go             | 157 ++++
 internal/config/config.go                     |   4 +
 internal/config/setup.go                      |  63 ++
 internal/config/setup_test.go                 | 123 +++-
 internal/i18n/catalog_en.go                   |  88 ++-
 internal/i18n/catalog_ja.go                   |  89 ++-
 internal/i18n/keys.go                         |  77 ++
 internal/provider/cloudflare/cloudflare.go    | 696 ++++++++++++++++++
 .../cloudflare/cloudflare_integration_test.go | 500 +++++++++++++
 .../provider/cloudflare/cloudflare_test.go    | 316 ++++++++
 .../cloudflare/cloudflare_validate.go         | 156 ++++
 .../cloudflare/cloudflare_validate_test.go    | 229 ++++++
 internal/provider/provider.go                 |   5 +-
 internal/provider/provider_test.go            |  26 +-
 20 files changed, 3085 insertions(+), 57 deletions(-)
 create mode 100644 internal/provider/cloudflare/cloudflare.go
 create mode 100644 internal/provider/cloudflare/cloudflare_integration_test.go
 create mode 100644 internal/provider/cloudflare/cloudflare_test.go
 create mode 100644 internal/provider/cloudflare/cloudflare_validate.go
 create mode 100644 internal/provider/cloudflare/cloudflare_validate_test.go

diff --git a/README.ja.md b/README.ja.md
index f6a740b..53c62a0 100644
--- a/README.ja.md
+++ b/README.ja.md
@@ -2,11 +2,13 @@
 
 [English](README.md) | 日本語
 
-定義ファイル `env-sync.yaml` で宣言した環境変数を **Vercel** または **GitHub Actions** へ一括登録（同期）する Go 製 CLI。
-1 つの定義ファイルから、変数ごとに同期先を選んで Vercel / GitHub Actions の両方へまとめて反映できる。
+定義ファイル `env-sync.yaml` で宣言した環境変数を **Vercel** / **GitHub Actions** / **GCP Secret Manager** / **Cloudflare Workers** へ一括登録（同期）する Go 製 CLI。
+1 つの定義ファイルから、変数ごとに同期先を選んで複数のプロバイダーへまとめて反映できる。
 
 - **Vercel**: REST API (`POST /v10/projects/{id}/env?upsert=true`) を使うため、再実行すると既存の変数は **更新（upsert）** される。
 - **GitHub Actions**: Secrets（sealed box 暗号化）と Variables（平文）の両方に対応する。
+- **GCP Secret Manager**: 実行ごとに Secret のバージョンを追加する。`secret: true` のエントリのみ同期する。
+- **Cloudflare Workers**: REST API で Worker Secrets を登録する。`secret: true` のエントリのみ同期する（[Cloudflare Workers へ同期](#5-cloudflare-workers-へ同期)を参照）。
 
 ## 仕組み
 
@@ -182,7 +184,121 @@ variables:
 - 公開鍵の長さ（32 バイト）を検証し、不正な鍵では処理を中止します。
 - 公開鍵キャッシュは envScope（environment）ごとに管理します（スコープで鍵が異なるため）。
 
-## 5. Vercel と GitHub Actions を混在させる
+## 5. Cloudflare Workers へ同期
+
+`--provider cloudflare` を指定すると、Cloudflare REST API
+(`PUT /accounts/{account_id}/workers/scripts/{script_name}/secrets`) 経由で **Worker Secrets** を同期します。
+
+### 事前準備
+
+- **Workers Scripts:Edit** 権限を持つ API トークン（https://dash.cloudflare.com/profile/api-tokens）
+- アカウント ID（Workers & Pages → 概要、または `wrangler whoami`）
+- 対象の Worker スクリプトが既にデプロイ済みであること（env-sync は Worker を新規作成しません）
+
+### 同期
+
+```bash
+# dry-run（値は表示されない）
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production --dry-run
+
+# 本番反映（更新がある場合のみ y/N 確認）
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production
+
+# 更新確認をスキップ（CI 等）
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production --yes
+```
+
+### シークレットのみ同期（平文 vars はスキップ）
+
+Cloudflare Workers の環境変数には 2 種類あり、env-sync が同期するのは **Secrets のみ**です。
+
+| 宣言 | 挙動 |
+|------|------|
+| `secret: true` | Worker Secret として登録。**`wrangler deploy` をまたいで保持される** |
+| `secret: false` | **警告を出してスキップ** |
+
+平文 vars は wrangler 設定の `[vars]` セクションが管理しており、API やダッシュボードで設定した値は
+次の `wrangler deploy` で上書きされて消えます。同期しても黙って失われるため、平文 vars は
+`wrangler.jsonc` / `wrangler.toml` 側で管理し、env-sync はシークレットのみを扱います。
+
+### `environments` は別の Worker スクリプトに対応する
+
+wrangler は `[env.staging]` を `<スクリプト名>-staging` という **別の Worker** としてデプロイします。
+env-sync もこの慣習に従い、宣言した環境ごとに対応する Worker スクリプトへ書き込みます。
+
+```yaml
+# env-sync.yaml（スクリプト名が "my-worker" に解決される場合）
+variables:
+  API_KEY:      { secret: true, provider: cloudflare }
+  DATABASE_URL: { secret: true, provider: cloudflare, environments: [production, staging] }
+```
+
+| 宣言 | 送信先 Worker スクリプト |
+|------|------------------------|
+| `environments` 省略 | `my-worker` |
+| `environments: [staging]` | `my-worker-staging` |
+| `environments: [production, staging]` | `my-worker-production` と `my-worker-staging` |
+
+本番 Worker が `my-worker-production` ではなくベーススクリプトの場合は、認証情報 config で対応を上書きできます。
+
+```yaml
+# .env-sync.config.yaml
+cloudflare:
+  api_token: ${CLOUDFLARE_API_TOKEN}
+  account_id: <アカウント ID>
+  environments:
+    production: my-worker          # production はベーススクリプトへ書き込む
+    staging: my-worker-staging
+```
+
+`cloudflare.environments` に無い環境名は従来どおり `<スクリプト名>-<環境名>` の規約で解決されます。
+
+### Worker スクリプト名の解決順
+
+解決優先順位（高い順）:
+
+1. 環境変数 `CLOUDFLARE_SCRIPT_NAME`
+2. 認証情報 config の `cloudflare.script`
+3. カレントディレクトリの `wrangler.jsonc` → `wrangler.json` → `wrangler.toml` の `name` フィールド
+
+いずれでも解決できない場合はエラーで停止します。
+
+### 複数 Worker（モノレポ）
+
+`cloudflare.scripts[]` を定義すると 1 回の実行で複数の Worker へ同期でき、`--cloudflare-script` で絞り込めます。
+
+```yaml
+# .env-sync.config.yaml
+cloudflare:
+  api_token: ${CLOUDFLARE_API_TOKEN}   # per-script で省略した場合のフォールバック
+  account_id: <アカウント ID>           # per-script で省略した場合のフォールバック
+  scripts:
+    - name: api                        # --cloudflare-script で絞り込むための識別名
+      script: my-api-worker
+    - name: cron
+      script: my-cron-worker
+      api_token: ${CRON_CF_TOKEN}      # この Worker だけ別トークン
+```
+
+```bash
+# 定義済みの全 Worker へ同期
+env-sync --provider cloudflare --env .env.production
+
+# 特定の Worker のみに絞る
+env-sync --provider cloudflare --env .env.production --cloudflare-script cron
+```
+
+### 設定の診断
+
+```bash
+# token / accountId / スクリプト名の設定と API 到達確認（読み取り専用）
+env-sync validate --provider cloudflare
+```
+
+## 6. 複数プロバイダーを混在させる
 
 変数ごとに `provider` を指定すると、1 つの `env-sync.yaml` から Vercel と GitHub Actions の両方へ同時に同期できます。
 
@@ -218,7 +334,7 @@ VERCEL_TOKEN=xxxxx GITHUB_TOKEN=yyyyy env-sync --env .env.production
 
 不正な値（`vercel` / `github` 以外）を指定するとエラーで中止します。`--dry-run` では各変数の `providers` 列で振り分け先を確認できます。
 
-## 6. config ファイルで認証情報・ID を管理する
+## 7. config ファイルで認証情報・ID を管理する
 
 環境変数の代わりに YAML ファイルでトークンや ID を管理できます。毎回 `VERCEL_TOKEN=...` を渡す手間を省けます。
 
@@ -249,6 +365,12 @@ vercel:
 github:
   token: <GitHub アクセストークン>
   repo:  <owner/repo 形式のリポジトリ名>
+cloudflare:
+  api_token:  <Cloudflare API トークン>
+  account_id: <アカウント ID>
+  script:     <Worker スクリプト名（任意。省略時は wrangler 設定から取得）>
+  environments:                    # 任意: 環境名 -> Worker スクリプト名
+    staging: my-worker-staging
 ```
 
 ### 複数 Vercel プロジェクト / 複数 GitHub リポジトリ（モノレポ）
@@ -447,6 +569,16 @@ variables:
 
 > **注意**: GitHub の named environment は事前に作成が必要です。存在しない environment 名を指定するとエラーになります。
 
+#### Cloudflare Workers における各フィールドの意味
+
+| `secret` | 登録先 | 説明 |
+|---|---|---|
+| `true` | Worker Secret | secrets API 経由で登録。登録後は値を閲覧不可 |
+| `false` | — | **警告を出してスキップ**（平文 vars は wrangler 設定の `[vars]` が管理するため） |
+
+`environments` は環境ごとの Worker スクリプト名に解決されます（デフォルトは `<スクリプト名>-<環境名>`）。
+対応規則と上書き方法は[Cloudflare Workers へ同期](#5-cloudflare-workers-へ同期)を参照してください。
+
 ### 定義に無い変数の削除（prune）
 
 `env-sync.yaml` のトップレベルに `prune: true` を書く（または `--prune` フラグを付ける）と、リモートに存在するが **`variables` に宣言されていない** 変数を同期時に削除します。
@@ -469,14 +601,16 @@ variables:
 - **Vercel**: システム変数と、インテグレーションが作成した変数（Blob Store・Marketplace 連携などで `configurationId` を持つもの）は自動で除外されます。
 - **GitHub**: Actions Secrets / Variables を、repo レベルと定義ファイルに現れる named environment のスコープで削除します。
 - **GCP**: `managed-by=env-sync` ラベル付き Secret のみ削除対象です。このラベルは env-sync が同期時に自動付与するため、env-sync 以外が作成した Secret には触れません。
+- **Cloudflare**: 定義ファイルが対象とするスクリプトの Worker Secrets のみ削除対象です。その実行に現れない Worker のシークレットには触れません。
 
 ## オプション / 環境変数
 
 | 項目 | 必須 | 説明 |
 |------|------|------|
-| `--provider <name>` | – | 同期先（デフォルト `vercel`）。現在 `vercel` / `github` が利用可 |
+| `--provider <name>` | – | 同期先（デフォルト `vercel`）。現在 `vercel` / `github` / `gcp` / `cloudflare` が利用可 |
 | `--vercel-project <name>` | – | 同期対象を config の `vercel.projects[].name` 1 件に絞る。未指定なら定義済み全プロジェクト |
 | `--github-repo <name>` | – | 同期対象を config の `github.repos[].name` 1 件に絞る。未指定なら定義済み全リポジトリ |
+| `--cloudflare-script <name>` | – | 同期対象を config の `cloudflare.scripts[].name` 1 件に絞る。未指定なら定義済み全 Worker |
 | `--env <file>` | – | 値を読む env ファイル（デフォルト `.env`） |
 | `--def <file>` | – | 定義 YAML（デフォルト `env-sync.yaml`） |
 | `--dry-run` | – | 送信せず新規/更新の区別を含む登録予定一覧を表示 |
@@ -489,6 +623,9 @@ variables:
 | `VERCEL_TEAM_ID` | –(Vercel) | チーム(Org) ID。未指定なら config ファイルまたは `.vercel/project.json` の `orgId` |
 | `GITHUB_TOKEN` | ◯(GitHub) | GitHub アクセストークン（dry-run 時は不要） |
 | `GITHUB_REPO` | –(GitHub) | `owner/repo` 形式。未指定なら config ファイルまたは `git remote origin` から自動取得 |
+| `CLOUDFLARE_API_TOKEN` | ◯(Cloudflare) | Workers Scripts:Edit 権限を持つ API トークン（dry-run 時は不要） |
+| `CLOUDFLARE_ACCOUNT_ID` | ◯(Cloudflare) | 対象アカウント ID。未指定なら config ファイルの `cloudflare.account_id` |
+| `CLOUDFLARE_SCRIPT_NAME` | –(Cloudflare) | Worker スクリプト名。未指定なら config ファイルまたは wrangler 設定の `name` |
 | `--lang <code>` | – | 表示言語（`en` / `ja`）。デフォルト `en` |
 | `ENV_SYNC_LANG` | – | 表示言語コード（`en` / `ja`）。`--lang` より低優先 |
 
diff --git a/README.md b/README.md
index e36be98..a281fd1 100644
--- a/README.md
+++ b/README.md
@@ -2,11 +2,13 @@
 
 English | [日本語](README.ja.md)
 
-A Go CLI that bulk-registers (syncs) environment variables declared in an `env-sync.yaml` definition file to **Vercel** and/or **GitHub Actions**.
-From a single definition file you can choose the sync target per variable and push to both Vercel and GitHub Actions at once.
+A Go CLI that bulk-registers (syncs) environment variables declared in an `env-sync.yaml` definition file to **Vercel**, **GitHub Actions**, **GCP Secret Manager** and/or **Cloudflare Workers**.
+From a single definition file you can choose the sync target per variable and push to several providers at once.
 
 - **Vercel**: Uses the REST API (`POST /v10/projects/{id}/env?upsert=true`), so re-running **upserts** existing variables.
 - **GitHub Actions**: Supports both Secrets (sealed-box encrypted) and Variables (plaintext).
+- **GCP Secret Manager**: Adds a new Secret version per run. Only `secret: true` entries are synced.
+- **Cloudflare Workers**: Registers Worker Secrets via the REST API. Only `secret: true` entries are synced (see [Sync to Cloudflare Workers](#5-sync-to-cloudflare-workers)).
 
 ## How It Works
 
@@ -182,7 +184,122 @@ variables:
 - Public key length (32 bytes) is validated; invalid keys abort the operation.
 - Public key cache is managed per envScope (environment), as keys differ by scope.
 
-## 5. Mixing Vercel and GitHub Actions
+## 5. Sync to Cloudflare Workers
+
+Use `--provider cloudflare` to sync **Worker Secrets** via the Cloudflare REST API
+(`PUT /accounts/{account_id}/workers/scripts/{script_name}/secrets`).
+
+### Prerequisites
+
+- An API token with the **Workers Scripts:Edit** permission (https://dash.cloudflare.com/profile/api-tokens)
+- Your account ID (Workers & Pages → Overview, or `wrangler whoami`)
+- The Worker script must already exist — env-sync registers secrets on a deployed Worker, it does not create one
+
+### Sync
+
+```bash
+# dry-run (values are not shown)
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production --dry-run
+
+# Deploy (prompts y/N only when updates exist)
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production
+
+# Skip update confirmation (for CI, etc.)
+CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy \
+  env-sync --provider cloudflare --env .env.production --yes
+```
+
+### Secrets only — plain vars are skipped
+
+Cloudflare Workers has two kinds of environment variables, and env-sync only syncs **Secrets**:
+
+| Declaration | Behavior |
+|-------------|----------|
+| `secret: true` | Registered as a Worker Secret. **Preserved across `wrangler deploy`** |
+| `secret: false` | **Skipped with a warning** |
+
+Plain text vars are owned by the `[vars]` section of your wrangler config. Values set through the API or
+dashboard are overwritten by the next `wrangler deploy`, so syncing them would silently lose data.
+Keep plain vars in `wrangler.jsonc` / `wrangler.toml` and let env-sync handle only the secrets.
+
+### `environments` map to separate Worker scripts
+
+wrangler deploys `[env.staging]` as a **separate Worker** named `<script>-staging`. env-sync follows the
+same convention, so each declared environment resolves to its own Worker script:
+
+```yaml
+# env-sync.yaml (script name resolved as "my-worker")
+variables:
+  API_KEY:      { secret: true, provider: cloudflare }
+  DATABASE_URL: { secret: true, provider: cloudflare, environments: [production, staging] }
+```
+
+| Declaration | Target Worker script |
+|-------------|----------------------|
+| `environments` omitted | `my-worker` |
+| `environments: [staging]` | `my-worker-staging` |
+| `environments: [production, staging]` | `my-worker-production` and `my-worker-staging` |
+
+If your production Worker is the base script rather than `my-worker-production`, override the mapping in the
+auth config file:
+
+```yaml
+# .env-sync.config.yaml
+cloudflare:
+  api_token: ${CLOUDFLARE_API_TOKEN}
+  account_id: <account ID>
+  environments:
+    production: my-worker          # production writes to the base script
+    staging: my-worker-staging
+```
+
+Environment names not listed in `cloudflare.environments` still fall back to the `<script>-<environment>` convention.
+
+### Worker script name resolution
+
+Resolution priority (highest first):
+
+1. `CLOUDFLARE_SCRIPT_NAME` environment variable
+2. `cloudflare.script` in the auth config file
+3. The `name` field of `wrangler.jsonc` → `wrangler.json` → `wrangler.toml` in the current directory
+
+If none resolves, the run stops with an error.
+
+### Multiple Workers (monorepo)
+
+Define `cloudflare.scripts[]` to sync to several Workers in one run, and narrow it with `--cloudflare-script`:
+
+```yaml
+# .env-sync.config.yaml
+cloudflare:
+  api_token: ${CLOUDFLARE_API_TOKEN}   # Fallback when api_token is omitted per script
+  account_id: <account ID>             # Fallback when account_id is omitted per script
+  scripts:
+    - name: api                        # Identifier for filtering with --cloudflare-script
+      script: my-api-worker
+    - name: cron
+      script: my-cron-worker
+      api_token: ${CRON_CF_TOKEN}      # Different token for this Worker only
+```
+
+```bash
+# Sync to all defined Workers
+env-sync --provider cloudflare --env .env.production
+
+# Filter to a specific Worker
+env-sync --provider cloudflare --env .env.production --cloudflare-script cron
+```
+
+### Diagnose the configuration
+
+```bash
+# Read-only check of token / accountId / script name and API reachability
+env-sync validate --provider cloudflare
+```
+
+## 6. Mixing Providers
 
 By specifying `provider` per variable, you can sync to both Vercel and GitHub Actions simultaneously from a single `env-sync.yaml`.
 
@@ -218,7 +335,7 @@ Resolution priority (highest first): **per-variable `provider`** → **`defaults
 
 Invalid values (anything other than `vercel` / `github`) cause an error. During `--dry-run`, the `providers` column shows the routing for each variable.
 
-## 6. Managing Auth Credentials and IDs via Config File
+## 7. Managing Auth Credentials and IDs via Config File
 
 Instead of environment variables, you can manage tokens and IDs in a YAML file, eliminating the need to pass `VERCEL_TOKEN=...` every time.
 
@@ -249,6 +366,12 @@ vercel:
 github:
   token: <GitHub access token>
   repo:  <owner/repo format repository name>
+cloudflare:
+  api_token:  <Cloudflare API token>
+  account_id: <account ID>
+  script:     <Worker script name (optional — falls back to the wrangler config)>
+  environments:                    # optional: environment name -> Worker script name
+    staging: my-worker-staging
 ```
 
 ### Multiple Vercel Projects / Multiple GitHub Repos (Monorepo)
@@ -447,6 +570,16 @@ Specifying a named environment in `environments` registers to that environment s
 
 > **Note**: GitHub named environments must be pre-created. Specifying a non-existent environment name results in an error.
 
+#### Field Meanings for Cloudflare Workers
+
+| `secret` | Target | Description |
+|-----------|--------|-------------|
+| `true` | Worker Secret | Registered via the secrets API. Values cannot be read after registration |
+| `false` | — | **Skipped with a warning** (plain vars are owned by the wrangler config `[vars]` section) |
+
+`environments` resolves to a Worker script name per environment (`<script>-<environment>` by default).
+See [Sync to Cloudflare Workers](#5-sync-to-cloudflare-workers) for the mapping rules and how to override them.
+
 ### Pruning Undefined Variables (`prune`)
 
 When `prune: true` is set at the top level of `env-sync.yaml` (or the `--prune` flag is passed), variables that exist on the remote but are **not declared in `variables`** are deleted during sync.
@@ -469,14 +602,16 @@ Safety behavior:
 - **Vercel**: system variables and integration-provisioned variables (those with a `configurationId`, e.g. created by Blob Store or Marketplace integrations) are automatically excluded.
 - **GitHub**: Actions Secrets and Variables are pruned at the repository level and in named environments that appear in the definition file.
 - **GCP**: only Secrets labeled `managed-by=env-sync` are pruned. env-sync adds this label automatically when syncing, so Secrets created by anything else are never touched.
+- **Cloudflare**: Worker Secrets are pruned only on the scripts that the definition file targets. Secrets on Workers that never appear in the run are untouched.
 
 ## Options / Environment Variables
 
 | Item | Required | Description |
 |------|----------|-------------|
-| `--provider <name>` | – | Sync target (default `vercel`). Currently `vercel` / `github` are available |
+| `--provider <name>` | – | Sync target (default `vercel`). Currently `vercel` / `github` / `gcp` / `cloudflare` are available |
 | `--vercel-project <name>` | – | Filter sync to a single `vercel.projects[].name` from config. All defined projects if unspecified |
 | `--github-repo <name>` | – | Filter sync to a single `github.repos[].name` from config. All defined repos if unspecified |
+| `--cloudflare-script <name>` | – | Filter sync to a single `cloudflare.scripts[].name` from config. All defined Workers if unspecified |
 | `--env <file>` | – | Env file to read values from (default `.env`) |
 | `--def <file>` | – | Definition YAML (default `env-sync.yaml`) |
 | `--dry-run` | – | Show planned registrations with new/update classification without sending |
@@ -489,6 +624,9 @@ Safety behavior:
 | `VERCEL_TEAM_ID` | – (Vercel) | Team (org) ID. Falls back to config file or `.vercel/project.json` `orgId` |
 | `GITHUB_TOKEN` | Yes (GitHub) | GitHub access token (not required for dry-run) |
 | `GITHUB_REPO` | – (GitHub) | `owner/repo` format. Auto-detected from config file or `git remote origin` if unset |
+| `CLOUDFLARE_API_TOKEN` | Yes (Cloudflare) | API token with the Workers Scripts:Edit permission (not required for dry-run) |
+| `CLOUDFLARE_ACCOUNT_ID` | Yes (Cloudflare) | Target account ID. Falls back to `cloudflare.account_id` in the config file |
+| `CLOUDFLARE_SCRIPT_NAME` | – (Cloudflare) | Worker script name. Falls back to the config file or the `name` field of the wrangler config |
 | `--lang <code>` | – | Display language (`en` / `ja`). Default: `en` |
 | `ENV_SYNC_LANG` | – | Display language code (`en` / `ja`). Lower priority than `--lang` |
 
diff --git a/cmd/env-sync/main.go b/cmd/env-sync/main.go
index e23c846..12effd4 100644
--- a/cmd/env-sync/main.go
+++ b/cmd/env-sync/main.go
@@ -1,5 +1,5 @@
 // Command env-sync は、定義ファイル(env-sync.yaml)で宣言した環境変数を
-// Vercel または GitHub Actions へ一括登録(同期)する。
+// Vercel / GitHub Actions / GCP Secret Manager / Cloudflare Workers へ一括登録(同期)する。
 //
 // 値は定義ファイルには書かず .env(.production) から取得する。
 //
@@ -7,6 +7,7 @@
 //
 //	VERCEL_TOKEN=xxxxx env-sync --env .env.production
 //	GITHUB_TOKEN=xxxxx env-sync --provider github --env .env.production
+//	CLOUDFLARE_API_TOKEN=xxxxx CLOUDFLARE_ACCOUNT_ID=yyyyy env-sync --provider cloudflare --env .env.production
 //
 // 必須 (Vercel):
 //
@@ -39,6 +40,10 @@
 //	github:
 //	  token: <GitHub トークン>
 //	  repo:  <owner/repo>
+//	cloudflare:
+//	  api_token:  <Cloudflare API トークン>
+//	  account_id: <アカウント ID>
+//	  script:     <Worker スクリプト名（省略時は wrangler 設定の name）>
 //
 // YAML スキーマ（モノレポ: 複数プロジェクト / 複数リポジトリ）:
 //
@@ -59,6 +64,15 @@
 //	    - name: backend
 //	      repo: org/backend
 //	      token: <per-repo トークン（任意）>
+//	cloudflare:
+//	  api_token: <デフォルトトークン>
+//	  account_id: <デフォルトアカウント ID>
+//	  scripts:
+//	    - name: api
+//	      script: my-api-worker
+//	    - name: cron
+//	      script: my-cron-worker
+//	      api_token: <per-script トークン（任意）>
 //
 // セキュリティ: global config にトークンが含まれていてパーミッションが 0600 でない場合は警告を出力する。
 //
@@ -67,6 +81,18 @@
 //	GCP_PROJECT_ID      Secret Manager の対象 GCP プロジェクト ID
 //	認証: Application Default Credentials（ADC）を使用。gcloud auth application-default login 等で設定する。
 //
+// 必須 (Cloudflare Workers):
+//
+//	CLOUDFLARE_API_TOKEN   Workers Scripts:Edit 権限を持つ API トークン（dry-run 時は不要）
+//	CLOUDFLARE_ACCOUNT_ID  対象アカウント ID。未指定なら config ファイルから取得
+//
+// 任意 (Cloudflare Workers):
+//
+//	CLOUDFLARE_SCRIPT_NAME Worker スクリプト名。未指定なら config ファイル、
+//	                       次に wrangler.jsonc / wrangler.json / wrangler.toml の name から取得
+//	※ シークレットのみ同期する。secret: false の平文 vars は wrangler 設定の [vars] が管理し、
+//	  次の deploy で上書きされて消えるため、警告のうえスキップする。
+//
 // オプション:
 //
 //	--provider <name>         同期先（デフォルト vercel）
@@ -76,6 +102,7 @@
 //	--yes, -y                 更新(上書き)を含む場合の確認をスキップして送信
 //	--prune                   定義ファイルに無いリモートの変数を削除する（定義ファイルの prune: true でも有効化可）
 //	--environments <list>     書き込み先環境をカンマ区切りで絞り込む（例: staging,preview）
+//	--cloudflare-script <name> config の cloudflare.scripts から指定名のターゲットのみ同期
 package main
 
 import (
@@ -92,6 +119,7 @@ import (
 	"github.com/ptyhard/env-sync/internal/provider"
 	internalsync "github.com/ptyhard/env-sync/internal/sync"
 
+	_ "github.com/ptyhard/env-sync/internal/provider/cloudflare"
 	_ "github.com/ptyhard/env-sync/internal/provider/gcp"
 	_ "github.com/ptyhard/env-sync/internal/provider/github"
 	_ "github.com/ptyhard/env-sync/internal/provider/vercel"
diff --git a/docs/architecture.md b/docs/architecture.md
index 3089a3c..69693cf 100644
--- a/docs/architecture.md
+++ b/docs/architecture.md
@@ -1,8 +1,8 @@
 # アーキテクチャ規約
 
-> 最終更新: 2026-06-26
+> 最終更新: 2026-07-26
 
-`env-sync` は、定義ファイル `env-sync.yaml` で宣言した環境変数を **Vercel** または **GitHub Actions** へ一括同期する Go 製の単一バイナリ CLI。値は定義ファイルには書かず `.env(.production)` から読み込む。
+`env-sync` は、定義ファイル `env-sync.yaml` で宣言した環境変数を **Vercel** / **GitHub Actions** / **GCP Secret Manager** / **Cloudflare Workers** へ一括同期する Go 製の単一バイナリ CLI。値は定義ファイルには書かず `.env(.production)` から読み込む。
 
 ## 技術スタック
 
@@ -46,10 +46,19 @@
 │       ├── vercel/
 │       │   ├── vercel.go  # vercelProvider + init()（const apiBase はここに定義）
 │       │   └── vercel_test.go
-│       └── github/
-│           ├── github.go  # githubProvider + init()
-│           ├── github_test.go
-│           └── github_integration_test.go
+│       ├── github/
+│       │   ├── github.go  # githubProvider + init()
+│       │   ├── github_test.go
+│       │   └── github_integration_test.go
+│       ├── gcp/
+│       │   ├── gcp.go     # gcpProvider + init()（Secret Manager クライアントを抽象化）
+│       │   └── gcp_test.go
+│       └── cloudflare/
+│           ├── cloudflare.go           # cloudflareProvider + init()（var apiBase はここに定義）
+│           ├── cloudflare_validate.go  # validate サブコマンド実装
+│           ├── cloudflare_test.go
+│           ├── cloudflare_validate_test.go
+│           └── cloudflare_integration_test.go
 ├── env-sync.yaml      # secret / environments の定義ファイル（値は書かない）
 ├── go.mod / go.sum
 ├── .goreleaser.yaml
@@ -68,8 +77,11 @@ internal/config            → internal/provider
 internal/sync              → internal/provider, internal/config
 internal/provider/vercel   → internal/provider, internal/config
 internal/provider/github   → internal/provider, internal/config
+internal/provider/gcp      → internal/provider, internal/config
+internal/provider/cloudflare → internal/provider, internal/config
 cmd/env-sync               → internal/provider, internal/config, internal/sync,
-                             _ internal/provider/vercel, _ internal/provider/github
+                             _ internal/provider/vercel, _ internal/provider/github,
+                             _ internal/provider/gcp, _ internal/provider/cloudflare
 ```
 
 `internal/provider` に `Entry` と `Options` を定義することで、`internal/config` → `internal/provider` の一方向依存を保ち循環参照を防いでいる。
@@ -134,6 +146,7 @@ provider 側での翻訳:
 
 - **Vercel**（`entriesToVercelItems`, `internal/provider/vercel/vercel.go`）: `Secret` → `type`（true=`sensitive` / false=`plain`）、`Environments` → `target`（空なら `[production, preview]`）。`production|preview|development` のみ許可。
 - **GitHub**（`expandGitHubTasks`, `internal/provider/github/github.go`）: `Secret` → Secret(sealed box 暗号化) / Variable(平文) の振り分け、`Environments` → named environment スコープ（空なら repo レベル。各環境ごとに task を展開）。
+- **Cloudflare**（`expandCloudflareTasks`, `internal/provider/cloudflare/cloudflare.go`）: `Secret` == false は警告のうえスキップ（平文 vars は wrangler 設定の `[vars]` が所有し、次の `wrangler deploy` で上書きされるため）。`Environments` → Worker スクリプト名（`resolveScriptName` が `<script>-<env>` へ解決。認証 config の `cloudflare.environments` で上書き可）。1 つの Entry が複数環境を宣言していれば環境ごとに task を展開し、同一スクリプトに解決された場合は重複排除する。
 
 ## 設定ファイル（env-sync.yaml）の構造
 
@@ -169,6 +182,7 @@ type VarConf struct {
 | フラグ | 既定 | 説明 |
 |--------|------|------|
 | `--provider <name>` | `vercel` | 同期先（registry に登録された provider 名のみ。未登録はエラー） |
+| `--cloudflare-script <name>` | — | config の `cloudflare.scripts[].name` 1 件に絞る（モノレポ対応） |
 | `--env <file>` | `.env` | 値を読む env ファイル |
 | `--def <file>` | `env-sync.yaml` | 定義 YAML |
 | `--dry-run` | false | 送信せず対象（key / secret / environments）のみ表示（値は出さない） |
@@ -186,6 +200,9 @@ type VarConf struct {
 | `VERCEL_TEAM_ID` | Vercel | 未指定なら `.vercel/project.json` の `orgId` |
 | `GITHUB_TOKEN` | GitHub | アクセストークン（dry-run 時は不要） |
 | `GITHUB_REPO` | GitHub | `owner/repo`。未指定なら `git remote origin` から自動解決 |
+| `CLOUDFLARE_API_TOKEN` | Cloudflare | API トークン（Workers Scripts:Edit 権限。dry-run 時は不要） |
+| `CLOUDFLARE_ACCOUNT_ID` | Cloudflare | 対象アカウント ID。未指定なら config ファイル |
+| `CLOUDFLARE_SCRIPT_NAME` | Cloudflare | Worker スクリプト名。未指定なら config、次に `wrangler.jsonc`/`wrangler.json`/`wrangler.toml` の `name`（`applyWranglerFallback`） |
 
 トークン等の秘匿値はすべて `os.Getenv` で取得し、コードやログには出さない。GitHub Secrets は送信前に NaCl box で sealed box 暗号化する（`encryptSecret`, `internal/provider/github/github.go`）。
 
diff --git a/env-sync.yaml b/env-sync.yaml
index 19ea607..15e2cc9 100644
--- a/env-sync.yaml
+++ b/env-sync.yaml
@@ -1,4 +1,4 @@
-# Vercel / GitHub Actions に登録する環境変数の定義。
+# Vercel / GitHub Actions / GCP Secret Manager / Cloudflare Workers に登録する環境変数の定義。
 #
 # 値はこのファイルには書かない（git にコミットされるため）。値は .env(.production) から取得する。
 # ここに宣言が無いキーは登録されない（.env にあっても警告のうえスキップされる）。
@@ -14,6 +14,7 @@
 #                      現れる named environment のみスキャンする。
 #           - GCP    : managed-by=env-sync ラベル付き Secret のみ削除対象
 #                      （env-sync が同期時に自動付与。無関係な Secret は消さない）。
+#           - Cloudflare : この実行が対象とする Worker スクリプトのシークレットのみ削除対象。
 #
 #   prune_exclude: []（トップレベル、任意）
 #           prune で削除しないキー名の glob パターン一覧。大文字小文字は区別しない。
@@ -23,9 +24,12 @@
 #           - true  : シークレットとして登録
 #                     Vercel: sensitive（保存後は値を読めない）
 #                     GitHub: Actions Secret（sealed box 暗号化）
+#                     Cloudflare: Worker Secret（デプロイをまたいで保持される）
 #           - false : 平文として登録
 #                     Vercel: plain
 #                     GitHub: Actions Variable
+#                     Cloudflare: 警告を出してスキップ（平文 vars は wrangler の [vars] が管理し、
+#                                 次の deploy で上書きされて消えるため同期しない）
 #           ※ 未指定時のデフォルトは true（安全側）
 #
 #   environments: []  登録先環境の配列
@@ -34,6 +38,9 @@
 #                   ※ Custom Environment は Vercel 側で事前作成が必要。存在しない slug はエラー。
 #                   ※ 標準環境と Custom Environment は混在指定可（例: [production, staging]）
 #           GitHub: named environment 名（空なら repo レベル）
+#           Cloudflare: Worker スクリプト名のサフィックス「<script>-<環境名>」（空ならベーススクリプト）
+#                   ※ wrangler が [env.staging] を my-worker-staging としてデプロイする慣習に合わせている。
+#                   ※ 認証 config の cloudflare.environments で環境名→スクリプト名を上書きできる。
 #           ※ GitHub の named environment は事前に作成が必要
 #
 #   --environments <list>  （CLI フラグ。このファイルには書かない）
@@ -45,11 +52,12 @@
 #           指定できる名前は production|preview|development + この定義に現れる環境名のみ
 #           （それ以外はエラー。大文字小文字を区別する）。
 #
-#   provider: vercel|github|gcp|[vercel, gcp]|[vercel, github]
+#   provider: vercel|github|gcp|cloudflare|[vercel, gcp]|[vercel, github]
 #           同期先プロバイダーを変数ごとに指定する。
 #           - provider: vercel             Vercel にのみ送る
 #           - provider: github             GitHub Actions にのみ送る
 #           - provider: gcp               GCP Secret Manager にのみ送る
+#           - provider: cloudflare         Cloudflare Workers にのみ送る
 #           - provider: [vercel, gcp]      Vercel と GCP 両方に送る
 #           - provider: [vercel, github]   Vercel と GitHub 両方に送る
 #           解決優先順位: 変数個別 > defaults > CLI --provider フラグ（デフォルト vercel）
@@ -71,10 +79,20 @@
 #           environments に値を設定すると、Secret に labels {"environment": "<env>"} が付与される
 #           ※ environments が複数の場合は "-" で連結（例: [production, staging] → "production-staging"）
 #
-#   ---- 複数 Vercel プロジェクト / 複数 GitHub リポジトリ（モノレポ） ----
+#   ---- Cloudflare Workers ----
+#           必須環境変数: CLOUDFLARE_API_TOKEN（Workers Scripts:Edit 権限）
+#                        CLOUDFLARE_ACCOUNT_ID（対象アカウント ID）
+#           Worker スクリプト名の解決順:
+#             CLOUDFLARE_SCRIPT_NAME > 認証 config の cloudflare.script >
+#             wrangler.jsonc / wrangler.json / wrangler.toml の name
+#           secret: true のエントリのみ同期（false は警告のうえスキップ）
+#           environments を設定すると環境ごとに別 Worker スクリプトへ書き込む（上の environments を参照）
+#
+#   ---- 複数 Vercel プロジェクト / 複数 GitHub リポジトリ / 複数 Worker（モノレポ） ----
 #           このファイルは「変数定義」用。複数の同期先（Vercel プロジェクト・GitHub リポジトリ）は
 #           認証 config 側（.env-sync.config.yaml / ~/.config/env-sync/config.yaml）の
-#           vercel.projects[] / github.repos[] で定義する。--vercel-project / --github-repo で絞り込める。
+#           vercel.projects[] / github.repos[] / cloudflare.scripts[] で定義する。
+#           --vercel-project / --github-repo / --cloudflare-script で絞り込める。
 #           詳細は README「複数 Vercel プロジェクト / 複数 GitHub リポジトリ（モノレポ）」を参照。
 
 defaults:
@@ -101,3 +119,10 @@ variables:
   # GCP_ONLY_SECRET:          { provider: gcp }
   # GCP_ENV_SECRET:           { provider: gcp, environments: [production] }
   # VERCEL_AND_GCP_SECRET:    { provider: [vercel, gcp] }
+  #
+  # ---- Cloudflare Workers の例 ----
+  # CLOUDFLARE_API_TOKEN=xxx CLOUDFLARE_ACCOUNT_ID=yyy env-sync --provider cloudflare --env .env.production
+  #
+  # CF_ONLY_SECRET:           { provider: cloudflare }
+  # CF_STAGING_SECRET:        { provider: cloudflare, environments: [staging] }   # -> <script>-staging
+  # VERCEL_AND_CF_SECRET:     { provider: [vercel, cloudflare] }
diff --git a/internal/config/appconfig.go b/internal/config/appconfig.go
index fb103c8..8d5376a 100644
--- a/internal/config/appconfig.go
+++ b/internal/config/appconfig.go
@@ -22,9 +22,10 @@ const projectAppConfigFile = ".env-sync.config.yaml"
 
 // AppConfig は global / project の config ファイルからロードした認証情報・ID を保持する。
 type AppConfig struct {
-	Vercel   AppVercelConfig `yaml:"vercel"`
-	GitHub   AppGitHubConfig `yaml:"github"`
-	Language string          `yaml:"language"` // 表示言語コード（"en" / "ja"）
+	Vercel     AppVercelConfig     `yaml:"vercel"`
+	GitHub     AppGitHubConfig     `yaml:"github"`
+	Cloudflare AppCloudflareConfig `yaml:"cloudflare"`
+	Language   string              `yaml:"language"` // 表示言語コード（"en" / "ja"）
 }
 
 // VercelProjectConf は vercel.projects の 1 件分の設定。
@@ -42,6 +43,15 @@ type GitHubRepoConf struct {
 	Token string `yaml:"token"`
 }
 
+// CloudflareScriptConf は cloudflare.scripts の 1 件分の設定。
+// Script は Worker のスクリプト名（wrangler 設定の name に相当）。
+type CloudflareScriptConf struct {
+	Name      string `yaml:"name"`
+	Script    string `yaml:"script"`
+	AccountID string `yaml:"account_id"`
+	APIToken  string `yaml:"api_token"`
+}
+
 // VercelTarget は ResolveVercelTargets が返す解決済みターゲット。
 type VercelTarget struct {
 	// Name は config 上のターゲット名。単一解決の場合は空になる。
@@ -64,6 +74,20 @@ type GitHubTarget struct {
 	RepoSource  string // 取得元: "env" / "config" / "git_remote" / ""（未設定）
 }
 
+// CloudflareTarget は ResolveCloudflareTargets が返す解決済みターゲット。
+type CloudflareTarget struct {
+	// Name は config 上のターゲット名。単一解決の場合は空になる。
+	Name      string
+	Script    string
+	AccountID string
+	APIToken  string
+	// Environments は環境名 → Worker スクリプト名の明示マッピング（未定義なら nil）。
+	Environments    map[string]string
+	TokenSource     string // 取得元: "env" / "config" / ""（未設定）
+	ScriptSource    string // 取得元: "env" / "config" / "wrangler" / ""（未設定）
+	AccountIDSource string // 取得元: "env" / "config" / ""（未設定）
+}
+
 // AppVercelConfig は Vercel の認証情報・ID。
 type AppVercelConfig struct {
 	Token     string              `yaml:"token"`
@@ -79,6 +103,18 @@ type AppGitHubConfig struct {
 	Repos []GitHubRepoConf `yaml:"repos"`
 }
 
+// AppCloudflareConfig は Cloudflare Workers の認証情報・ID。
+type AppCloudflareConfig struct {
+	APIToken  string                 `yaml:"api_token"`
+	AccountID string                 `yaml:"account_id"`
+	Script    string                 `yaml:"script"`
+	Scripts   []CloudflareScriptConf `yaml:"scripts"`
+	// Environments は環境名 → Worker スクリプト名の明示マッピング。
+	// ここに無い環境名は "<script>-<環境名>" 規約で解決される
+	// （wrangler が [env.staging] を my-worker-staging としてデプロイする挙動に合わせる）。
+	Environments map[string]string `yaml:"environments"`
+}
+
 // LoadAppConfig は global と project の設定ファイルをロードしてマージして返す。
 //
 // ロード元:
@@ -125,7 +161,7 @@ func loadGlobalAppConfig() (AppConfig, error) {
 	if err != nil {
 		return AppConfig{}, err
 	}
-	if cfg.Vercel.Token != "" || cfg.GitHub.Token != "" || hasPerTargetToken(cfg) {
+	if cfg.Vercel.Token != "" || cfg.GitHub.Token != "" || cfg.Cloudflare.APIToken != "" || hasPerTargetToken(cfg) {
 		warnIfInsecurePermissions(path)
 	}
 	return cfg, nil
@@ -143,6 +179,11 @@ func hasPerTargetToken(cfg AppConfig) bool {
 			return true
 		}
 	}
+	for _, s := range cfg.Cloudflare.Scripts {
+		if s.APIToken != "" {
+			return true
+		}
+	}
 	return false
 }
 
@@ -190,6 +231,21 @@ func mergeAppConfig(global, project AppConfig) AppConfig {
 	if len(project.GitHub.Repos) > 0 {
 		merged.GitHub.Repos = project.GitHub.Repos
 	}
+	if project.Cloudflare.APIToken != "" {
+		merged.Cloudflare.APIToken = project.Cloudflare.APIToken
+	}
+	if project.Cloudflare.AccountID != "" {
+		merged.Cloudflare.AccountID = project.Cloudflare.AccountID
+	}
+	if project.Cloudflare.Script != "" {
+		merged.Cloudflare.Script = project.Cloudflare.Script
+	}
+	if len(project.Cloudflare.Scripts) > 0 {
+		merged.Cloudflare.Scripts = project.Cloudflare.Scripts
+	}
+	if len(project.Cloudflare.Environments) > 0 {
+		merged.Cloudflare.Environments = project.Cloudflare.Environments
+	}
 	if project.Language != "" {
 		merged.Language = project.Language
 	}
@@ -240,6 +296,9 @@ func expandAppConfigRefs(cfg *AppConfig) error {
 		&cfg.Vercel.TeamID,
 		&cfg.GitHub.Token,
 		&cfg.GitHub.Repo,
+		&cfg.Cloudflare.APIToken,
+		&cfg.Cloudflare.AccountID,
+		&cfg.Cloudflare.Script,
 	}
 	for _, f := range fields {
 		expanded, err := expandEnvRefs(*f)
@@ -276,6 +335,28 @@ func expandAppConfigRefs(cfg *AppConfig) error {
 			*f = expanded
 		}
 	}
+	for i := range cfg.Cloudflare.Scripts {
+		sfields := []*string{
+			&cfg.Cloudflare.Scripts[i].APIToken,
+			&cfg.Cloudflare.Scripts[i].AccountID,
+			&cfg.Cloudflare.Scripts[i].Script,
+		}
+		for _, f := range sfields {
+			expanded, err := expandEnvRefs(*f)
+			if err != nil {
+				return err
+			}
+			*f = expanded
+		}
+	}
+	// environments は環境名 → スクリプト名のマップ。値（スクリプト名）のみ展開する。
+	for k, v := range cfg.Cloudflare.Environments {
+		expanded, err := expandEnvRefs(v)
+		if err != nil {
+			return err
+		}
+		cfg.Cloudflare.Environments[k] = expanded
+	}
 	return nil
 }
 
@@ -585,3 +666,138 @@ func validateGitHubRepoConfs(repos []GitHubRepoConf) error {
 	}
 	return nil
 }
+
+// ResolveCloudflareAPIToken は 環境変数 > config の優先順位で Cloudflare API トークンを返す。
+func (cfg *AppConfig) ResolveCloudflareAPIToken() string {
+	v, _ := cfg.ResolveCloudflareAPITokenWithSource()
+	return v
+}
+
+// ResolveCloudflareAPITokenWithSource は API トークンとその取得元 ("env"/"config"/"") を返す。
+func (cfg *AppConfig) ResolveCloudflareAPITokenWithSource() (val, source string) {
+	if v := os.Getenv("CLOUDFLARE_API_TOKEN"); v != "" {
+		return v, "env"
+	}
+	if cfg.Cloudflare.APIToken != "" {
+		return cfg.Cloudflare.APIToken, "config"
+	}
+	return "", ""
+}
+
+// ResolveCloudflareAccountIDWithSource は アカウント ID とその取得元 ("env"/"config"/"") を返す。
+func (cfg *AppConfig) ResolveCloudflareAccountIDWithSource() (val, source string) {
+	if v := os.Getenv("CLOUDFLARE_ACCOUNT_ID"); v != "" {
+		return v, "env"
+	}
+	if cfg.Cloudflare.AccountID != "" {
+		return cfg.Cloudflare.AccountID, "config"
+	}
+	return "", ""
+}
+
+// ResolveCloudflareScriptWithSource は Worker スクリプト名とその取得元 ("env"/"config"/"") を返す。
+// ここでは wrangler 設定ファイルへのフォールバックは行わない（provider 側の責務）。
+func (cfg *AppConfig) ResolveCloudflareScriptWithSource() (val, source string) {
+	if v := os.Getenv("CLOUDFLARE_SCRIPT_NAME"); v != "" {
+		return v, "env"
+	}
+	if cfg.Cloudflare.Script != "" {
+		return cfg.Cloudflare.Script, "config"
+	}
+	return "", ""
+}
+
+// resolveCloudflareAPITokenWithSource はトークンと取得元を返す（per-target > 環境変数 > top-level config）。
+func (cfg *AppConfig) resolveCloudflareAPITokenWithSource(perTargetToken string) (string, string) {
+	if perTargetToken != "" {
+		return perTargetToken, "config"
+	}
+	return cfg.ResolveCloudflareAPITokenWithSource()
+}
+
+// resolveCloudflareAccountIDWithSource はアカウント ID と取得元を返す（per-target > 環境変数 > top-level config）。
+func (cfg *AppConfig) resolveCloudflareAccountIDWithSource(perTargetAccountID string) (string, string) {
+	if perTargetAccountID != "" {
+		return perTargetAccountID, "config"
+	}
+	return cfg.ResolveCloudflareAccountIDWithSource()
+}
+
+// ResolveCloudflareTargets は cloudflare.scripts の設定から解決済み CloudflareTarget スライスを返す。
+//
+// selectName が空でない場合は name 一致の 1 件のみ返す。一致しない場合はエラー。
+// scripts が未定義（空スライス）の場合は単一解決（環境変数 > config）で 1 件返す。
+// ただし selectName が指定されているのに scripts が未定義の場合はエラーを返す。
+func (cfg *AppConfig) ResolveCloudflareTargets(selectName string) ([]CloudflareTarget, error) {
+	if len(cfg.Cloudflare.Scripts) == 0 {
+		// selectName が指定されているのに scripts が未定義は設定ミスのためエラー
+		if selectName != "" {
+			return nil, fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptsNotDefined))
+		}
+		tok, tokSrc := cfg.ResolveCloudflareAPITokenWithSource()
+		acct, acctSrc := cfg.ResolveCloudflareAccountIDWithSource()
+		script, scriptSrc := cfg.ResolveCloudflareScriptWithSource()
+		return []CloudflareTarget{
+			{
+				Script:          script,
+				ScriptSource:    scriptSrc,
+				AccountID:       acct,
+				AccountIDSource: acctSrc,
+				APIToken:        tok,
+				TokenSource:     tokSrc,
+				Environments:    cfg.Cloudflare.Environments,
+			},
+		}, nil
+	}
+
+	// name・script の必須チェックと重複チェック（selectName の有無によらず常に実施）。
+	// scripts が定義されている場合は wrangler 設定ファイルへのフォールバックを行わないため
+	// 各エントリの script が必須となる（絞り込み後の件数に関わらず全エントリを検証する）。
+	if err := validateCloudflareScriptConfs(cfg.Cloudflare.Scripts); err != nil {
+		return nil, err
+	}
+
+	var targets []CloudflareTarget
+	for _, s := range cfg.Cloudflare.Scripts {
+		if selectName != "" && s.Name != selectName {
+			continue
+		}
+		tok, tokSrc := cfg.resolveCloudflareAPITokenWithSource(s.APIToken)
+		acct, acctSrc := cfg.resolveCloudflareAccountIDWithSource(s.AccountID)
+		targets = append(targets, CloudflareTarget{
+			Name:            s.Name,
+			Script:          s.Script,
+			ScriptSource:    "config",
+			AccountID:       acct,
+			AccountIDSource: acctSrc,
+			APIToken:        tok,
+			TokenSource:     tokSrc,
+			Environments:    cfg.Cloudflare.Environments,
+		})
+	}
+
+	if selectName != "" && len(targets) == 0 {
+		return nil, fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptNameNotFound, selectName))
+	}
+	return targets, nil
+}
+
+// validateCloudflareScriptConfs は cloudflare.scripts の name 必須・重複チェックおよび
+// script 必須チェックを行う。scripts が定義されている場合は wrangler 設定ファイルへの
+// フォールバックを使わないため、絞り込み後の件数に関わらず全エントリの script が必須。
+func validateCloudflareScriptConfs(scripts []CloudflareScriptConf) error {
+	seen := make(map[string]bool, len(scripts))
+	for _, s := range scripts {
+		if s.Name == "" {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptNameRequired))
+		}
+		if seen[s.Name] {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptNameDuplicate, s.Name))
+		}
+		seen[s.Name] = true
+		if s.Script == "" {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptRequired, s.Name))
+		}
+	}
+	return nil
+}
diff --git a/internal/config/appconfig_test.go b/internal/config/appconfig_test.go
index 46a90f2..02f3b50 100644
--- a/internal/config/appconfig_test.go
+++ b/internal/config/appconfig_test.go
@@ -1390,3 +1390,160 @@ func TestResolveGitHubTargets_SourceFields_MultiTarget(t *testing.T) {
 		t.Errorf("targets[1].TokenSource = %q, want config", targets[1].TokenSource)
 	}
 }
+
+// --- Cloudflare ターゲット解決のテスト ---
+
+// clearCloudflareEnv は Cloudflare 関連の環境変数をテスト中だけ空にする。
+func clearCloudflareEnv(t *testing.T) {
+	t.Helper()
+	t.Setenv("CLOUDFLARE_API_TOKEN", "")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "")
+}
+
+func TestResolveCloudflareTargets_NoScripts_BackwardCompat(t *testing.T) {
+	// scripts 未定義なら単一解決で 1 件返す
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.APIToken = "cfg-token"
+	cfg.Cloudflare.AccountID = "cfg-account"
+	cfg.Cloudflare.Script = "cfg-worker"
+
+	targets, err := cfg.ResolveCloudflareTargets("")
+	if err != nil {
+		t.Fatalf("エラーなしを期待: %v", err)
+	}
+	if len(targets) != 1 {
+		t.Fatalf("targets len = %d, want 1", len(targets))
+	}
+	if targets[0].APIToken != "cfg-token" || targets[0].TokenSource != "config" {
+		t.Errorf("token = %q (source %q), want cfg-token (config)", targets[0].APIToken, targets[0].TokenSource)
+	}
+	if targets[0].AccountID != "cfg-account" || targets[0].Script != "cfg-worker" {
+		t.Errorf("account/script = %q/%q, want cfg-account/cfg-worker", targets[0].AccountID, targets[0].Script)
+	}
+}
+
+func TestResolveCloudflareTargets_EnvOverridesConfig(t *testing.T) {
+	// 環境変数が config より優先される
+	clearCloudflareEnv(t)
+	t.Setenv("CLOUDFLARE_API_TOKEN", "env-token")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "env-account")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "env-worker")
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.APIToken = "cfg-token"
+	cfg.Cloudflare.AccountID = "cfg-account"
+	cfg.Cloudflare.Script = "cfg-worker"
+
+	targets, err := cfg.ResolveCloudflareTargets("")
+	if err != nil {
+		t.Fatalf("エラーなしを期待: %v", err)
+	}
+	if targets[0].APIToken != "env-token" || targets[0].TokenSource != "env" {
+		t.Errorf("token = %q (source %q), want env-token (env)", targets[0].APIToken, targets[0].TokenSource)
+	}
+	if targets[0].Script != "env-worker" || targets[0].ScriptSource != "env" {
+		t.Errorf("script = %q (source %q), want env-worker (env)", targets[0].Script, targets[0].ScriptSource)
+	}
+}
+
+func TestResolveCloudflareTargets_AllScripts(t *testing.T) {
+	// scripts が定義されている場合、全件を CloudflareTarget として返す
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.APIToken = "top-token"
+	cfg.Cloudflare.AccountID = "top-account"
+	cfg.Cloudflare.Scripts = []config.CloudflareScriptConf{
+		{Name: "api", Script: "my-api-worker"},
+		{Name: "cron", Script: "my-cron-worker", APIToken: "per-cron-token", AccountID: "per-cron-account"},
+	}
+
+	targets, err := cfg.ResolveCloudflareTargets("")
+	if err != nil {
+		t.Fatalf("エラーなしを期待: %v", err)
+	}
+	if len(targets) != 2 {
+		t.Fatalf("targets len = %d, want 2", len(targets))
+	}
+	// api: top-level フォールバック
+	if targets[0].APIToken != "top-token" || targets[0].AccountID != "top-account" {
+		t.Errorf("targets[0] = %+v, want top-level フォールバック", targets[0])
+	}
+	// cron: per-target が優先
+	if targets[1].APIToken != "per-cron-token" || targets[1].AccountID != "per-cron-account" {
+		t.Errorf("targets[1] = %+v, want per-target 優先", targets[1])
+	}
+}
+
+func TestResolveCloudflareTargets_SelectByName(t *testing.T) {
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.APIToken = "top-token"
+	cfg.Cloudflare.Scripts = []config.CloudflareScriptConf{
+		{Name: "api", Script: "my-api-worker"},
+		{Name: "cron", Script: "my-cron-worker"},
+	}
+
+	targets, err := cfg.ResolveCloudflareTargets("cron")
+	if err != nil {
+		t.Fatalf("エラーなしを期待: %v", err)
+	}
+	if len(targets) != 1 || targets[0].Script != "my-cron-worker" {
+		t.Errorf("targets = %+v, want [my-cron-worker]", targets)
+	}
+}
+
+func TestResolveCloudflareTargets_SelectByName_NotFound(t *testing.T) {
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.Scripts = []config.CloudflareScriptConf{{Name: "api", Script: "my-api-worker"}}
+
+	if _, err := cfg.ResolveCloudflareTargets("missing"); err == nil {
+		t.Fatal("存在しない名前の指定でエラーを期待したが nil")
+	}
+}
+
+func TestResolveCloudflareTargets_SelectWithoutScripts_IsError(t *testing.T) {
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	if _, err := cfg.ResolveCloudflareTargets("api"); err == nil {
+		t.Fatal("scripts 未定義での名前指定はエラーを期待したが nil")
+	}
+}
+
+func TestResolveCloudflareTargets_ValidatesScriptConfs(t *testing.T) {
+	clearCloudflareEnv(t)
+	tests := []struct {
+		name    string
+		scripts []config.CloudflareScriptConf
+	}{
+		{"name 未設定", []config.CloudflareScriptConf{{Script: "w"}}},
+		{"name 重複", []config.CloudflareScriptConf{{Name: "a", Script: "w1"}, {Name: "a", Script: "w2"}}},
+		{"script 未設定", []config.CloudflareScriptConf{{Name: "a"}}},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			cfg := &config.AppConfig{}
+			cfg.Cloudflare.Scripts = tt.scripts
+			if _, err := cfg.ResolveCloudflareTargets(""); err == nil {
+				t.Errorf("%s でエラーを期待したが nil", tt.name)
+			}
+		})
+	}
+}
+
+func TestResolveCloudflareTargets_PassesEnvironmentsMapping(t *testing.T) {
+	// environments マッピングは各ターゲットへ引き継がれる
+	clearCloudflareEnv(t)
+	cfg := &config.AppConfig{}
+	cfg.Cloudflare.Script = "my-worker"
+	cfg.Cloudflare.Environments = map[string]string{"staging": "stg-worker"}
+
+	targets, err := cfg.ResolveCloudflareTargets("")
+	if err != nil {
+		t.Fatalf("エラーなしを期待: %v", err)
+	}
+	if targets[0].Environments["staging"] != "stg-worker" {
+		t.Errorf("Environments = %v, want staging→stg-worker", targets[0].Environments)
+	}
+}
diff --git a/internal/config/config.go b/internal/config/config.go
index 55206af..a7d727e 100644
--- a/internal/config/config.go
+++ b/internal/config/config.go
@@ -151,6 +151,10 @@ func ParseFlags(argv []string, printUsageFn func(), versionFn func()) provider.O
 			opts.GitHubRepo = next()
 		case strings.HasPrefix(arg, "--github-repo="):
 			opts.GitHubRepo = strings.TrimPrefix(arg, "--github-repo=")
+		case arg == "--cloudflare-script" || arg == "-cloudflare-script":
+			opts.CloudflareScript = next()
+		case strings.HasPrefix(arg, "--cloudflare-script="):
+			opts.CloudflareScript = strings.TrimPrefix(arg, "--cloudflare-script=")
 		case arg == "--lang" || arg == "-lang" || arg == "--language" || arg == "-language":
 			opts.Language = next()
 		case strings.HasPrefix(arg, "--lang="):
diff --git a/internal/config/setup.go b/internal/config/setup.go
index 85da86b..d4d4f22 100644
--- a/internal/config/setup.go
+++ b/internal/config/setup.go
@@ -30,6 +30,11 @@ type SetupAnswers struct {
 	GitHubRepo     string
 	GitHubTokenRef string // "${GITHUB_TOKEN}" または平文トークン
 
+	UseCloudflare       bool
+	CloudflareAccountID string
+	CloudflareScript    string // Worker スクリプト名（空なら wrangler 設定から解決）
+	CloudflareTokenRef  string // "${CLOUDFLARE_API_TOKEN}" または平文トークン
+
 	// 平文トークンが 1 つ以上含まれる場合 true（0600 パーミッション決定に使用）
 	HasPlainToken bool
 }
@@ -109,6 +114,23 @@ func BuildSetupYAML(answers SetupAnswers) string {
 		}
 	}
 
+	if answers.UseCloudflare {
+		sb.WriteString("cloudflare:\n")
+		sb.WriteString("  api_token: ")
+		sb.WriteString(yamlSingleQuote(answers.CloudflareTokenRef))
+		sb.WriteString("\n")
+		if answers.CloudflareAccountID != "" {
+			sb.WriteString("  account_id: ")
+			sb.WriteString(yamlSingleQuote(answers.CloudflareAccountID))
+			sb.WriteString("\n")
+		}
+		if answers.CloudflareScript != "" {
+			sb.WriteString("  script: ")
+			sb.WriteString(yamlSingleQuote(answers.CloudflareScript))
+			sb.WriteString("\n")
+		}
+	}
+
 	return sb.String()
 }
 
@@ -274,6 +296,47 @@ func promptSetupAnswers(reader *bufio.Reader) (SetupAnswers, error) {
 		}
 	}
 
+	// Cloudflare Workers
+	fmt.Print(i18n.T(i18n.MsgSetupAskCloudflare))
+	useCloudflare, err := setupReadYesNo(reader, true)
+	if err != nil {
+		return answers, err
+	}
+	answers.UseCloudflare = useCloudflare
+
+	if useCloudflare {
+		fmt.Print(i18n.T(i18n.MsgSetupCloudflareAccountID))
+		accountID, err := setupReadLine(reader)
+		if err != nil {
+			return answers, err
+		}
+		answers.CloudflareAccountID = accountID
+
+		fmt.Print(i18n.T(i18n.MsgSetupCloudflareScript))
+		script, err := setupReadLine(reader)
+		if err != nil {
+			return answers, err
+		}
+		answers.CloudflareScript = script
+
+		fmt.Print(i18n.T(i18n.MsgSetupCloudflareTokenEnvRef))
+		useEnvRef, err := setupReadYesNo(reader, true)
+		if err != nil {
+			return answers, err
+		}
+		if useEnvRef {
+			answers.CloudflareTokenRef = "${CLOUDFLARE_API_TOKEN}"
+		} else {
+			fmt.Print(i18n.T(i18n.MsgSetupCloudflareTokenPlain))
+			token, err := setupReadLine(reader)
+			if err != nil {
+				return answers, err
+			}
+			answers.CloudflareTokenRef = token
+			answers.HasPlainToken = true
+		}
+	}
+
 	return answers, nil
 }
 
diff --git a/internal/config/setup_test.go b/internal/config/setup_test.go
index f968dbf..5d43d65 100644
--- a/internal/config/setup_test.go
+++ b/internal/config/setup_test.go
@@ -424,22 +424,25 @@ func TestRunSetupWithReader_NeitherProvider(t *testing.T) {
 	dir := t.TempDir()
 	chdirCleanup(t, dir)
 
-	in := simulateInput("n", "n")
+	in := simulateInput("n", "n", "n")
 	if err := config.RunSetupWithReader([]string{}, nil, in); err != nil {
 		t.Fatalf("RunSetupWithReader エラー: %v", err)
 	}
 
-	// ファイルは作成されるが vercel/github セクションは含まれない
+	// ファイルは作成されるが vercel/github/cloudflare セクションは含まれない
 	data, err := os.ReadFile(filepath.Join(dir, ".env-sync.config.yaml"))
 	if err != nil {
 		t.Fatalf(".env-sync.config.yaml が作成されていない: %v", err)
 	}
 	content := string(data)
 	if strings.Contains(content, "vercel:") {
-		t.Error("vercel: セクションが含まれているが両方 n を選択した")
+		t.Error("vercel: セクションが含まれているがすべて n を選択した")
 	}
 	if strings.Contains(content, "github:") {
-		t.Error("github: セクションが含まれているが両方 n を選択した")
+		t.Error("github: セクションが含まれているがすべて n を選択した")
+	}
+	if strings.Contains(content, "cloudflare:") {
+		t.Error("cloudflare: セクションが含まれているがすべて n を選択した")
 	}
 }
 
@@ -475,3 +478,115 @@ func TestParseSetupFlags_Both(t *testing.T) {
 		t.Errorf("--global --force が反映されない: %+v", opts)
 	}
 }
+
+// --- Cloudflare の setup テスト ---
+
+func TestBuildSetupYAML_CloudflareOnly(t *testing.T) {
+	answers := config.SetupAnswers{
+		UseCloudflare:       true,
+		CloudflareAccountID: "acct_abc",
+		CloudflareScript:    "my-worker",
+		CloudflareTokenRef:  "${CLOUDFLARE_API_TOKEN}",
+	}
+	out := config.BuildSetupYAML(answers)
+	if !strings.Contains(out, "cloudflare:") {
+		t.Error("cloudflare: セクションが含まれていない")
+	}
+	if !strings.Contains(out, "acct_abc") {
+		t.Errorf("account_id が含まれていない:\n%s", out)
+	}
+	if !strings.Contains(out, "my-worker") {
+		t.Errorf("script が含まれていない:\n%s", out)
+	}
+	if strings.Contains(out, "vercel:") || strings.Contains(out, "github:") {
+		t.Error("vercel: / github: セクションが含まれているが選択していない")
+	}
+}
+
+func TestBuildSetupYAML_CloudflareOmitsEmptyScript(t *testing.T) {
+	// script 未入力（wrangler 設定から解決する運用）のときは script 行を出さない
+	answers := config.SetupAnswers{
+		UseCloudflare:       true,
+		CloudflareAccountID: "acct_abc",
+		CloudflareTokenRef:  "${CLOUDFLARE_API_TOKEN}",
+	}
+	out := config.BuildSetupYAML(answers)
+	if strings.Contains(out, "script:") {
+		t.Errorf("script が空なのに script: 行が出力されている:\n%s", out)
+	}
+}
+
+func TestBuildSetupYAML_CloudflareRoundTripAsAppConfig(t *testing.T) {
+	t.Setenv("CLOUDFLARE_API_TOKEN", "cf-test")
+
+	answers := config.SetupAnswers{
+		UseCloudflare:       true,
+		CloudflareAccountID: "acct_round",
+		CloudflareScript:    "round-worker",
+		CloudflareTokenRef:  "${CLOUDFLARE_API_TOKEN}",
+	}
+	yamlText := config.BuildSetupYAML(answers)
+
+	var cfg config.AppConfig
+	if err := yaml.Unmarshal([]byte(yamlText), &cfg); err != nil {
+		t.Fatalf("生成 YAML が AppConfig としてパースできない: %v\n%s", err, yamlText)
+	}
+	if cfg.Cloudflare.AccountID != "acct_round" {
+		t.Errorf("Cloudflare.AccountID = %q, want acct_round", cfg.Cloudflare.AccountID)
+	}
+	if cfg.Cloudflare.Script != "round-worker" {
+		t.Errorf("Cloudflare.Script = %q, want round-worker", cfg.Cloudflare.Script)
+	}
+	if cfg.Cloudflare.APIToken != "${CLOUDFLARE_API_TOKEN}" {
+		t.Errorf("Cloudflare.APIToken = %q, want ${CLOUDFLARE_API_TOKEN}", cfg.Cloudflare.APIToken)
+	}
+}
+
+func TestRunSetupWithReader_CloudflareEnvRef(t *testing.T) {
+	dir := t.TempDir()
+	chdirCleanup(t, dir)
+
+	// Vercel n, GitHub n, Cloudflare yes（account_id / script / 環境変数参照）
+	in := simulateInput("n", "n", "Y", "acct_cli", "cli-worker", "Y")
+	if err := config.RunSetupWithReader([]string{}, nil, in); err != nil {
+		t.Fatalf("RunSetupWithReader エラー: %v", err)
+	}
+
+	data, err := os.ReadFile(filepath.Join(dir, ".env-sync.config.yaml"))
+	if err != nil {
+		t.Fatalf(".env-sync.config.yaml が作成されていない: %v", err)
+	}
+	content := string(data)
+	if !strings.Contains(content, "cloudflare:") {
+		t.Errorf("cloudflare: セクションが含まれていない:\n%s", content)
+	}
+	if !strings.Contains(content, "acct_cli") {
+		t.Errorf("account_id が含まれていない:\n%s", content)
+	}
+	if !strings.Contains(content, "cli-worker") {
+		t.Errorf("script が含まれていない:\n%s", content)
+	}
+	if !strings.Contains(content, "${CLOUDFLARE_API_TOKEN}") {
+		t.Errorf("Cloudflare token が環境変数参照になっていない:\n%s", content)
+	}
+}
+
+func TestRunSetupWithReader_CloudflarePlainToken_0600(t *testing.T) {
+	dir := t.TempDir()
+	chdirCleanup(t, dir)
+
+	// Cloudflare のみ・平文トークン入力 → 0600 で作成される
+	in := simulateInput("n", "n", "Y", "acct_cli", "", "n", "cf-raw-token")
+	if err := config.RunSetupWithReader([]string{}, nil, in); err != nil {
+		t.Fatalf("RunSetupWithReader エラー: %v", err)
+	}
+
+	path := filepath.Join(dir, ".env-sync.config.yaml")
+	info, err := os.Stat(path)
+	if err != nil {
+		t.Fatalf("ファイルが作成されていない: %v", err)
+	}
+	if info.Mode().Perm() != 0600 {
+		t.Errorf("パーミッション = %04o, want 0600（平文トークンを含むため）", info.Mode().Perm())
+	}
+}
diff --git a/internal/i18n/catalog_en.go b/internal/i18n/catalog_en.go
index cfc1496..9616cf3 100644
--- a/internal/i18n/catalog_en.go
+++ b/internal/i18n/catalog_en.go
@@ -20,7 +20,7 @@ var enCatalog = map[MsgKey]string{
 	MsgSkipNoValueInEnv:          "⚠ %s: defined but no value in %s, skipping\n",
 	MsgSkipNotDefined:            "⚠ %s: in %s but not defined, skipping\n",
 	MsgSkipNoMatchingEnvironment: "⚠ %s: no matching environments after --environments filter, skipping\n",
-	MsgUsage: `env-sync - sync environment variables declared in a definition file to Vercel or GitHub Actions
+	MsgUsage: `env-sync - sync environment variables declared in a definition file to Vercel, GitHub Actions, GCP or Cloudflare Workers
 
 Subcommands:
   init      generate env-sync.yaml template from .env
@@ -30,6 +30,7 @@ Subcommands:
 Usage:
   VERCEL_TOKEN=xxxxx env-sync [options]
   GITHUB_TOKEN=xxxxx env-sync --provider github [options]
+  CLOUDFLARE_API_TOKEN=xxxxx env-sync --provider cloudflare [options]
   env-sync init [--env <file>] [--def <file>] [--force]
   env-sync setup [--global] [--force]
 
@@ -45,6 +46,8 @@ Options (sync):
                             when combined with --prune: deletion scope is also limited to the specified environments
   --vercel-project <name>   sync only the named project from config vercel.projects (monorepo)
   --github-repo <name>      sync only the named repo from config github.repos (monorepo)
+  --cloudflare-script <name>
+                            sync only the named target from config cloudflare.scripts (monorepo)
   --lang <code>             display language (en / ja, default: en)
   --version                 show version and exit
   -h, --help                show this help
@@ -78,6 +81,16 @@ Environment variables (GCP):
         Set GOOGLE_APPLICATION_CREDENTIALS for a service account key,
         or run gcloud auth application-default login to configure ADC.
 
+Environment variables (Cloudflare Workers):
+  CLOUDFLARE_API_TOKEN   Cloudflare API token with the Workers Scripts:Edit permission (required, not needed for dry-run)
+  CLOUDFLARE_ACCOUNT_ID  target account ID; if not set, read from config file
+  CLOUDFLARE_SCRIPT_NAME Worker script name; if not set, read from config file or the name field
+                         of wrangler.jsonc / wrangler.json / wrangler.toml
+  * Only secrets are synced. Plain text vars (secret: false) are skipped because the [vars] section
+    of your wrangler config owns them and would overwrite API-set values on the next deploy.
+  * environments map to separate Worker scripts as "<script>-<environment>" (wrangler's [env.X] convention).
+    Override the mapping with cloudflare.environments in the config file.
+
 Environment variables (language):
   ENV_SYNC_LANG  display language code (en / ja). Lower priority than --lang flag.
 
@@ -94,6 +107,12 @@ Config file (alternative to environment variables):
     github:
       token: <GitHub token>
       repo:  <owner/repo>
+    cloudflare:
+      api_token:  <Cloudflare API token>
+      account_id: <account ID>
+      script:     <Worker script name (optional; falls back to wrangler config)>
+      environments:                 # optional: environment name -> Worker script name
+        staging: my-worker-staging
 
   Schema (monorepo: multiple projects / repos):
     vercel:
@@ -114,19 +133,32 @@ Config file (alternative to environment variables):
         - name: backend
           repo: org/backend
           token: <per-repo token (optional)>
+    cloudflare:
+      api_token: <default token (can override per-script)>
+      account_id: <default account ID>
+      scripts:
+        - name: api
+          script: my-api-worker
+        - name: cron
+          script: my-cron-worker
+          api_token: <per-script token (optional)>
+          account_id: <per-script account ID (optional)>
 
   * If the global config contains tokens and the file permission is not 0600, a warning is shown.
 
 YAML schema (definition file env-sync.yaml):
   prune: true|false   whether to delete remote variables not in variables (default: false)
                       Vercel: env vars / GitHub: Actions Secrets & Variables /
-                      GCP: only Secrets labeled managed-by=env-sync
+                      GCP: only Secrets labeled managed-by=env-sync /
+                      Cloudflare: Worker secrets on the target scripts
   secret: true|false  whether to register as a secret (default: true)
                       Vercel: true→sensitive / false→plain
                       GitHub: true→Secret / false→Variable
+                      Cloudflare: true→secret / false→skipped (managed by wrangler [vars])
   environments: []    array of target environments
                       Vercel: production|preview|development (empty → production,preview)
                       GitHub: named environment name (empty → repo level)
+                      Cloudflare: Worker script suffix "<script>-<environment>" (empty → base script)
                       * GitHub named environments must be created in advance
   language: en        display language (en / ja). Lower priority than --lang flag and ENV_SYNC_LANG.
 `,
@@ -173,6 +205,12 @@ YAML schema (definition file env-sync.yaml):
 	MsgGitHubRepoNameDuplicate:    "duplicate name %q in github.repos",
 	MsgGitHubRepoRepoRequired:     "entry %q in github.repos requires repo",
 
+	MsgCloudflareScriptsNotDefined:   "--cloudflare-script was specified but cloudflare.scripts is not defined in config",
+	MsgCloudflareScriptNameNotFound:  "specified cloudflare target name %q is not defined in config",
+	MsgCloudflareScriptNameRequired:  "each entry in cloudflare.scripts must have a name",
+	MsgCloudflareScriptNameDuplicate: "duplicate name %q in cloudflare.scripts",
+	MsgCloudflareScriptRequired:      "entry %q in cloudflare.scripts requires script",
+
 	// ----- Init サブコマンド -----
 	MsgInitEnvFileReadFail: "failed to read env file: %s: %s",
 	MsgFileExists:          "already exists: %s (use --force to overwrite)",
@@ -187,11 +225,12 @@ YAML schema (definition file env-sync.yaml):
 		"# Keys not declared here will not be registered (keys in .env will be skipped with a warning).\n" +
 		"#\n" +
 		"#   secret: true|false\n" +
-		"#           - true  : register as secret (Vercel: sensitive / GitHub: Secret)\n" +
-		"#           - false : register as plain text (Vercel: plain / GitHub: Variable)\n" +
+		"#           - true  : register as secret (Vercel: sensitive / GitHub: Secret / Cloudflare: Worker Secret)\n" +
+		"#           - false : register as plain text (Vercel: plain / GitHub: Variable / Cloudflare: skipped)\n" +
 		"#   environments: []  array of target environments\n" +
 		"#           Vercel: production|preview|development (empty → production,preview)\n" +
 		"#           GitHub: named environment name (empty → repo level)\n" +
+		"#           Cloudflare: Worker script suffix \"<script>-<environment>\" (empty → base script)\n" +
 		"#\n" +
 		"# !! The following is a template generated by init. Review secret before deploying !!\n" +
 		"# !! NEXT_PUBLIC_ prefix defaults to secret: false; all others default to secret: true !!\n",
@@ -229,9 +268,17 @@ YAML schema (definition file env-sync.yaml):
 	MsgSetupGitHubRepo:        "GitHub repo (owner/repo format): ",
 	MsgSetupGitHubTokenEnvRef: "Write GitHub token as ${GITHUB_TOKEN} env reference? (recommended) (Y/n): ",
 	MsgSetupGitHubTokenPlain:  "GitHub token (will be written in plaintext): ",
+
+	MsgSetupAskCloudflare:       "Configure Cloudflare Workers? (Y/n): ",
+	MsgSetupCloudflareAccountID: "Cloudflare account_id: ",
+	MsgSetupCloudflareScript:    "Cloudflare Worker script name (optional, press Enter to read from wrangler config): ",
+	MsgSetupCloudflareTokenEnvRef: "Write Cloudflare token as ${CLOUDFLARE_API_TOKEN} env reference? " +
+		"(recommended) (Y/n): ",
+	MsgSetupCloudflareTokenPlain: "Cloudflare API token (will be written in plaintext): ",
+
 	MsgSetupYAMLHeader: "# env-sync auth config\n" +
 		"# It is recommended to add this file to .gitignore.\n" +
-		"# Add projects[] / repos[] (for monorepo multi-target) manually.\n",
+		"# Add projects[] / repos[] / scripts[] (for monorepo multi-target) manually.\n",
 
 	// ----- Vercel Provider -----
 	MsgVercelTokenMissing:           "VERCEL_TOKEN is not set (set VERCEL_TOKEN env var or vercel.token in config file)",
@@ -295,6 +342,29 @@ YAML schema (definition file env-sync.yaml):
 	MsgGCPSecretLabelUpdateFail: "failed to update Secret labels: %s",
 	MsgGCPSecretVersionAddFail:  "failed to add Secret version: %s",
 
+	// ----- Cloudflare Provider -----
+	MsgCloudflareTokenMissing:       "CLOUDFLARE_API_TOKEN is not set (set CLOUDFLARE_API_TOKEN env var or cloudflare.api_token in config file)",
+	MsgCloudflareTokenMissingScript: "CLOUDFLARE_API_TOKEN is not set (target %q: set CLOUDFLARE_API_TOKEN env var or api_token in config file)",
+	MsgCloudflareTokenSkipScript:    "✗ target %q: CLOUDFLARE_API_TOKEN is not set (skipping this target and continuing)\n",
+	MsgCloudflareAccountIDMissing:   "CLOUDFLARE_ACCOUNT_ID is not set (set CLOUDFLARE_ACCOUNT_ID env var or cloudflare.account_id in config file)",
+	MsgCloudflareScriptMissing: "Worker script name could not be resolved " +
+		"(set CLOUDFLARE_SCRIPT_NAME env var, cloudflare.script in config file, or name in wrangler.jsonc / wrangler.toml)",
+	MsgCloudflareSkipNotSecret: "⚠ %s: secret=false, skipping (Cloudflare Workers provider syncs secrets only)\n",
+	MsgCloudflareVarsNote: "* Plain text vars (secret: false) are not synced: they are owned by the [vars] section of your\n" +
+		"  wrangler config and would be overwritten on the next `wrangler deploy`. Secrets are preserved across deploys.\n",
+	MsgCloudflareTargetScript:          "Target Worker: %s  (env: %s, def: %s)\n",
+	MsgCloudflareConfirmSingle:         "Register the above to Cloudflare Workers (existing will be overwritten). Continue? (y/N) ",
+	MsgCloudflareConfirmMulti:          "Register the above to %d Cloudflare Workers targets (existing will be overwritten). Continue? (y/N) ",
+	MsgCloudflareScriptSeparator:       "\n--- target: %s ---\n",
+	MsgCloudflareExistingKeysFetchWarn: "Warning: failed to fetch existing secrets, skipping new/update classification: %s\n",
+	MsgCloudflareSecretsFetchFail:      "failed to fetch existing secrets",
+	MsgCloudflareSecretsParseFail:      "failed to parse existing secrets response",
+	MsgCloudflareURLBuildFailOut:       "✗ failed to build URL: %s\n",
+	MsgCloudflareURLBuildFailInternal:  "failed to build URL",
+	MsgCloudflareRequestCreateFailOut:  "✗ %s -> failed to create request: %s\n",
+	MsgCloudflareSendFailOut:           "✗ %s -> failed to send: %s\n",
+	MsgCloudflareWranglerReadFail:      "failed to read wrangler config: %s: %s",
+
 	// ----- Validate サブコマンド -----
 	MsgValidateHeader:               "=== validate: %s ===\n",
 	MsgValidateProviderUnsupported:  "  [skip] %s: validate not supported\n",
@@ -320,6 +390,14 @@ YAML schema (definition file env-sync.yaml):
 	MsgValidateVercelProjectID:      "  projectId : %s (source: %s)\n",
 	MsgValidateVercelTeamID:         "  teamId    : %s (source: %s)\n",
 	MsgValidateGitHubRepo:           "  repo      : %s (source: %s)\n",
+	MsgValidateSourceWrangler:       "wrangler config",
+	MsgValidateCloudflareAccountID:  "  accountId : %s (source: %s)\n",
+	MsgValidateCloudflareScript:     "  script    : %s (source: %s)\n",
+	MsgValidateAccountIDUnsetSkip:   "  accountId is not set, skipping API check\n",
+	MsgValidateScriptUnsetSkip:      "  script name could not be resolved, skipping API check\n",
+	MsgValidateCloudflareCause404:   "  Possible cause: the Worker script does not exist, or accountId is wrong\n",
+	MsgValidateCloudflareCause401:   "  Possible cause: API token is invalid\n",
+	MsgValidateCloudflareCause403:   "  Possible cause: API token lacks the Workers Scripts:Edit permission\n",
 
 	// ----- Sync / Entry 解決 -----
 	MsgDefaultsProviderInvalid: "defaults.provider: invalid provider value %q (must be one of: %s)",
diff --git a/internal/i18n/catalog_ja.go b/internal/i18n/catalog_ja.go
index f317f7c..de59030 100644
--- a/internal/i18n/catalog_ja.go
+++ b/internal/i18n/catalog_ja.go
@@ -20,7 +20,7 @@ var jaCatalog = map[MsgKey]string{
 	MsgSkipNoValueInEnv:          "⚠ %s: 定義にあるが %s に値が無いためスキップ\n",
 	MsgSkipNotDefined:            "⚠ %s: %s にあるが定義に無いためスキップ\n",
 	MsgSkipNoMatchingEnvironment: "⚠ %s: --environments フィルタ後に一致する環境が無いためスキップ\n",
-	MsgUsage: `env-sync - 定義ファイルで宣言した環境変数を Vercel または GitHub Actions へ一括登録(同期)する
+	MsgUsage: `env-sync - 定義ファイルで宣言した環境変数を Vercel / GitHub Actions / GCP / Cloudflare Workers へ一括登録(同期)する
 
 サブコマンド:
   init      .env から env-sync.yaml の雛形を生成する
@@ -30,6 +30,7 @@ var jaCatalog = map[MsgKey]string{
 使い方:
   VERCEL_TOKEN=xxxxx env-sync [オプション]
   GITHUB_TOKEN=xxxxx env-sync --provider github [オプション]
+  CLOUDFLARE_API_TOKEN=xxxxx env-sync --provider cloudflare [オプション]
   env-sync init [--env <file>] [--def <file>] [--force]
   env-sync setup [--global] [--force]
 
@@ -45,6 +46,8 @@ var jaCatalog = map[MsgKey]string{
                             --prune 併用時: 削除スコープも指定環境に限定する
   --vercel-project <name>   config の vercel.projects から指定名のプロジェクトのみ同期（モノレポ対応）
   --github-repo <name>      config の github.repos から指定名のリポジトリのみ同期（モノレポ対応）
+  --cloudflare-script <name>
+                            config の cloudflare.scripts から指定名のターゲットのみ同期（モノレポ対応）
   --lang <code>             表示言語（en / ja、デフォルト en）
   --version                 バージョン情報を表示して終了
   -h, --help                このヘルプを表示
@@ -78,6 +81,16 @@ var jaCatalog = map[MsgKey]string{
         GOOGLE_APPLICATION_CREDENTIALS でサービスアカウント鍵を指定、
         または gcloud auth application-default login で ADC を設定する。
 
+環境変数（Cloudflare Workers）:
+  CLOUDFLARE_API_TOKEN   Workers Scripts:Edit 権限を持つ API トークン（必須、dry-run 時は不要）
+  CLOUDFLARE_ACCOUNT_ID  対象アカウント ID。未指定なら config ファイルから取得
+  CLOUDFLARE_SCRIPT_NAME Worker スクリプト名。未指定なら config ファイル、または
+                         wrangler.jsonc / wrangler.json / wrangler.toml の name から取得
+  ※ シークレットのみ同期します。平文 vars（secret: false）はスキップします。
+     平文 vars は wrangler 設定の [vars] が管理しており、次の deploy で上書きされて消えるためです。
+  ※ environments は「<スクリプト名>-<環境名>」という別 Worker スクリプトに対応づきます
+     （wrangler の [env.X] の慣習）。config の cloudflare.environments で対応を上書きできます。
+
 環境変数（言語）:
   ENV_SYNC_LANG  表示言語コード（en / ja）。--lang フラグより低優先。
 
@@ -94,6 +107,12 @@ config ファイル（環境変数の代替）:
     github:
       token: <GitHub トークン>
       repo:  <owner/repo>
+    cloudflare:
+      api_token:  <Cloudflare API トークン>
+      account_id: <アカウント ID>
+      script:     <Worker スクリプト名（任意。省略時は wrangler 設定から取得）>
+      environments:                 # 任意: 環境名 -> Worker スクリプト名
+        staging: my-worker-staging
 
   スキーマ（モノレポ: 複数プロジェクト / 複数リポジトリ）:
     vercel:
@@ -114,19 +133,32 @@ config ファイル（環境変数の代替）:
         - name: backend
           repo: org/backend
           token: <per-repo トークン（任意）>
+    cloudflare:
+      api_token: <デフォルトトークン（per-script で上書き可）>
+      account_id: <デフォルトアカウント ID>
+      scripts:
+        - name: api
+          script: my-api-worker
+        - name: cron
+          script: my-cron-worker
+          api_token: <per-script トークン（任意）>
+          account_id: <per-script アカウント ID（任意）>
 
   ※ global config にトークンが含まれていてパーミッションが 0600 でない場合は警告を出力します
 
 YAML スキーマ（定義ファイル env-sync.yaml）:
   prune: true|false   variables に無いリモートの変数を削除するか（デフォルト false）
                       Vercel: 環境変数 / GitHub: Actions Secrets・Variables /
-                      GCP: managed-by=env-sync ラベル付き Secret のみ対象
+                      GCP: managed-by=env-sync ラベル付き Secret のみ対象 /
+                      Cloudflare: 対象スクリプトの Worker シークレット
   secret: true|false  シークレットとして登録するか（デフォルト true）
                       Vercel: true→sensitive / false→plain
                       GitHub: true→Secret / false→Variable
+                      Cloudflare: true→シークレット / false→スキップ（wrangler の [vars] が管理）
   environments: []    登録先環境の配列
                       Vercel: production|preview|development（空なら production,preview）
                       GitHub: named environment 名（空なら repo レベル）
+                      Cloudflare: Worker スクリプト名のサフィックス「<script>-<環境名>」（空ならベーススクリプト）
                       ※ GitHub の named environment は事前に作成が必要
   language: ja        表示言語（en / ja）。--lang フラグ・ENV_SYNC_LANG より低優先。
 `,
@@ -173,6 +205,12 @@ YAML スキーマ（定義ファイル env-sync.yaml）:
 	MsgGitHubRepoNameDuplicate:    "github.repos の name %q が重複しています",
 	MsgGitHubRepoRepoRequired:     "github.repos のエントリ %q には repo が必須です",
 
+	MsgCloudflareScriptsNotDefined:   "--cloudflare-script が指定されましたが config に cloudflare.scripts が定義されていません",
+	MsgCloudflareScriptNameNotFound:  "指定された Cloudflare ターゲット名 %q は config に定義されていません",
+	MsgCloudflareScriptNameRequired:  "cloudflare.scripts の各エントリには name が必須です",
+	MsgCloudflareScriptNameDuplicate: "cloudflare.scripts に重複する name %q があります",
+	MsgCloudflareScriptRequired:      "cloudflare.scripts のエントリ %q には script が必須です",
+
 	// ----- Init サブコマンド -----
 	MsgInitEnvFileReadFail: "env ファイルの読み込みに失敗: %s: %s",
 	MsgFileExists:          "既に存在します: %s（上書きするには --force）",
@@ -181,17 +219,18 @@ YAML スキーマ（定義ファイル env-sync.yaml）:
 	MsgInitKeyCount:        "キー数: %d\n",
 	MsgInitKeyListHeader:   "キー一覧:\n",
 	MsgInitSecretNote:      "※ secret は投入前に必ず見直してください。値はファイルに書かれていません。",
-	MsgInitYAMLHeader: "# Vercel / GitHub Actions に登録する環境変数の定義。\n" +
+	MsgInitYAMLHeader: "# Vercel / GitHub Actions / GCP / Cloudflare Workers に登録する環境変数の定義。\n" +
 		"#\n" +
 		"# 値はこのファイルには書かない（git にコミットされるため）。値は .env(.production) から取得する。\n" +
 		"# ここに宣言が無いキーは登録されない（.env にあっても警告のうえスキップされる）。\n" +
 		"#\n" +
 		"#   secret: true|false\n" +
-		"#           - true  : シークレットとして登録（Vercel: sensitive / GitHub: Secret）\n" +
-		"#           - false : 平文として登録（Vercel: plain / GitHub: Variable）\n" +
+		"#           - true  : シークレットとして登録（Vercel: sensitive / GitHub: Secret / Cloudflare: Worker Secret）\n" +
+		"#           - false : 平文として登録（Vercel: plain / GitHub: Variable / Cloudflare: スキップ）\n" +
 		"#   environments: []  登録先環境の配列\n" +
 		"#           Vercel: production|preview|development（空なら production,preview）\n" +
 		"#           GitHub: named environment 名（空なら repo レベル）\n" +
+		"#           Cloudflare: Worker スクリプト名のサフィックス「<script>-<環境名>」（空ならベーススクリプト）\n" +
 		"#\n" +
 		"# !! 以下は init が生成した雛形です。secret は投入前に必ず見直すこと !!\n" +
 		"# !! NEXT_PUBLIC_ プレフィックスは secret: false、それ以外は secret: true を初期値としています。!!\n",
@@ -229,9 +268,16 @@ YAML スキーマ（定義ファイル env-sync.yaml）:
 	MsgSetupGitHubRepo:        "GitHub repo（owner/repo 形式）: ",
 	MsgSetupGitHubTokenEnvRef: "GitHub token を ${GITHUB_TOKEN} 環境変数参照で書きますか？（推奨）(Y/n): ",
 	MsgSetupGitHubTokenPlain:  "GitHub token（平文でファイルに書き込みます）: ",
+
+	MsgSetupAskCloudflare:         "Cloudflare Workers を設定しますか？ (Y/n): ",
+	MsgSetupCloudflareAccountID:   "Cloudflare account_id: ",
+	MsgSetupCloudflareScript:      "Cloudflare Worker スクリプト名（任意、Enter で wrangler 設定から取得）: ",
+	MsgSetupCloudflareTokenEnvRef: "Cloudflare token を ${CLOUDFLARE_API_TOKEN} 環境変数参照で書きますか？（推奨）(Y/n): ",
+	MsgSetupCloudflareTokenPlain:  "Cloudflare API token（平文でファイルに書き込みます）: ",
+
 	MsgSetupYAMLHeader: "# env-sync 認証情報 config\n" +
 		"# このファイルをコミットしないよう .gitignore に追記することを推奨します。\n" +
-		"# projects[] / repos[]（モノレポ向け複数ターゲット）は手で追記してください。\n",
+		"# projects[] / repos[] / scripts[]（モノレポ向け複数ターゲット）は手で追記してください。\n",
 
 	// ----- Vercel Provider -----
 	MsgVercelTokenMissing:           "VERCEL_TOKEN が未設定です（環境変数 VERCEL_TOKEN または config ファイルの vercel.token で指定してください）",
@@ -295,6 +341,29 @@ YAML スキーマ（定義ファイル env-sync.yaml）:
 	MsgGCPSecretLabelUpdateFail: "Secret のラベル更新に失敗: %s",
 	MsgGCPSecretVersionAddFail:  "Secret バージョンの追加に失敗: %s",
 
+	// ----- Cloudflare Provider -----
+	MsgCloudflareTokenMissing:       "CLOUDFLARE_API_TOKEN が未設定です（環境変数 CLOUDFLARE_API_TOKEN または config ファイルの cloudflare.api_token で指定してください）",
+	MsgCloudflareTokenMissingScript: "CLOUDFLARE_API_TOKEN が未設定です（ターゲット %q: 環境変数 CLOUDFLARE_API_TOKEN または config ファイルの api_token で指定してください）",
+	MsgCloudflareTokenSkipScript:    "✗ ターゲット %q: CLOUDFLARE_API_TOKEN が未設定です（このターゲットをスキップして続行します）\n",
+	MsgCloudflareAccountIDMissing:   "CLOUDFLARE_ACCOUNT_ID が未設定です（環境変数 CLOUDFLARE_ACCOUNT_ID または config ファイルの cloudflare.account_id で指定してください）",
+	MsgCloudflareScriptMissing: "Worker スクリプト名を解決できません" +
+		"（環境変数 CLOUDFLARE_SCRIPT_NAME、config ファイルの cloudflare.script、または wrangler.jsonc / wrangler.toml の name で指定してください）",
+	MsgCloudflareSkipNotSecret: "⚠ %s: secret=false のためスキップします（Cloudflare Workers provider はシークレットのみ同期します）\n",
+	MsgCloudflareVarsNote: "※ 平文の vars（secret: false）は同期しません。平文 vars は wrangler 設定の [vars] が管理しており、\n" +
+		"   次の `wrangler deploy` で上書きされて消えるためです。シークレットはデプロイをまたいで保持されます。\n",
+	MsgCloudflareTargetScript:          "同期先 Worker: %s  (env: %s, def: %s)\n",
+	MsgCloudflareConfirmSingle:         "上記を Cloudflare Workers に登録します（既存は上書き）。よろしいですか？ (y/N) ",
+	MsgCloudflareConfirmMulti:          "上記を %d 件の Cloudflare Workers ターゲットに登録します（既存は上書き）。よろしいですか？ (y/N) ",
+	MsgCloudflareScriptSeparator:       "\n--- ターゲット: %s ---\n",
+	MsgCloudflareExistingKeysFetchWarn: "警告: 既存シークレットの取得に失敗したため新規/更新の判定をスキップします: %s\n",
+	MsgCloudflareSecretsFetchFail:      "既存シークレット一覧の取得に失敗",
+	MsgCloudflareSecretsParseFail:      "既存シークレット一覧のパースに失敗",
+	MsgCloudflareURLBuildFailOut:       "✗ URL の組み立てに失敗: %s\n",
+	MsgCloudflareURLBuildFailInternal:  "URL の組み立てに失敗",
+	MsgCloudflareRequestCreateFailOut:  "✗ %s -> リクエスト生成に失敗: %s\n",
+	MsgCloudflareSendFailOut:           "✗ %s -> 送信に失敗: %s\n",
+	MsgCloudflareWranglerReadFail:      "wrangler 設定ファイルの読み込みに失敗: %s: %s",
+
 	// ----- Validate サブコマンド -----
 	MsgValidateHeader:               "=== validate: %s ===\n",
 	MsgValidateProviderUnsupported:  "  [スキップ] %s: validate 未対応\n",
@@ -320,6 +389,14 @@ YAML スキーマ（定義ファイル env-sync.yaml）:
 	MsgValidateVercelProjectID:      "  projectId : %s (取得元: %s)\n",
 	MsgValidateVercelTeamID:         "  teamId    : %s (取得元: %s)\n",
 	MsgValidateGitHubRepo:           "  repo      : %s (取得元: %s)\n",
+	MsgValidateSourceWrangler:       "wrangler 設定ファイル",
+	MsgValidateCloudflareAccountID:  "  accountId : %s (取得元: %s)\n",
+	MsgValidateCloudflareScript:     "  script    : %s (取得元: %s)\n",
+	MsgValidateAccountIDUnsetSkip:   "  accountId が未設定のため API 確認をスキップします\n",
+	MsgValidateScriptUnsetSkip:      "  script 名を解決できなかったため API 確認をスキップします\n",
+	MsgValidateCloudflareCause404:   "  推定原因: Worker スクリプトが存在しない、または accountId が誤っている\n",
+	MsgValidateCloudflareCause401:   "  推定原因: API トークンが無効\n",
+	MsgValidateCloudflareCause403:   "  推定原因: API トークンに Workers Scripts:Edit 権限が不足\n",
 
 	// ----- Sync / Entry 解決 -----
 	MsgDefaultsProviderInvalid: "defaults.provider: 不正な provider 値 %q（%s のいずれかを指定してください）",
diff --git a/internal/i18n/keys.go b/internal/i18n/keys.go
index 3d8f6cf..3e038e1 100644
--- a/internal/i18n/keys.go
+++ b/internal/i18n/keys.go
@@ -126,6 +126,16 @@ const (
 	MsgGitHubRepoNameDuplicate MsgKey = "config.github_repo_name_dup"
 	// MsgGitHubRepoRepoRequired は github.repos の repo 必須エラー（書式: 名前）。
 	MsgGitHubRepoRepoRequired MsgKey = "config.github_repo_repo_req"
+	// MsgCloudflareScriptsNotDefined は cloudflare.scripts 未定義で --cloudflare-script 指定時のエラー。
+	MsgCloudflareScriptsNotDefined MsgKey = "config.cloudflare_scripts_undef"
+	// MsgCloudflareScriptNameNotFound は指定ターゲット名が config に無いエラー（書式: 名前）。
+	MsgCloudflareScriptNameNotFound MsgKey = "config.cloudflare_script_not_found"
+	// MsgCloudflareScriptNameRequired は cloudflare.scripts の name 必須エラー。
+	MsgCloudflareScriptNameRequired MsgKey = "config.cloudflare_script_name_req"
+	// MsgCloudflareScriptNameDuplicate は cloudflare.scripts の name 重複エラー（書式: 名前）。
+	MsgCloudflareScriptNameDuplicate MsgKey = "config.cloudflare_script_name_dup"
+	// MsgCloudflareScriptRequired は cloudflare.scripts の script 必須エラー（書式: 名前）。
+	MsgCloudflareScriptRequired MsgKey = "config.cloudflare_script_req"
 
 	// ----- Init サブコマンド -----
 
@@ -186,6 +196,16 @@ const (
 	MsgSetupGitHubTokenPlain MsgKey = "setup.github_token_plain"
 	// MsgSetupYAMLHeader は BuildSetupYAML が生成するコメントヘッダブロック。
 	MsgSetupYAMLHeader MsgKey = "setup.yaml_header"
+	// MsgSetupAskCloudflare は Cloudflare 設定を使うか確認プロンプト。
+	MsgSetupAskCloudflare MsgKey = "setup.ask_cloudflare"
+	// MsgSetupCloudflareAccountID は Cloudflare account_id 入力プロンプト。
+	MsgSetupCloudflareAccountID MsgKey = "setup.cloudflare_account_id"
+	// MsgSetupCloudflareScript は Cloudflare Worker スクリプト名の入力プロンプト。
+	MsgSetupCloudflareScript MsgKey = "setup.cloudflare_script"
+	// MsgSetupCloudflareTokenEnvRef は Cloudflare API トークンを環境変数参照にするか確認プロンプト。
+	MsgSetupCloudflareTokenEnvRef MsgKey = "setup.cloudflare_token_env_ref"
+	// MsgSetupCloudflareTokenPlain は Cloudflare API トークンを平文で入力するプロンプト。
+	MsgSetupCloudflareTokenPlain MsgKey = "setup.cloudflare_token_plain"
 
 	// ----- Vercel Provider -----
 
@@ -309,6 +329,47 @@ const (
 	// MsgGCPSecretVersionAddFail は Secret バージョン追加失敗（書式: エラー）。
 	MsgGCPSecretVersionAddFail MsgKey = "gcp.secret_version_add_fail"
 
+	// ----- Cloudflare Provider -----
+
+	// MsgCloudflareTokenMissing は CLOUDFLARE_API_TOKEN 未設定エラー（単一ターゲット時）。
+	MsgCloudflareTokenMissing MsgKey = "cloudflare.token_missing"
+	// MsgCloudflareTokenMissingScript は per-target API トークン未設定エラー（書式: ターゲット名）。
+	MsgCloudflareTokenMissingScript MsgKey = "cloudflare.token_missing_script"
+	// MsgCloudflareTokenSkipScript は複数ターゲット時のトークン未設定スキップ警告（書式: ターゲット名）。
+	MsgCloudflareTokenSkipScript MsgKey = "cloudflare.token_skip_script"
+	// MsgCloudflareAccountIDMissing は CLOUDFLARE_ACCOUNT_ID 未設定エラー。
+	MsgCloudflareAccountIDMissing MsgKey = "cloudflare.account_id_missing"
+	// MsgCloudflareScriptMissing は Worker スクリプト名が解決できないエラー。
+	MsgCloudflareScriptMissing MsgKey = "cloudflare.script_missing"
+	// MsgCloudflareSkipNotSecret は secret=false エントリのスキップ警告（書式: キー名）。
+	MsgCloudflareSkipNotSecret MsgKey = "cloudflare.skip_not_secret"
+	// MsgCloudflareVarsNote は平文 vars が同期対象外である理由の注記。
+	MsgCloudflareVarsNote MsgKey = "cloudflare.vars_note"
+	// MsgCloudflareTargetScript は同期先 Worker 表示（書式: ラベル, envファイル, defファイル）。
+	MsgCloudflareTargetScript MsgKey = "cloudflare.target_script"
+	// MsgCloudflareConfirmSingle は単一ターゲット送信確認プロンプト。
+	MsgCloudflareConfirmSingle MsgKey = "cloudflare.confirm_single"
+	// MsgCloudflareConfirmMulti は複数ターゲット送信確認プロンプト（書式: 件数）。
+	MsgCloudflareConfirmMulti MsgKey = "cloudflare.confirm_multi"
+	// MsgCloudflareScriptSeparator は複数ターゲット時のセパレータ（書式: ターゲットラベル）。
+	MsgCloudflareScriptSeparator MsgKey = "cloudflare.script_separator"
+	// MsgCloudflareExistingKeysFetchWarn は既存シークレット名取得失敗の警告（書式: エラー）。
+	MsgCloudflareExistingKeysFetchWarn MsgKey = "cloudflare.existing_keys_warn"
+	// MsgCloudflareSecretsFetchFail は既存シークレット一覧取得失敗ラベル（%w ラップ用）。
+	MsgCloudflareSecretsFetchFail MsgKey = "cloudflare.secrets_fetch_fail"
+	// MsgCloudflareSecretsParseFail は既存シークレット一覧のパース失敗ラベル（%w ラップ用）。
+	MsgCloudflareSecretsParseFail MsgKey = "cloudflare.secrets_parse_fail"
+	// MsgCloudflareURLBuildFailOut は URL 組み立て失敗の出力（書式: エラー）。
+	MsgCloudflareURLBuildFailOut MsgKey = "cloudflare.url_build_fail_out"
+	// MsgCloudflareURLBuildFailInternal は内部 URL 組み立て失敗ラベル（%w ラップ用）。
+	MsgCloudflareURLBuildFailInternal MsgKey = "cloudflare.url_build_fail_internal"
+	// MsgCloudflareRequestCreateFailOut はリクエスト生成失敗の出力（書式: キー名, エラー）。
+	MsgCloudflareRequestCreateFailOut MsgKey = "cloudflare.request_create_fail_out"
+	// MsgCloudflareSendFailOut は送信失敗の出力（書式: キー名, エラー）。
+	MsgCloudflareSendFailOut MsgKey = "cloudflare.send_fail_out"
+	// MsgCloudflareWranglerReadFail は wrangler 設定ファイルの読み込み失敗（書式: パス, エラー）。
+	MsgCloudflareWranglerReadFail MsgKey = "cloudflare.wrangler_read_fail"
+
 	// ----- Validate サブコマンド -----
 
 	// MsgValidateHeader は validate のターゲットヘッダ（書式: ターゲットラベル = name / projectId / owner-repo など）。
@@ -359,6 +420,22 @@ const (
 	MsgValidateVercelTeamID MsgKey = "validate.vercel_team_id"
 	// MsgValidateGitHubRepo は GitHub リポジトリの表示（書式: owner/repo, 取得元）。
 	MsgValidateGitHubRepo MsgKey = "validate.github_repo"
+	// MsgValidateSourceWrangler は取得元が wrangler 設定ファイルであることを示すラベル。
+	MsgValidateSourceWrangler MsgKey = "validate.source_wrangler"
+	// MsgValidateCloudflareAccountID は Cloudflare アカウント ID の表示（書式: ID, 取得元）。
+	MsgValidateCloudflareAccountID MsgKey = "validate.cloudflare_account_id"
+	// MsgValidateCloudflareScript は Cloudflare Worker スクリプト名の表示（書式: 名前, 取得元）。
+	MsgValidateCloudflareScript MsgKey = "validate.cloudflare_script"
+	// MsgValidateAccountIDUnsetSkip は account_id 未設定のため API 確認をスキップするメッセージ。
+	MsgValidateAccountIDUnsetSkip MsgKey = "validate.account_id_unset_skip"
+	// MsgValidateScriptUnsetSkip は script 名未解決のため API 確認をスキップするメッセージ。
+	MsgValidateScriptUnsetSkip MsgKey = "validate.script_unset_skip"
+	// MsgValidateCloudflareCause404 は Cloudflare 404 の推定原因。
+	MsgValidateCloudflareCause404 MsgKey = "validate.cloudflare_cause_404"
+	// MsgValidateCloudflareCause401 は Cloudflare 401 の推定原因。
+	MsgValidateCloudflareCause401 MsgKey = "validate.cloudflare_cause_401"
+	// MsgValidateCloudflareCause403 は Cloudflare 403 の推定原因。
+	MsgValidateCloudflareCause403 MsgKey = "validate.cloudflare_cause_403"
 	// ----- Sync / Entry 解決 -----
 
 	// MsgDefaultsProviderInvalid は defaults.provider の不正値エラー（書式: 値, 候補一覧）。
diff --git a/internal/provider/cloudflare/cloudflare.go b/internal/provider/cloudflare/cloudflare.go
new file mode 100644
index 0000000..188e948
--- /dev/null
+++ b/internal/provider/cloudflare/cloudflare.go
@@ -0,0 +1,696 @@
+// Package cloudflare は Cloudflare Workers のシークレット同期を実装する provider。
+//
+// Workers の環境変数は「Secrets」と「平文 vars」の 2 種類あるが、本 provider は
+// Secrets のみを同期する。平文 vars は wrangler 設定の [vars] セクションが管理しており、
+// API で設定しても次の `wrangler deploy` で上書きされて消えるため（Secrets はデプロイを
+// またいで保持される）、secret=false のエントリは警告のうえスキップする。
+package cloudflare
+
+import (
+	"bufio"
+	"bytes"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"io"
+	"net/http"
+	"net/url"
+	"os"
+	"strings"
+	"time"
+
+	"github.com/ptyhard/env-sync/internal/config"
+	"github.com/ptyhard/env-sync/internal/i18n"
+	"github.com/ptyhard/env-sync/internal/provider"
+)
+
+// apiBase は Cloudflare REST API のベース URL。テストで httptest.Server を
+// 指す差し替えができるよう var にしている。
+var apiBase = "https://api.cloudflare.com/client/v4"
+
+// httpTimeout は Cloudflare API 呼び出しの HTTP タイムアウト。
+const httpTimeout = 30 * time.Second
+
+func init() {
+	provider.RegisterProvider("cloudflare", func() provider.Provider { return &cloudflareProvider{} })
+}
+
+// cloudflareProvider は Cloudflare Workers への同期を担当する Provider 実装。
+type cloudflareProvider struct{}
+
+func (c *cloudflareProvider) Name() string { return "cloudflare" }
+
+// cloudflareTask は「1 つの Worker スクリプトへ登録する 1 件」を表す。
+// Workers の環境（wrangler の [env.staging]）は独立したスクリプトとしてデプロイされるため、
+// 1 つの Entry が複数の環境を宣言している場合は環境ごとに task へ展開される。
+type cloudflareTask struct {
+	script string
+	entry  provider.Entry
+}
+
+// classifiedTask は task に新規/更新の分類情報を付加した型。
+type classifiedTask struct {
+	task  cloudflareTask
+	isNew bool // true=新規, false=更新
+}
+
+// pruneTarget は prune で削除する 1 件（スクリプト名 + シークレット名）を表す。
+type pruneTarget struct {
+	script string
+	name   string
+}
+
+// resolveScriptName は環境名から Worker スクリプト名を解決する純粋関数。
+// env が空ならベーススクリプト名をそのまま返す。
+// mapping（config の cloudflare.environments）に環境名があればその値を優先し、
+// 無ければ wrangler の慣習に合わせて "<base>-<env>" を返す
+// （wrangler は [env.staging] を my-worker-staging としてデプロイする）。
+func resolveScriptName(base, env string, mapping map[string]string) string {
+	if env == "" {
+		return base
+	}
+	if s, ok := mapping[env]; ok && s != "" {
+		return s
+	}
+	return base + "-" + env
+}
+
+// expandCloudflareTasks は entries を (スクリプト, Entry) の組へ展開する純粋関数。
+// Environments が空の Entry はベーススクリプトへの 1 件になる。
+// 複数環境が同一スクリプト名に解決された場合は重複を排除する（同じ値の二重送信を防ぐ）。
+func expandCloudflareTasks(entries []provider.Entry, base string, mapping map[string]string) []cloudflareTask {
+	var tasks []cloudflareTask
+	for _, e := range entries {
+		envs := e.Environments
+		if len(envs) == 0 {
+			tasks = append(tasks, cloudflareTask{script: base, entry: e})
+			continue
+		}
+		seen := make(map[string]bool, len(envs))
+		for _, env := range envs {
+			script := resolveScriptName(base, env, mapping)
+			if seen[script] {
+				continue
+			}
+			seen[script] = true
+			tasks = append(tasks, cloudflareTask{script: script, entry: e})
+		}
+	}
+	return tasks
+}
+
+// taskScripts は tasks に現れるスクリプト名を出現順で重複なく返す純粋関数。
+func taskScripts(tasks []cloudflareTask) []string {
+	var scripts []string
+	seen := make(map[string]bool, len(tasks))
+	for _, t := range tasks {
+		if seen[t.script] {
+			continue
+		}
+		seen[t.script] = true
+		scripts = append(scripts, t.script)
+	}
+	return scripts
+}
+
+// classifyTasks は tasks をスクリプトごとの既存シークレット名セットと照合して新規/更新に分類する純粋関数。
+func classifyTasks(tasks []cloudflareTask, existing map[string]map[string]bool) []classifiedTask {
+	result := make([]classifiedTask, len(tasks))
+	for i, t := range tasks {
+		result[i] = classifiedTask{task: t, isNew: !existing[t.script][t.entry.Key]}
+	}
+	return result
+}
+
+// countClassified は classified から新規件数・更新件数を返す。
+// classified が nil（分類不可）のときは新規=total、更新=0 を返す。
+func countClassified(classified []classifiedTask, total int) (newCount, updateCount int) {
+	if classified == nil {
+		return total, 0
+	}
+	for _, c := range classified {
+		if c.isNew {
+			newCount++
+		} else {
+			updateCount++
+		}
+	}
+	return
+}
+
+// computePrune は既存シークレット名のうち定義ファイルに無いものを削除対象として返す純粋関数。
+// keep は Options.PruneKeep が返す保持判定（定義済みキー + prune_exclude パターン）。
+// scripts は走査順を決定的にするためのスクリプト名リスト（map の反復順に依存しない）。
+func computePrune(scripts []string, existing map[string][]string, keep func(key string) bool) []pruneTarget {
+	var targets []pruneTarget
+	for _, script := range scripts {
+		for _, name := range existing[script] {
+			if keep(name) {
+				continue
+			}
+			targets = append(targets, pruneTarget{script: script, name: name})
+		}
+	}
+	return targets
+}
+
+// Sync は Cloudflare Workers への環境変数（シークレット）同期を行う。
+// Entry.Secret == false のエントリはスキップする（平文 vars は wrangler 設定が管理するため）。
+func (c *cloudflareProvider) Sync(opts provider.Options, entries []provider.Entry) error {
+	appCfg, err := config.LoadAppConfig()
+	if err != nil {
+		return err
+	}
+	if !opts.DryRun && appCfg.ResolveCloudflareAPIToken() == "" && len(appCfg.Cloudflare.Scripts) == 0 {
+		return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareTokenMissing))
+	}
+
+	targets, err := appCfg.ResolveCloudflareTargets(opts.CloudflareScript)
+	if err != nil {
+		return err
+	}
+
+	// ---- secret=false のエントリを除外（平文 vars は同期しない） ----
+	var secretEntries []provider.Entry
+	skippedPlain := 0
+	for _, e := range entries {
+		if !e.Secret {
+			fmt.Fprint(os.Stderr, i18n.T(i18n.MsgCloudflareSkipNotSecret, e.Key))
+			skippedPlain++
+			continue
+		}
+		secretEntries = append(secretEntries, e)
+	}
+	if skippedPlain > 0 {
+		fmt.Fprint(os.Stderr, i18n.T(i18n.MsgCloudflareVarsNote))
+	}
+
+	// ---- 単一ターゲット時は wrangler 設定ファイルから script 名をフォールバック解決 ----
+	if err := applyWranglerFallback(targets); err != nil {
+		return err
+	}
+
+	client := &http.Client{Timeout: httpTimeout}
+	pruneKeep := opts.PruneKeep()
+
+	// resolvedTarget はターゲットごとの解決結果を保持し、確認・送信フェーズで再利用する。
+	type resolvedTarget struct {
+		label      string
+		tasks      []cloudflareTask
+		classified []classifiedTask
+		prune      []pruneTarget
+		skipped    bool // トークン未設定により送信をスキップするターゲット
+	}
+	resolved := make([]resolvedTarget, 0, len(targets))
+
+	for _, tgt := range targets {
+		label := tgt.Script
+		if tgt.Name != "" {
+			label = tgt.Name + " (" + tgt.Script + ")"
+		}
+
+		// トークン未設定チェック（per-target）
+		// 単一ターゲット時は即エラー返却。複数ターゲット時は失敗として記録して残りを継続する。
+		if !opts.DryRun && tgt.APIToken == "" {
+			if len(targets) == 1 {
+				return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareTokenMissingScript, tgt.Name))
+			}
+			fmt.Fprint(os.Stderr, i18n.T(i18n.MsgCloudflareTokenSkipScript, tgt.Name))
+			resolved = append(resolved, resolvedTarget{label: label, skipped: true})
+			continue
+		}
+		// script / accountId は dry-run でも解決できていないと表示すべき対象が定まらないためエラーにする。
+		if tgt.Script == "" {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareScriptMissing))
+		}
+		if !opts.DryRun && tgt.AccountID == "" {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareAccountIDMissing))
+		}
+
+		tasks := expandCloudflareTasks(secretEntries, tgt.Script, tgt.Environments)
+		scripts := taskScripts(tasks)
+
+		// ---- 既存シークレット一覧の取得（新規/更新分類と prune に使う） ----
+		var classified []classifiedTask
+		var pruneTargets []pruneTarget
+		if tgt.APIToken != "" && tgt.AccountID != "" {
+			existing, listErr := fetchSecretNames(client, tgt.APIToken, tgt.AccountID, scripts)
+			if listErr == nil {
+				existingSet := make(map[string]map[string]bool, len(existing))
+				for script, names := range existing {
+					set := make(map[string]bool, len(names))
+					for _, n := range names {
+						set[n] = true
+					}
+					existingSet[script] = set
+				}
+				classified = classifyTasks(tasks, existingSet)
+				if opts.Prune {
+					pruneTargets = computePrune(scripts, existing, pruneKeep)
+				}
+			} else {
+				// API 失敗時は classified = nil のまま（確認をスキップしない安全側フォールバック）。
+				fmt.Fprint(os.Stderr, i18n.T(i18n.MsgCloudflareExistingKeysFetchWarn, listErr))
+				// 既存一覧が取れない場合は何を消してよいか判定できないため prune もスキップする。
+				if opts.Prune {
+					fmt.Fprint(os.Stderr, i18n.T(i18n.MsgPruneSkipWarn, listErr))
+				}
+			}
+		}
+		resolved = append(resolved, resolvedTarget{label: label, tasks: tasks, classified: classified, prune: pruneTargets})
+
+		// ---- 登録対象の一覧表示 ----
+		fmt.Print(i18n.T(i18n.MsgCloudflareTargetScript, label, opts.Env, opts.Def))
+		newCount, updateCount := countClassified(classified, len(tasks))
+		if classified != nil {
+			fmt.Print(i18n.T(i18n.MsgEntriesClassified, len(tasks), newCount, updateCount))
+		} else {
+			fmt.Print(i18n.T(i18n.MsgEntriesCount, len(tasks)))
+		}
+		for i, t := range tasks {
+			if classified != nil {
+				marker, statusLabel := "⟳", i18n.T(i18n.MsgLabelUpdate)
+				if classified[i].isNew {
+					marker, statusLabel = "+", i18n.T(i18n.MsgLabelNew)
+				}
+				fmt.Printf("  %s %-30s script=%s [%s]\n", marker, t.entry.Key, t.script, statusLabel)
+			} else {
+				fmt.Printf("  %-30s script=%s\n", t.entry.Key, t.script)
+			}
+		}
+		// prune 削除対象の一覧表示
+		if len(pruneTargets) > 0 {
+			fmt.Print(i18n.T(i18n.MsgPruneEntries, len(pruneTargets)))
+			for _, p := range pruneTargets {
+				fmt.Printf("  - %-30s script=%s [%s]\n", p.name, p.script, i18n.T(i18n.MsgLabelDelete))
+			}
+		}
+		fmt.Println()
+	}
+
+	totalTasks, totalPrune := 0, 0
+	for _, r := range resolved {
+		totalTasks += len(r.tasks)
+		totalPrune += len(r.prune)
+	}
+	if totalTasks == 0 && totalPrune == 0 {
+		fmt.Println(i18n.T(i18n.MsgNoEntries))
+		return nil
+	}
+	if opts.DryRun {
+		fmt.Println(i18n.T(i18n.MsgDryRun))
+		return nil
+	}
+
+	// ---- 確認（更新がある場合、または分類不可の場合）----
+	// 複数ターゲット時は常に確認（安全側）。単一ターゲット時は更新有無で判定。
+	activeCount := 0
+	for _, r := range resolved {
+		if !r.skipped {
+			activeCount++
+		}
+	}
+	needsConfirm := false
+	if activeCount > 1 {
+		needsConfirm = true
+	} else if activeCount == 1 {
+		for _, r := range resolved {
+			if !r.skipped {
+				_, updateCount := countClassified(r.classified, len(r.tasks))
+				needsConfirm = r.classified == nil || updateCount > 0
+				break
+			}
+		}
+	}
+	// 削除は破壊的操作のため、prune 対象がある場合は必ず確認する
+	if totalPrune > 0 {
+		needsConfirm = true
+		fmt.Print(i18n.T(i18n.MsgPruneConfirmNote, totalPrune))
+	}
+	if needsConfirm && !opts.Yes {
+		if !config.IsTTY(os.Stdin) {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgNonInteractiveErr))
+		}
+		if activeCount > 1 {
+			fmt.Print(i18n.T(i18n.MsgCloudflareConfirmMulti, activeCount))
+		} else {
+			fmt.Print(i18n.T(i18n.MsgCloudflareConfirmSingle))
+		}
+		reader := bufio.NewReader(os.Stdin)
+		line, _ := reader.ReadString('\n')
+		ans := strings.ToLower(strings.TrimSpace(line))
+		if ans != "y" && ans != "yes" {
+			fmt.Println(i18n.T(i18n.MsgAborted))
+			return nil
+		}
+	}
+
+	// ---- 各ターゲットへ送信 ----
+	totalOK, totalNG := 0, 0
+	for i, tgt := range targets {
+		r := resolved[i]
+		if r.skipped {
+			// 一覧表示フェーズで警告済み。失敗件数として集計する。
+			totalNG += len(r.tasks)
+			continue
+		}
+		if activeCount > 1 {
+			fmt.Print(i18n.T(i18n.MsgCloudflareScriptSeparator, r.label))
+		}
+		ok, ng := syncOneTarget(client, tgt.APIToken, tgt.AccountID, r.tasks)
+		totalOK += ok
+		totalNG += ng
+		// prune 削除（登録完了後に実行）
+		if len(r.prune) > 0 {
+			dok, dng := deleteSecrets(client, tgt.APIToken, tgt.AccountID, r.prune)
+			totalOK += dok
+			totalNG += dng
+		}
+	}
+
+	if activeCount > 1 {
+		fmt.Print(i18n.T(i18n.MsgTotalCompleted, totalOK, totalNG))
+	} else {
+		fmt.Print(i18n.T(i18n.MsgCompleted, totalOK, totalNG))
+	}
+	if totalNG > 0 {
+		os.Exit(1)
+	}
+	return nil
+}
+
+// secretItem は Cloudflare へ送信する 1 件のシークレット。
+type secretItem struct {
+	Name string `json:"name"`
+	Text string `json:"text"`
+	Type string `json:"type"`
+}
+
+// syncOneTarget は tasks を Cloudflare へ送信し、成功数・失敗数を返す。os.Exit は呼ばない。
+func syncOneTarget(client *http.Client, token, accountID string, tasks []cloudflareTask) (ok, ng int) {
+	for _, t := range tasks {
+		apiURL := secretsURL(accountID, t.script)
+		body, _ := json.Marshal(secretItem{Name: t.entry.Key, Text: t.entry.Value, Type: "secret_text"})
+		req, err := http.NewRequest(http.MethodPut, apiURL, bytes.NewReader(body))
+		if err != nil {
+			fmt.Print(i18n.T(i18n.MsgCloudflareRequestCreateFailOut, t.entry.Key, err))
+			ng++
+			continue
+		}
+		req.Header.Set("Authorization", "Bearer "+token)
+		req.Header.Set("Content-Type", "application/json")
+
+		res, err := client.Do(req)
+		if err != nil {
+			fmt.Print(i18n.T(i18n.MsgCloudflareSendFailOut, t.entry.Key, err))
+			ng++
+			continue
+		}
+		if msg := checkResponse(res); msg == "" {
+			fmt.Printf("✓ %s (script: %s)\n", t.entry.Key, t.script)
+			ok++
+		} else {
+			fmt.Printf("✗ %s (script: %s) -> %s\n", t.entry.Key, t.script, msg)
+			ng++
+		}
+		res.Body.Close()
+	}
+	return ok, ng
+}
+
+// deleteSecrets は prune 対象のシークレットを 1 件ずつ削除し、成功数・失敗数を返す。os.Exit は呼ばない。
+func deleteSecrets(client *http.Client, token, accountID string, targets []pruneTarget) (ok, ng int) {
+	for _, t := range targets {
+		apiURL := secretsURL(accountID, t.script) + "/" + url.PathEscape(t.name)
+		req, err := http.NewRequest(http.MethodDelete, apiURL, nil)
+		if err != nil {
+			fmt.Print(i18n.T(i18n.MsgCloudflareRequestCreateFailOut, t.name, err))
+			ng++
+			continue
+		}
+		req.Header.Set("Authorization", "Bearer "+token)
+
+		res, err := client.Do(req)
+		if err != nil {
+			fmt.Print(i18n.T(i18n.MsgCloudflareSendFailOut, t.name, err))
+			ng++
+			continue
+		}
+		if msg := checkResponse(res); msg == "" {
+			fmt.Printf("✓ %s (script: %s) [%s]\n", t.name, t.script, i18n.T(i18n.MsgLabelDelete))
+			ok++
+		} else {
+			fmt.Printf("✗ %s (script: %s) -> %s\n", t.name, t.script, msg)
+			ng++
+		}
+		res.Body.Close()
+	}
+	return ok, ng
+}
+
+// fetchSecretNames は各スクリプトに登録済みのシークレット名一覧を返す。
+// 1 つでも取得に失敗した場合はエラーを返す（部分的な結果で prune 判定をしないため）。
+func fetchSecretNames(client *http.Client, token, accountID string, scripts []string) (map[string][]string, error) {
+	result := make(map[string][]string, len(scripts))
+	for _, script := range scripts {
+		names, err := fetchSecretNamesForScript(client, token, accountID, script)
+		if err != nil {
+			return nil, err
+		}
+		result[script] = names
+	}
+	return result, nil
+}
+
+// fetchSecretNamesForScript は 1 つの Worker スクリプトのシークレット名一覧を返す。
+// このエンドポイントはページングを持たず、全件が result 配列で返る。
+func fetchSecretNamesForScript(client *http.Client, token, accountID, script string) ([]string, error) {
+	req, err := http.NewRequest(http.MethodGet, secretsURL(accountID, script), nil)
+	if err != nil {
+		return nil, fmt.Errorf("%s: %w", i18n.T(i18n.MsgRequestCreateFail), err)
+	}
+	req.Header.Set("Authorization", "Bearer "+token)
+
+	res, err := client.Do(req)
+	if err != nil {
+		return nil, fmt.Errorf("%s: %w", i18n.T(i18n.MsgCloudflareSecretsFetchFail), err)
+	}
+	defer res.Body.Close()
+
+	data, err := io.ReadAll(res.Body)
+	if err != nil {
+		return nil, fmt.Errorf("%s: %w", i18n.T(i18n.MsgCloudflareSecretsFetchFail), err)
+	}
+	if res.StatusCode < 200 || res.StatusCode >= 300 {
+		msg := fmt.Sprintf("HTTP %d", res.StatusCode)
+		if detail := parseErrorBody(data); detail != "" {
+			msg += ": " + detail
+		}
+		return nil, fmt.Errorf("%s: %s", i18n.T(i18n.MsgCloudflareSecretsFetchFail), msg)
+	}
+
+	var body struct {
+		Success bool `json:"success"`
+		Result  []struct {
+			Name string `json:"name"`
+		} `json:"result"`
+	}
+	if err := json.Unmarshal(data, &body); err != nil {
+		return nil, fmt.Errorf("%s: %w", i18n.T(i18n.MsgCloudflareSecretsParseFail), err)
+	}
+	// Cloudflare は HTTP 200 でも success:false を返すことがある。
+	if !body.Success {
+		msg := parseErrorBody(data)
+		if msg == "" {
+			msg = "success=false"
+		}
+		return nil, fmt.Errorf("%s: %s", i18n.T(i18n.MsgCloudflareSecretsFetchFail), msg)
+	}
+
+	names := make([]string, 0, len(body.Result))
+	for _, s := range body.Result {
+		names = append(names, s.Name)
+	}
+	return names, nil
+}
+
+// checkResponse はレスポンスを検証し、成功なら "" を、失敗ならエラーメッセージを返す。
+// Cloudflare は HTTP 200 でも success:false を返すことがあるためボディも検証する。
+// 呼び出し側でボディを Close する。
+func checkResponse(res *http.Response) string {
+	data, err := io.ReadAll(res.Body)
+	if err != nil {
+		return fmt.Sprintf("HTTP %d", res.StatusCode)
+	}
+	if res.StatusCode < 200 || res.StatusCode >= 300 {
+		msg := fmt.Sprintf("HTTP %d", res.StatusCode)
+		if detail := parseErrorBody(data); detail != "" {
+			msg += ": " + detail
+		}
+		return msg
+	}
+	var body struct {
+		Success *bool `json:"success"`
+	}
+	// ボディが JSON でない、または success フィールドが無い場合は 2xx を成功とみなす。
+	if err := json.Unmarshal(data, &body); err != nil || body.Success == nil || *body.Success {
+		return ""
+	}
+	if detail := parseErrorBody(data); detail != "" {
+		return detail
+	}
+	return "success=false"
+}
+
+// parseErrorBody は Cloudflare のエラーレスポンス本文から errors[].message を連結して返す。
+func parseErrorBody(data []byte) string {
+	var body struct {
+		Errors []struct {
+			Code    int    `json:"code"`
+			Message string `json:"message"`
+		} `json:"errors"`
+	}
+	if err := json.Unmarshal(data, &body); err != nil {
+		return ""
+	}
+	msgs := make([]string, 0, len(body.Errors))
+	for _, e := range body.Errors {
+		switch {
+		case e.Message != "":
+			msgs = append(msgs, e.Message)
+		case e.Code != 0:
+			msgs = append(msgs, fmt.Sprintf("code %d", e.Code))
+		}
+	}
+	return strings.Join(msgs, "; ")
+}
+
+// secretsURL は Workers script secrets エンドポイントの URL を返す。
+func secretsURL(accountID, script string) string {
+	return fmt.Sprintf("%s/accounts/%s/workers/scripts/%s/secrets",
+		apiBase, url.PathEscape(accountID), url.PathEscape(script))
+}
+
+// wranglerConfigFiles は script 名フォールバックで探索する wrangler 設定ファイル（優先順）。
+var wranglerConfigFiles = []string{"wrangler.jsonc", "wrangler.json", "wrangler.toml"}
+
+// applyWranglerFallback は単一ターゲット時の wrangler 設定ファイルフォールバックを行う。
+// targets[0].Script が空の場合に wrangler.jsonc / wrangler.json / wrangler.toml の name を読む。
+// 設定ファイルが存在しない場合はエラーではなく何もしない（呼び出し側が未解決として扱う）。
+func applyWranglerFallback(targets []config.CloudflareTarget) error {
+	if len(targets) != 1 || targets[0].Script != "" {
+		return nil
+	}
+	for _, path := range wranglerConfigFiles {
+		data, err := os.ReadFile(path)
+		if errors.Is(err, os.ErrNotExist) {
+			continue
+		}
+		if err != nil {
+			return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareWranglerReadFail, path, err))
+		}
+		name := parseWranglerName(path, string(data))
+		if name == "" {
+			continue
+		}
+		targets[0].Script = name
+		targets[0].ScriptSource = "wrangler"
+		return nil
+	}
+	return nil
+}
+
+// parseWranglerName は wrangler 設定ファイルのテキストからトップレベルの name を抽出する純粋関数。
+// path の拡張子で TOML / JSON(C) を判別する。抽出できない場合は "" を返す。
+func parseWranglerName(path, text string) string {
+	if strings.HasSuffix(path, ".toml") {
+		return tomlTopLevelName(text)
+	}
+	var conf struct {
+		Name string `json:"name"`
+	}
+	if err := json.Unmarshal([]byte(stripJSONComments(text)), &conf); err != nil {
+		return ""
+	}
+	return conf.Name
+}
+
+// tomlTopLevelName は wrangler.toml のトップレベル `name = "..."` を抽出する純粋関数。
+// 最初のテーブルヘッダ（[env.staging] など）以降は環境別設定のため走査しない。
+// wrangler.toml の name は単純な文字列リテラルであるため、完全な TOML パーサは用いない。
+func tomlTopLevelName(text string) string {
+	for _, line := range strings.Split(text, "\n") {
+		trimmed := strings.TrimSpace(line)
+		if strings.HasPrefix(trimmed, "[") {
+			// テーブルヘッダに到達したらトップレベルは終わり
+			return ""
+		}
+		if trimmed == "" || strings.HasPrefix(trimmed, "#") {
+			continue
+		}
+		key, value, found := strings.Cut(trimmed, "=")
+		if !found || strings.TrimSpace(key) != "name" {
+			continue
+		}
+		value = strings.TrimSpace(value)
+		// 行末コメントを除去（値がクォートで閉じたあとの # 以降）
+		if idx := strings.LastIndex(value, "\""); idx > 0 {
+			value = value[:idx+1]
+		} else if idx := strings.LastIndex(value, "'"); idx > 0 {
+			value = value[:idx+1]
+		}
+		return strings.Trim(value, `"'`)
+	}
+	return ""
+}
+
+// stripJSONComments は JSONC の // 行コメントと /* */ ブロックコメントを除去する純粋関数。
+// 文字列リテラル内の // や /* は除去しない（エスケープ \" も考慮する）。
+func stripJSONComments(s string) string {
+	var sb strings.Builder
+	sb.Grow(len(s))
+	inString, escaped := false, false
+	for i := 0; i < len(s); i++ {
+		c := s[i]
+		if inString {
+			sb.WriteByte(c)
+			switch {
+			case escaped:
+				escaped = false
+			case c == '\\':
+				escaped = true
+			case c == '"':
+				inString = false
+			}
+			continue
+		}
+		if c == '"' {
+			inString = true
+			sb.WriteByte(c)
+			continue
+		}
+		if c == '/' && i+1 < len(s) {
+			if s[i+1] == '/' {
+				// 行コメント: 改行まで読み飛ばす（改行自体は残す）
+				for i < len(s) && s[i] != '\n' {
+					i++
+				}
+				if i < len(s) {
+					sb.WriteByte('\n')
+				}
+				continue
+			}
+			if s[i+1] == '*' {
+				// ブロックコメント: */ まで読み飛ばす
+				i += 2
+				for i+1 < len(s) && !(s[i] == '*' && s[i+1] == '/') {
+					i++
+				}
+				i++ // ループの i++ と合わせて '/' の次へ進める
+				continue
+			}
+		}
+		sb.WriteByte(c)
+	}
+	return sb.String()
+}
diff --git a/internal/provider/cloudflare/cloudflare_integration_test.go b/internal/provider/cloudflare/cloudflare_integration_test.go
new file mode 100644
index 0000000..b954387
--- /dev/null
+++ b/internal/provider/cloudflare/cloudflare_integration_test.go
@@ -0,0 +1,500 @@
+package cloudflare
+
+import (
+	"encoding/json"
+	"io"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"path/filepath"
+	"strings"
+	"sync"
+	"testing"
+
+	"github.com/ptyhard/env-sync/internal/config"
+	"github.com/ptyhard/env-sync/internal/provider"
+)
+
+// withAPIBase はテスト中だけ apiBase をテストサーバに差し替える。
+func withAPIBase(t *testing.T, base string) {
+	t.Helper()
+	orig := apiBase
+	apiBase = base
+	t.Cleanup(func() { apiBase = orig })
+}
+
+// recordedRequest はテストサーバが受け取ったリクエストの記録。
+type recordedRequest struct {
+	method string
+	path   string
+	auth   string
+	body   string
+}
+
+// newRecordingServer はリクエストを記録し、handler の応答を返すテストサーバを立てる。
+// handler が nil の場合は success:true の空レスポンスを返す。
+func newRecordingServer(t *testing.T, handler func(w http.ResponseWriter, r *http.Request)) (*httptest.Server, *[]recordedRequest) {
+	t.Helper()
+	var mu sync.Mutex
+	var got []recordedRequest
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		body, _ := io.ReadAll(r.Body)
+		mu.Lock()
+		got = append(got, recordedRequest{
+			method: r.Method,
+			path:   r.URL.Path,
+			auth:   r.Header.Get("Authorization"),
+			body:   string(body),
+		})
+		mu.Unlock()
+		if handler != nil {
+			handler(w, r)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		io.WriteString(w, `{"success":true,"errors":[],"messages":[],"result":{}}`) //nolint:errcheck
+	}))
+	t.Cleanup(srv.Close)
+	withAPIBase(t, srv.URL)
+	return srv, &got
+}
+
+// --- syncOneTarget のテスト ---
+
+func TestSyncOneTarget_SendsSecretTextPut(t *testing.T) {
+	_, got := newRecordingServer(t, nil)
+
+	tasks := []cloudflareTask{
+		{script: "my-worker", entry: provider.Entry{Key: "API_KEY", Value: "s3cret", Secret: true}},
+	}
+	ok, ng := syncOneTarget(&http.Client{}, "tok", "acct1", tasks)
+	if ok != 1 || ng != 0 {
+		t.Fatalf("(ok, ng) = (%d, %d), want (1, 0)", ok, ng)
+	}
+	if len(*got) != 1 {
+		t.Fatalf("リクエスト数 = %d, want 1", len(*got))
+	}
+	req := (*got)[0]
+	if req.method != http.MethodPut {
+		t.Errorf("method = %s, want PUT", req.method)
+	}
+	if want := "/accounts/acct1/workers/scripts/my-worker/secrets"; req.path != want {
+		t.Errorf("path = %s, want %s", req.path, want)
+	}
+	if req.auth != "Bearer tok" {
+		t.Errorf("Authorization = %q, want %q", req.auth, "Bearer tok")
+	}
+	var item secretItem
+	if err := json.Unmarshal([]byte(req.body), &item); err != nil {
+		t.Fatalf("リクエストボディが JSON でない: %v", err)
+	}
+	if item.Name != "API_KEY" || item.Text != "s3cret" || item.Type != "secret_text" {
+		t.Errorf("ボディ = %+v, want {API_KEY s3cret secret_text}", item)
+	}
+}
+
+func TestSyncOneTarget_SendsToPerEnvironmentScripts(t *testing.T) {
+	_, got := newRecordingServer(t, nil)
+
+	tasks := expandCloudflareTasks(
+		[]provider.Entry{{Key: "DB_URL", Value: "v", Secret: true, Environments: []string{"production", "staging"}}},
+		"my-worker", nil)
+	ok, ng := syncOneTarget(&http.Client{}, "tok", "acct1", tasks)
+	if ok != 2 || ng != 0 {
+		t.Fatalf("(ok, ng) = (%d, %d), want (2, 0)", ok, ng)
+	}
+	wantPaths := []string{
+		"/accounts/acct1/workers/scripts/my-worker-production/secrets",
+		"/accounts/acct1/workers/scripts/my-worker-staging/secrets",
+	}
+	for i, want := range wantPaths {
+		if (*got)[i].path != want {
+			t.Errorf("リクエスト[%d] path = %s, want %s", i, (*got)[i].path, want)
+		}
+	}
+}
+
+func TestSyncOneTarget_CountsHTTPErrorAsFailure(t *testing.T) {
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusNotFound)
+		io.WriteString(w, `{"success":false,"errors":[{"code":10007,"message":"script not found"}]}`) //nolint:errcheck
+	})
+
+	tasks := []cloudflareTask{{script: "w", entry: provider.Entry{Key: "K", Value: "v"}}}
+	ok, ng := syncOneTarget(&http.Client{}, "tok", "acct1", tasks)
+	if ok != 0 || ng != 1 {
+		t.Errorf("(ok, ng) = (%d, %d), want (0, 1)", ok, ng)
+	}
+}
+
+func TestSyncOneTarget_CountsSuccessFalseAsFailure(t *testing.T) {
+	// Cloudflare は HTTP 200 でも success:false を返すことがある
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":false,"errors":[{"message":"invalid binding"}]}`) //nolint:errcheck
+	})
+
+	tasks := []cloudflareTask{{script: "w", entry: provider.Entry{Key: "K", Value: "v"}}}
+	ok, ng := syncOneTarget(&http.Client{}, "tok", "acct1", tasks)
+	if ok != 0 || ng != 1 {
+		t.Errorf("(ok, ng) = (%d, %d), want (0, 1)", ok, ng)
+	}
+}
+
+// --- fetchSecretNames のテスト ---
+
+func TestFetchSecretNames_ReturnsNamesPerScript(t *testing.T) {
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if strings.Contains(r.URL.Path, "my-worker-staging") {
+			io.WriteString(w, `{"success":true,"result":[{"name":"STG_ONLY","type":"secret_text"}]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":[{"name":"API_KEY","type":"secret_text"},{"name":"DB_URL","type":"secret_text"}]}`) //nolint:errcheck
+	})
+
+	got, err := fetchSecretNames(&http.Client{}, "tok", "acct1", []string{"my-worker", "my-worker-staging"})
+	if err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if len(got["my-worker"]) != 2 || got["my-worker"][0] != "API_KEY" {
+		t.Errorf("my-worker のシークレット = %v, want [API_KEY DB_URL]", got["my-worker"])
+	}
+	if len(got["my-worker-staging"]) != 1 || got["my-worker-staging"][0] != "STG_ONLY" {
+		t.Errorf("my-worker-staging のシークレット = %v, want [STG_ONLY]", got["my-worker-staging"])
+	}
+}
+
+func TestFetchSecretNames_ErrorOnHTTPFailure(t *testing.T) {
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusForbidden)
+		io.WriteString(w, `{"success":false,"errors":[{"message":"insufficient permissions"}]}`) //nolint:errcheck
+	})
+
+	_, err := fetchSecretNames(&http.Client{}, "tok", "acct1", []string{"w"})
+	if err == nil {
+		t.Fatal("エラーを期待したが nil")
+	}
+	if !strings.Contains(err.Error(), "insufficient permissions") {
+		t.Errorf("エラーメッセージにレスポンス詳細が含まれない: %v", err)
+	}
+}
+
+func TestFetchSecretNames_ErrorOnSuccessFalse(t *testing.T) {
+	// HTTP 200 かつ success:false は失敗として扱う（部分的な結果で prune 判定しないため）
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":false,"errors":[{"message":"nope"}],"result":null}`) //nolint:errcheck
+	})
+
+	if _, err := fetchSecretNames(&http.Client{}, "tok", "acct1", []string{"w"}); err == nil {
+		t.Fatal("success:false でエラーを期待したが nil")
+	}
+}
+
+// --- deleteSecrets のテスト ---
+
+func TestDeleteSecrets_SendsDeleteWithEscapedName(t *testing.T) {
+	_, got := newRecordingServer(t, nil)
+
+	targets := []pruneTarget{{script: "my-worker", name: "STALE_KEY"}}
+	ok, ng := deleteSecrets(&http.Client{}, "tok", "acct1", targets)
+	if ok != 1 || ng != 0 {
+		t.Fatalf("(ok, ng) = (%d, %d), want (1, 0)", ok, ng)
+	}
+	req := (*got)[0]
+	if req.method != http.MethodDelete {
+		t.Errorf("method = %s, want DELETE", req.method)
+	}
+	if want := "/accounts/acct1/workers/scripts/my-worker/secrets/STALE_KEY"; req.path != want {
+		t.Errorf("path = %s, want %s", req.path, want)
+	}
+}
+
+// --- checkResponse のテスト ---
+
+func TestCheckResponse(t *testing.T) {
+	tests := []struct {
+		name       string
+		status     int
+		body       string
+		wantErrMsg string // "" なら成功扱いを期待
+	}{
+		{"2xx かつ success:true は成功", 200, `{"success":true,"result":{}}`, ""},
+		{"2xx で success フィールドが無ければ成功", 200, `{}`, ""},
+		{"2xx でボディが JSON でなくても成功", 200, `OK`, ""},
+		{"2xx でも success:false は失敗", 200, `{"success":false,"errors":[{"message":"bad"}]}`, "bad"},
+		{"4xx は失敗", 404, `{"success":false,"errors":[{"message":"not found"}]}`, "HTTP 404: not found"},
+		{"4xx でボディが空なら status のみ", 500, ``, "HTTP 500"},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+				w.WriteHeader(tt.status)
+				io.WriteString(w, tt.body) //nolint:errcheck
+			}))
+			t.Cleanup(srv.Close)
+
+			res, err := http.Get(srv.URL) //nolint:noctx
+			if err != nil {
+				t.Fatalf("リクエスト失敗: %v", err)
+			}
+			defer res.Body.Close()
+
+			got := checkResponse(res)
+			if got != tt.wantErrMsg {
+				t.Errorf("checkResponse() = %q, want %q", got, tt.wantErrMsg)
+			}
+		})
+	}
+}
+
+// --- applyWranglerFallback のテスト ---
+
+func TestApplyWranglerFallback_ReadsTomlName(t *testing.T) {
+	dir := t.TempDir()
+	writeFile(t, filepath.Join(dir, "wrangler.toml"), "name = \"toml-worker\"\n")
+	t.Chdir(dir)
+
+	targets := []config.CloudflareTarget{{}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if targets[0].Script != "toml-worker" {
+		t.Errorf("Script = %q, want %q", targets[0].Script, "toml-worker")
+	}
+	if targets[0].ScriptSource != "wrangler" {
+		t.Errorf("ScriptSource = %q, want %q", targets[0].ScriptSource, "wrangler")
+	}
+}
+
+func TestApplyWranglerFallback_PrefersJsoncOverToml(t *testing.T) {
+	dir := t.TempDir()
+	writeFile(t, filepath.Join(dir, "wrangler.jsonc"), "{\n // name\n \"name\": \"jsonc-worker\"\n}")
+	writeFile(t, filepath.Join(dir, "wrangler.toml"), "name = \"toml-worker\"\n")
+	t.Chdir(dir)
+
+	targets := []config.CloudflareTarget{{}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if targets[0].Script != "jsonc-worker" {
+		t.Errorf("Script = %q, want %q（jsonc を優先）", targets[0].Script, "jsonc-worker")
+	}
+}
+
+func TestApplyWranglerFallback_DoesNotOverrideExistingScript(t *testing.T) {
+	dir := t.TempDir()
+	writeFile(t, filepath.Join(dir, "wrangler.toml"), "name = \"toml-worker\"\n")
+	t.Chdir(dir)
+
+	targets := []config.CloudflareTarget{{Script: "explicit", ScriptSource: "config"}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if targets[0].Script != "explicit" {
+		t.Errorf("Script = %q, want %q（既存値を上書きしない）", targets[0].Script, "explicit")
+	}
+}
+
+func TestApplyWranglerFallback_SkipsWhenMultipleTargets(t *testing.T) {
+	dir := t.TempDir()
+	writeFile(t, filepath.Join(dir, "wrangler.toml"), "name = \"toml-worker\"\n")
+	t.Chdir(dir)
+
+	targets := []config.CloudflareTarget{{}, {}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if targets[0].Script != "" {
+		t.Errorf("Script = %q, want \"\"（複数ターゲット時はフォールバックしない）", targets[0].Script)
+	}
+}
+
+func TestApplyWranglerFallback_NoConfigFileIsNotError(t *testing.T) {
+	t.Chdir(t.TempDir())
+
+	targets := []config.CloudflareTarget{{}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("wrangler 設定が無い場合はエラーにしない: %v", err)
+	}
+	if targets[0].Script != "" {
+		t.Errorf("Script = %q, want \"\"", targets[0].Script)
+	}
+}
+
+func TestApplyWranglerFallback_FallsThroughWhenNameIsMissing(t *testing.T) {
+	// name フィールドが無い設定ファイルは次の候補へフォールスルーする
+	dir := t.TempDir()
+	writeFile(t, filepath.Join(dir, "wrangler.json"), `{"main":"src/index.ts"}`)
+	writeFile(t, filepath.Join(dir, "wrangler.toml"), "name = \"toml-worker\"\n")
+	t.Chdir(dir)
+
+	targets := []config.CloudflareTarget{{}}
+	if err := applyWranglerFallback(targets); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if targets[0].Script != "toml-worker" {
+		t.Errorf("Script = %q, want %q", targets[0].Script, "toml-worker")
+	}
+}
+
+// writeFile はテスト用にファイルを書き出すヘルパー。
+func writeFile(t *testing.T, path, content string) {
+	t.Helper()
+	if err := os.WriteFile(path, []byte(content), 0o600); err != nil {
+		t.Fatalf("ファイル書き込み失敗: %v", err)
+	}
+}
+
+// --- Sync のエンドツーエンドテスト ---
+
+func TestSync_SkipsPlainVarsAndSyncsSecrets(t *testing.T) {
+	isolateConfig(t)
+	_, requests := newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if r.Method == http.MethodGet {
+			io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":{}}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	entries := []provider.Entry{
+		{Key: "API_KEY", Value: "s1", Secret: true},
+		{Key: "PUBLIC_URL", Value: "https://example.com", Secret: false},
+	}
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{Yes: true, Env: ".env", Def: "env-sync.yaml"}, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+
+	var puts []recordedRequest
+	for _, req := range *requests {
+		if req.method == http.MethodPut {
+			puts = append(puts, req)
+		}
+	}
+	if len(puts) != 1 {
+		t.Fatalf("PUT 数 = %d, want 1（secret=false はスキップされるはず）", len(puts))
+	}
+	if !strings.Contains(puts[0].body, "API_KEY") {
+		t.Errorf("送信されたのが API_KEY でない: %s", puts[0].body)
+	}
+	if strings.Contains(puts[0].body, "PUBLIC_URL") {
+		t.Error("secret=false の PUBLIC_URL が送信されている")
+	}
+}
+
+func TestSync_PrunesUndefinedSecrets(t *testing.T) {
+	isolateConfig(t)
+	_, requests := newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if r.Method == http.MethodGet {
+			io.WriteString(w, `{"success":true,"result":[{"name":"API_KEY"},{"name":"STALE_KEY"}]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":{}}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	opts := provider.Options{Yes: true, Prune: true, DefinedKeys: []string{"API_KEY"}}
+	p := &cloudflareProvider{}
+	if err := p.Sync(opts, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+
+	var deletes []recordedRequest
+	for _, req := range *requests {
+		if req.method == http.MethodDelete {
+			deletes = append(deletes, req)
+		}
+	}
+	if len(deletes) != 1 {
+		t.Fatalf("DELETE 数 = %d, want 1", len(deletes))
+	}
+	if !strings.HasSuffix(deletes[0].path, "/secrets/STALE_KEY") {
+		t.Errorf("削除対象 = %s, want STALE_KEY", deletes[0].path)
+	}
+}
+
+func TestSync_DryRunDoesNotWrite(t *testing.T) {
+	isolateConfig(t)
+	_, requests := newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{DryRun: true}, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	for _, req := range *requests {
+		if req.method != http.MethodGet {
+			t.Errorf("dry-run が %s リクエストを送信した: %s", req.method, req.path)
+		}
+	}
+}
+
+func TestSync_ErrorWhenScriptUnresolvable(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, nil)
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	p := &cloudflareProvider{}
+	err := p.Sync(provider.Options{Yes: true}, entries)
+	if err == nil {
+		t.Fatal("script 未解決でエラーを期待したが nil")
+	}
+	if !strings.Contains(err.Error(), "script name could not be resolved") {
+		t.Errorf("エラーメッセージが想定と異なる: %v", err)
+	}
+}
+
+func TestSync_ErrorWhenTokenMissing(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, nil)
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{Yes: true}, entries); err == nil {
+		t.Fatal("トークン未設定でエラーを期待したが nil")
+	}
+}
+
+func TestSync_UsesWranglerFallbackForScriptName(t *testing.T) {
+	isolateConfig(t)
+	writeFile(t, "wrangler.toml", "name = \"fallback-worker\"\n")
+	_, requests := newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if r.Method == http.MethodGet {
+			io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":{}}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{Yes: true}, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	found := false
+	for _, req := range *requests {
+		if strings.Contains(req.path, "/scripts/fallback-worker/") {
+			found = true
+		}
+	}
+	if !found {
+		t.Errorf("wrangler.toml の name が使われていない: %+v", *requests)
+	}
+}
diff --git a/internal/provider/cloudflare/cloudflare_test.go b/internal/provider/cloudflare/cloudflare_test.go
new file mode 100644
index 0000000..e47b3fe
--- /dev/null
+++ b/internal/provider/cloudflare/cloudflare_test.go
@@ -0,0 +1,316 @@
+package cloudflare
+
+import (
+	"strings"
+	"testing"
+
+	"github.com/ptyhard/env-sync/internal/provider"
+)
+
+// --- resolveScriptName のテスト ---
+
+func TestResolveScriptName(t *testing.T) {
+	mapping := map[string]string{"production": "my-worker", "staging": "stg-worker"}
+	tests := []struct {
+		name    string
+		base    string
+		env     string
+		mapping map[string]string
+		want    string
+	}{
+		{"環境が空ならベーススクリプト", "my-worker", "", nil, "my-worker"},
+		{"マッピング無しならサフィックス", "my-worker", "staging", nil, "my-worker-staging"},
+		{"マッピングがあれば優先", "my-worker", "staging", mapping, "stg-worker"},
+		{"マッピングで production をベースに寄せられる", "my-worker", "production", mapping, "my-worker"},
+		{"マッピングに無い環境はサフィックス", "my-worker", "preview", mapping, "my-worker-preview"},
+		{"マッピング値が空ならサフィックスにフォールバック", "my-worker", "dev", map[string]string{"dev": ""}, "my-worker-dev"},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			if got := resolveScriptName(tt.base, tt.env, tt.mapping); got != tt.want {
+				t.Errorf("resolveScriptName() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
+
+// --- expandCloudflareTasks のテスト ---
+
+func TestExpandCloudflareTasks_NoEnvironmentsUsesBaseScript(t *testing.T) {
+	entries := []provider.Entry{{Key: "API_KEY", Value: "v", Secret: true}}
+	got := expandCloudflareTasks(entries, "my-worker", nil)
+	if len(got) != 1 {
+		t.Fatalf("task 数 = %d, want 1", len(got))
+	}
+	if got[0].script != "my-worker" || got[0].entry.Key != "API_KEY" {
+		t.Errorf("task = %+v, want script=my-worker key=API_KEY", got[0])
+	}
+}
+
+func TestExpandCloudflareTasks_ExpandsPerEnvironment(t *testing.T) {
+	entries := []provider.Entry{
+		{Key: "DB_URL", Value: "v", Secret: true, Environments: []string{"production", "staging"}},
+	}
+	got := expandCloudflareTasks(entries, "my-worker", nil)
+	if len(got) != 2 {
+		t.Fatalf("task 数 = %d, want 2", len(got))
+	}
+	want := []string{"my-worker-production", "my-worker-staging"}
+	for i, w := range want {
+		if got[i].script != w {
+			t.Errorf("task[%d].script = %q, want %q", i, got[i].script, w)
+		}
+	}
+}
+
+func TestExpandCloudflareTasks_DeduplicatesSameResolvedScript(t *testing.T) {
+	// production と prod がどちらも同じスクリプトへ解決される場合、二重送信しない
+	mapping := map[string]string{"production": "my-worker", "prod": "my-worker"}
+	entries := []provider.Entry{
+		{Key: "DB_URL", Value: "v", Secret: true, Environments: []string{"production", "prod"}},
+	}
+	got := expandCloudflareTasks(entries, "my-worker", mapping)
+	if len(got) != 1 {
+		t.Fatalf("task 数 = %d, want 1（同一スクリプトは重複排除）", len(got))
+	}
+}
+
+func TestExpandCloudflareTasks_EmptyEntries(t *testing.T) {
+	if got := expandCloudflareTasks(nil, "my-worker", nil); len(got) != 0 {
+		t.Errorf("task 数 = %d, want 0", len(got))
+	}
+}
+
+// --- taskScripts のテスト ---
+
+func TestTaskScripts_DeduplicatesPreservingOrder(t *testing.T) {
+	tasks := []cloudflareTask{
+		{script: "b"}, {script: "a"}, {script: "b"}, {script: "c"},
+	}
+	got := taskScripts(tasks)
+	want := []string{"b", "a", "c"}
+	if len(got) != len(want) {
+		t.Fatalf("スクリプト数 = %d, want %d", len(got), len(want))
+	}
+	for i := range want {
+		if got[i] != want[i] {
+			t.Errorf("scripts[%d] = %q, want %q", i, got[i], want[i])
+		}
+	}
+}
+
+// --- classifyTasks / countClassified のテスト ---
+
+func TestClassifyTasks_NewAndUpdate(t *testing.T) {
+	tasks := []cloudflareTask{
+		{script: "w", entry: provider.Entry{Key: "EXISTING"}},
+		{script: "w", entry: provider.Entry{Key: "FRESH"}},
+		{script: "w-staging", entry: provider.Entry{Key: "EXISTING"}},
+	}
+	existing := map[string]map[string]bool{
+		"w": {"EXISTING": true},
+	}
+	got := classifyTasks(tasks, existing)
+	if got[0].isNew {
+		t.Error("EXISTING (script=w) は更新扱いのはず")
+	}
+	if !got[1].isNew {
+		t.Error("FRESH は新規扱いのはず")
+	}
+	if !got[2].isNew {
+		t.Error("EXISTING (script=w-staging) は別スクリプトのため新規扱いのはず")
+	}
+}
+
+func TestCountClassified(t *testing.T) {
+	classified := []classifiedTask{{isNew: true}, {isNew: false}, {isNew: true}}
+	newCount, updateCount := countClassified(classified, 3)
+	if newCount != 2 || updateCount != 1 {
+		t.Errorf("(new, update) = (%d, %d), want (2, 1)", newCount, updateCount)
+	}
+	// nil のときは全件新規として扱う
+	newCount, updateCount = countClassified(nil, 5)
+	if newCount != 5 || updateCount != 0 {
+		t.Errorf("nil 時 (new, update) = (%d, %d), want (5, 0)", newCount, updateCount)
+	}
+}
+
+// --- computePrune のテスト ---
+
+// keepFunc はテスト用に Options.PruneKeep 相当の保持判定を作るヘルパー。
+func keepFunc(definedKeys ...string) func(string) bool {
+	opts := provider.Options{DefinedKeys: definedKeys}
+	return opts.PruneKeep()
+}
+
+func TestComputePrune_UndefinedKeyIsPruned(t *testing.T) {
+	existing := map[string][]string{"w": {"DEFINED_KEY", "STALE_KEY"}}
+	got := computePrune([]string{"w"}, existing, keepFunc("DEFINED_KEY"))
+	if len(got) != 1 || got[0].name != "STALE_KEY" || got[0].script != "w" {
+		t.Errorf("prune 対象 = %+v, want [{w STALE_KEY}]", got)
+	}
+}
+
+func TestComputePrune_AllDefinedIsEmpty(t *testing.T) {
+	existing := map[string][]string{"w": {"A", "B"}}
+	if got := computePrune([]string{"w"}, existing, keepFunc("A", "B")); len(got) != 0 {
+		t.Errorf("prune 対象 = %+v, want []", got)
+	}
+}
+
+func TestComputePrune_ScansEachScript(t *testing.T) {
+	existing := map[string][]string{
+		"w":         {"STALE_A"},
+		"w-staging": {"STALE_B"},
+	}
+	got := computePrune([]string{"w", "w-staging"}, existing, keepFunc())
+	if len(got) != 2 {
+		t.Fatalf("prune 対象数 = %d, want 2", len(got))
+	}
+	// scripts の順に走査されるため決定的な順序になる
+	if got[0].script != "w" || got[1].script != "w-staging" {
+		t.Errorf("走査順 = %+v, want [w, w-staging]", got)
+	}
+}
+
+func TestComputePrune_ExcludePatternIsKept(t *testing.T) {
+	opts := provider.Options{DefinedKeys: []string{"KEEP"}, PruneExclude: []string{"BLOB_*"}}
+	existing := map[string][]string{"w": {"KEEP", "BLOB_TOKEN", "STALE"}}
+	got := computePrune([]string{"w"}, existing, opts.PruneKeep())
+	if len(got) != 1 || got[0].name != "STALE" {
+		t.Errorf("prune 対象 = %+v, want [STALE]", got)
+	}
+}
+
+// --- parseErrorBody のテスト ---
+
+func TestParseErrorBody(t *testing.T) {
+	tests := []struct {
+		name string
+		body string
+		want string
+	}{
+		{"message を取り出す", `{"success":false,"errors":[{"code":10007,"message":"script not found"}]}`, "script not found"},
+		{"複数エラーを連結", `{"errors":[{"message":"a"},{"message":"b"}]}`, "a; b"},
+		{"message が空なら code", `{"errors":[{"code":1234}]}`, "code 1234"},
+		{"errors が空なら空文字", `{"success":true,"errors":[]}`, ""},
+		{"JSON でなければ空文字", `not json`, ""},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			if got := parseErrorBody([]byte(tt.body)); got != tt.want {
+				t.Errorf("parseErrorBody() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
+
+// --- secretsURL のテスト ---
+
+func TestSecretsURL_EscapesPathSegments(t *testing.T) {
+	got := secretsURL("acct/1", "my worker")
+	if strings.Contains(got, "acct/1") {
+		t.Errorf("accountID がエスケープされていない: %s", got)
+	}
+	if !strings.HasSuffix(got, "/secrets") {
+		t.Errorf("URL の末尾が /secrets でない: %s", got)
+	}
+	if !strings.Contains(got, "my%20worker") {
+		t.Errorf("script 名がエスケープされていない: %s", got)
+	}
+}
+
+// --- tomlTopLevelName のテスト ---
+
+func TestTomlTopLevelName(t *testing.T) {
+	tests := []struct {
+		name string
+		toml string
+		want string
+	}{
+		{
+			name: "トップレベルの name を取得",
+			toml: "name = \"my-worker\"\nmain = \"src/index.ts\"\n",
+			want: "my-worker",
+		},
+		{
+			name: "テーブル内の name は無視する",
+			toml: "main = \"src/index.ts\"\n\n[vars]\nname = \"not-this\"\n",
+			want: "",
+		},
+		{
+			name: "テーブルより前の name のみ採用",
+			toml: "name = \"base\"\n\n[env.staging]\nname = \"staging-worker\"\n",
+			want: "base",
+		},
+		{
+			name: "行末コメントを除去",
+			toml: "name = \"my-worker\"  # 本番の Worker\n",
+			want: "my-worker",
+		},
+		{
+			name: "コメント行と空行を読み飛ばす",
+			toml: "# コメント\n\nname = 'single-quoted'\n",
+			want: "single-quoted",
+		},
+		{
+			name: "name が無ければ空",
+			toml: "main = \"src/index.ts\"\n",
+			want: "",
+		},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			if got := tomlTopLevelName(tt.toml); got != tt.want {
+				t.Errorf("tomlTopLevelName() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
+
+// --- stripJSONComments のテスト ---
+
+func TestStripJSONComments(t *testing.T) {
+	tests := []struct {
+		name string
+		in   string
+		want string
+	}{
+		{"行コメントを除去", "{\n // comment\n \"a\": 1\n}", "{\n \n \"a\": 1\n}"},
+		{"ブロックコメントを除去", "{/* c */\"a\": 1}", "{\"a\": 1}"},
+		{"文字列内のスラッシュは保持", `{"url": "https://example.com"}`, `{"url": "https://example.com"}`},
+		{"文字列内の // は保持", `{"a": "x // y"}`, `{"a": "x // y"}`},
+		{"エスケープされた引用符を跨がない", `{"a": "he said \"hi\"", "b": 1}`, `{"a": "he said \"hi\"", "b": 1}`},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			if got := stripJSONComments(tt.in); got != tt.want {
+				t.Errorf("stripJSONComments() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
+
+// --- parseWranglerName のテスト ---
+
+func TestParseWranglerName(t *testing.T) {
+	tests := []struct {
+		name string
+		path string
+		text string
+		want string
+	}{
+		{"toml", "wrangler.toml", "name = \"toml-worker\"\n", "toml-worker"},
+		{"json", "wrangler.json", `{"name": "json-worker"}`, "json-worker"},
+		{"jsonc（コメント付き）", "wrangler.jsonc", "{\n // Worker 名\n \"name\": \"jsonc-worker\"\n}", "jsonc-worker"},
+		{"不正な JSON は空", "wrangler.json", `{invalid`, ""},
+		{"name フィールドが無ければ空", "wrangler.json", `{"main": "src/index.ts"}`, ""},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			if got := parseWranglerName(tt.path, tt.text); got != tt.want {
+				t.Errorf("parseWranglerName() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
diff --git a/internal/provider/cloudflare/cloudflare_validate.go b/internal/provider/cloudflare/cloudflare_validate.go
new file mode 100644
index 0000000..4eeb2d1
--- /dev/null
+++ b/internal/provider/cloudflare/cloudflare_validate.go
@@ -0,0 +1,156 @@
+// cloudflare_validate.go は Cloudflare provider の validate サブコマンド実装を提供する。
+// 読み取り専用（GET のみ）で認証・到達確認を行い、書き込みは行わない。
+package cloudflare
+
+import (
+	"fmt"
+	"io"
+	"net/http"
+	"os"
+
+	"github.com/ptyhard/env-sync/internal/config"
+	"github.com/ptyhard/env-sync/internal/i18n"
+	"github.com/ptyhard/env-sync/internal/provider"
+)
+
+// validateOsExit はテストで差し替え可能な終了関数。
+var validateOsExit = os.Exit
+
+// stdoutWriter はテストで差し替え可能な標準出力先。
+// Validate の全出力はこのライタへ書く。
+var stdoutWriter io.Writer = os.Stdout
+
+// Validate は Cloudflare ターゲットの認証・到達確認を読み取り専用で行う。
+// GET /accounts/{id}/workers/scripts/{name}/secrets のみを使用し、シークレットの登録・変更は行わない。
+func (c *cloudflareProvider) Validate(opts provider.Options, _ []provider.Entry) error {
+	appCfg, err := config.LoadAppConfig()
+	if err != nil {
+		return err
+	}
+
+	targets, err := appCfg.ResolveCloudflareTargets(opts.CloudflareScript)
+	if err != nil {
+		return err
+	}
+
+	// 単一ターゲット時の wrangler 設定ファイルフォールバック
+	if err := applyWranglerFallback(targets); err != nil {
+		return err
+	}
+
+	client := &http.Client{Timeout: httpTimeout}
+	okCount, ngCount := 0, 0
+
+	for _, tgt := range targets {
+		// name と script が両方未設定の場合は "(未設定)" をフォールバックラベルとして使う
+		targetLabel := tgt.Script
+		if tgt.Name != "" {
+			targetLabel = tgt.Name
+		}
+		if targetLabel == "" {
+			targetLabel = i18n.T(i18n.MsgValidateSourceUnset)
+		}
+		fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateHeader, targetLabel))
+
+		// token 表示（値は出さずマスク）
+		if tgt.APIToken == "" {
+			fmt.Fprintf(stdoutWriter, "  token     : %s\n", i18n.T(i18n.MsgValidateTokenUnset))
+		} else {
+			fmt.Fprintf(stdoutWriter, "  token     : %s\n", i18n.T(i18n.MsgValidateTokenMasked, sourceLabel(tgt.TokenSource)))
+		}
+
+		// accountId 表示
+		accountID := tgt.AccountID
+		if accountID == "" {
+			accountID = i18n.T(i18n.MsgValidateSourceUnset)
+		}
+		fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateCloudflareAccountID, accountID, sourceLabel(tgt.AccountIDSource)))
+
+		// script 表示
+		script := tgt.Script
+		if script == "" {
+			script = i18n.T(i18n.MsgValidateSourceUnset)
+		}
+		fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateCloudflareScript, script, sourceLabel(tgt.ScriptSource)))
+
+		// 未設定項目があれば API 確認をスキップ（それぞれ個別にメッセージを出す）
+		if tgt.APIToken == "" {
+			fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateTokenUnsetSkip))
+			ngCount++
+			continue
+		}
+		if tgt.AccountID == "" {
+			fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateAccountIDUnsetSkip))
+			ngCount++
+			continue
+		}
+		if tgt.Script == "" {
+			fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateScriptUnsetSkip))
+			ngCount++
+			continue
+		}
+
+		status, checkErr := checkAccess(client, tgt.APIToken, tgt.AccountID, tgt.Script)
+		if checkErr != nil {
+			fmt.Fprintf(stdoutWriter, "  API check : error: %s\n", checkErr)
+			ngCount++
+			continue
+		}
+
+		if status >= 200 && status < 300 {
+			fmt.Fprintf(stdoutWriter, "  API check : %s %s\n",
+				i18n.T(i18n.MsgValidateHTTPStatus, status),
+				i18n.T(i18n.MsgValidateOK))
+			okCount++
+		} else {
+			fmt.Fprintf(stdoutWriter, "  API check : %s\n", i18n.T(i18n.MsgValidateHTTPStatus, status))
+			switch status {
+			case 404:
+				fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateCloudflareCause404))
+			case 401:
+				fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateCloudflareCause401))
+			case 403:
+				fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateCloudflareCause403))
+			}
+			ngCount++
+		}
+	}
+
+	fmt.Fprint(stdoutWriter, i18n.T(i18n.MsgValidateResult, okCount, ngCount))
+	if ngCount > 0 {
+		validateOsExit(1)
+	}
+	return nil
+}
+
+// checkAccess は GET .../secrets で Cloudflare API への到達確認を行う。
+// HTTP 以外のエラーは err に返す。
+func checkAccess(client *http.Client, token, accountID, script string) (statusCode int, err error) {
+	req, err := http.NewRequest(http.MethodGet, secretsURL(accountID, script), nil)
+	if err != nil {
+		return 0, err
+	}
+	req.Header.Set("Authorization", "Bearer "+token)
+
+	res, err := client.Do(req)
+	if err != nil {
+		return 0, err
+	}
+	defer res.Body.Close()
+	io.Copy(io.Discard, res.Body) //nolint:errcheck // drain で接続を再利用可能にする
+	return res.StatusCode, nil
+}
+
+// sourceLabel は取得元識別子をユーザー表示ラベルに変換する。
+func sourceLabel(src string) string {
+	switch src {
+	case "env":
+		return i18n.T(i18n.MsgValidateSourceEnv)
+	case "config":
+		return i18n.T(i18n.MsgValidateSourceConfig)
+	case "wrangler":
+		return i18n.T(i18n.MsgValidateSourceWrangler)
+	default:
+		return i18n.T(i18n.MsgValidateSourceUnset)
+	}
+}
diff --git a/internal/provider/cloudflare/cloudflare_validate_test.go b/internal/provider/cloudflare/cloudflare_validate_test.go
new file mode 100644
index 0000000..7dfb342
--- /dev/null
+++ b/internal/provider/cloudflare/cloudflare_validate_test.go
@@ -0,0 +1,229 @@
+package cloudflare
+
+import (
+	"bytes"
+	"io"
+	"net/http"
+	"strings"
+	"testing"
+
+	"github.com/ptyhard/env-sync/internal/i18n"
+	"github.com/ptyhard/env-sync/internal/provider"
+)
+
+// captureOsExit はテスト中に validateOsExit を差し替えて終了コードをキャプチャする。
+func captureOsExit(t *testing.T) *int {
+	t.Helper()
+	code := 0
+	orig := validateOsExit
+	validateOsExit = func(c int) { code = c }
+	t.Cleanup(func() { validateOsExit = orig })
+	return &code
+}
+
+// captureStdout はテスト中に stdoutWriter を差し替えて出力をキャプチャする。
+func captureStdout(t *testing.T) *bytes.Buffer {
+	t.Helper()
+	var buf bytes.Buffer
+	orig := stdoutWriter
+	stdoutWriter = &buf
+	t.Cleanup(func() { stdoutWriter = orig })
+	return &buf
+}
+
+// isolateConfig は config ファイルと wrangler 設定の影響を受けない一時ディレクトリへ移動する。
+func isolateConfig(t *testing.T) {
+	t.Helper()
+	t.Setenv("XDG_CONFIG_HOME", t.TempDir())
+	t.Setenv("CLOUDFLARE_API_TOKEN", "")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "")
+	t.Chdir(t.TempDir())
+	// 表示言語をテスト間で固定する（カタログ差異でアサーションが揺れないようにする）。
+	// i18n のデフォルトは en のため、後始末も en に戻す。
+	i18n.SetLang("en")
+	t.Cleanup(func() { i18n.SetLang("en") })
+}
+
+func TestValidate_ReportsOKOnReachableAPI(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	out := captureStdout(t)
+	code := captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	got := out.String()
+	if !strings.Contains(got, "HTTP 200") || !strings.Contains(got, "OK") {
+		t.Errorf("到達成功が出力されていない:\n%s", got)
+	}
+	if !strings.Contains(got, "success 1 / failed 0") {
+		t.Errorf("結果サマリが想定と異なる:\n%s", got)
+	}
+	if *code != 0 {
+		t.Errorf("終了コード = %d, want 0", *code)
+	}
+}
+
+func TestValidate_ShowsCauseOn404(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusNotFound)
+		io.WriteString(w, `{"success":false,"errors":[{"message":"script not found"}]}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "missing-worker")
+
+	out := captureStdout(t)
+	code := captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	got := out.String()
+	if !strings.Contains(got, "HTTP 404") {
+		t.Errorf("ステータスが出力されていない:\n%s", got)
+	}
+	if !strings.Contains(got, "Possible cause") {
+		t.Errorf("推定原因が出力されていない:\n%s", got)
+	}
+	if *code != 1 {
+		t.Errorf("終了コード = %d, want 1", *code)
+	}
+}
+
+func TestValidate_SkipsAPICheckWhenTokenUnset(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, nil)
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	out := captureStdout(t)
+	code := captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	got := out.String()
+	if !strings.Contains(got, "token is not set") {
+		t.Errorf("トークン未設定のスキップメッセージが無い:\n%s", got)
+	}
+	if *code != 1 {
+		t.Errorf("終了コード = %d, want 1", *code)
+	}
+}
+
+func TestValidate_SkipsAPICheckWhenAccountIDUnset(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, nil)
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	out := captureStdout(t)
+	captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if got := out.String(); !strings.Contains(got, "accountId is not set") {
+		t.Errorf("accountId 未設定のスキップメッセージが無い:\n%s", got)
+	}
+}
+
+func TestValidate_SkipsAPICheckWhenScriptUnresolvable(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, nil)
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+
+	out := captureStdout(t)
+	captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if got := out.String(); !strings.Contains(got, "script name could not be resolved") {
+		t.Errorf("script 未解決のスキップメッセージが無い:\n%s", got)
+	}
+}
+
+func TestValidate_DoesNotWrite(t *testing.T) {
+	isolateConfig(t)
+	_, requests := newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	captureStdout(t)
+	captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	for _, req := range *requests {
+		if req.method != http.MethodGet {
+			t.Errorf("validate が %s リクエストを送信した（GET のみのはず）: %s", req.method, req.path)
+		}
+	}
+}
+
+func TestValidate_ShowsSourceLabels(t *testing.T) {
+	isolateConfig(t)
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+	})
+	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
+	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
+
+	out := captureStdout(t)
+	captureOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Validate(provider.Options{}, nil); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	got := out.String()
+	// トークンの値そのものは出力しない
+	if strings.Contains(got, "tok") && !strings.Contains(got, "[set]") {
+		t.Errorf("トークン値が出力されている可能性:\n%s", got)
+	}
+	if !strings.Contains(got, "env var") {
+		t.Errorf("取得元ラベルが出力されていない:\n%s", got)
+	}
+}
+
+// --- sourceLabel のテスト ---
+
+func TestSourceLabel(t *testing.T) {
+	i18n.SetLang("en")
+	t.Cleanup(func() { i18n.SetLang("en") })
+	tests := []struct{ src, want string }{
+		{"env", "env var"},
+		{"config", "config file"},
+		{"wrangler", "wrangler config"},
+		{"", "(unset)"},
+		{"unknown", "(unset)"},
+	}
+	for _, tt := range tests {
+		if got := sourceLabel(tt.src); got != tt.want {
+			t.Errorf("sourceLabel(%q) = %q, want %q", tt.src, got, tt.want)
+		}
+	}
+}
diff --git a/internal/provider/provider.go b/internal/provider/provider.go
index a423f52..1603b3b 100644
--- a/internal/provider/provider.go
+++ b/internal/provider/provider.go
@@ -16,7 +16,10 @@ type Options struct {
 	Provider      string
 	VercelProject string // --vercel-project で指定した場合のターゲット名（モノレポ対応）
 	GitHubRepo    string // --github-repo で指定した場合のターゲット名（モノレポ対応）
-	Language      string // --lang で指定した表示言語コード（"en" / "ja"）
+	// CloudflareScript は --cloudflare-script で指定した場合のターゲット名（モノレポ対応）。
+	// 値は config の cloudflare.scripts[].name を指す（Worker スクリプト名そのものではない）。
+	CloudflareScript string
+	Language         string // --lang で指定した表示言語コード（"en" / "ja"）
 
 	// DefinedKeys は定義ファイル(variables)に宣言された全キー。
 	// prune の保持判定に使う（.env に値が無いキーも削除対象にはしない）。
diff --git a/internal/provider/provider_test.go b/internal/provider/provider_test.go
index eb621a9..ae1f665 100644
--- a/internal/provider/provider_test.go
+++ b/internal/provider/provider_test.go
@@ -5,13 +5,14 @@ import (
 
 	"github.com/ptyhard/env-sync/internal/provider"
 
+	_ "github.com/ptyhard/env-sync/internal/provider/cloudflare"
 	_ "github.com/ptyhard/env-sync/internal/provider/github"
 	_ "github.com/ptyhard/env-sync/internal/provider/vercel"
 )
 
-// TestRegistry_VercelGitHubRegistered は vercel/github が registry に登録されているかを確認する。
+// TestRegistry_VercelGitHubRegistered は vercel/github/cloudflare が registry に登録されているかを確認する。
 func TestRegistry_VercelGitHubRegistered(t *testing.T) {
-	for _, name := range []string{"vercel", "github"} {
+	for _, name := range []string{"vercel", "github", "cloudflare"} {
 		p, ok := provider.LookupProvider(name)
 		if !ok {
 			t.Errorf("LookupProvider(%q): ok = false, want true", name)
@@ -31,24 +32,19 @@ func TestRegistry_UnknownProvider(t *testing.T) {
 	}
 }
 
-// TestRegisteredProviderNames_Contains は RegisteredProviderNames が vercel / github を含むことを確認する。
+// TestRegisteredProviderNames_Contains は RegisteredProviderNames が
+// vercel / github / cloudflare を含むことを確認する。
 // init() 実行順は Go 仕様で保証されないため、順序ではなく存在のみを検証する。
 func TestRegisteredProviderNames_Contains(t *testing.T) {
 	names := provider.RegisteredProviderNames()
-	foundVercel, foundGitHub := false, false
+	found := map[string]bool{}
 	for _, n := range names {
-		switch n {
-		case "vercel":
-			foundVercel = true
-		case "github":
-			foundGitHub = true
-		}
-	}
-	if !foundVercel {
-		t.Error("vercel が RegisteredProviderNames に含まれない")
+		found[n] = true
 	}
-	if !foundGitHub {
-		t.Error("github が RegisteredProviderNames に含まれない")
+	for _, want := range []string{"vercel", "github", "cloudflare"} {
+		if !found[want] {
+			t.Errorf("%s が RegisteredProviderNames に含まれない", want)
+		}
 	}
 }
 

From acbaeee53e8646c13c7edb26c1173bd5d4db56ab Mon Sep 17 00:00:00 2001
From: polidog <polidogs@gmail.com>
Date: Sun, 26 Jul 2026 10:15:43 +0900
Subject: [PATCH 2/3] =?UTF-8?q?fix:=20=E3=83=88=E3=83=BC=E3=82=AF=E3=83=B3?=
 =?UTF-8?q?=E6=9C=AA=E8=A8=AD=E5=AE=9A=E3=81=A7=E3=82=B9=E3=82=AD=E3=83=83?=
 =?UTF-8?q?=E3=83=97=E3=81=97=E3=81=9F=20Cloudflare=20=E3=82=BF=E3=83=BC?=
 =?UTF-8?q?=E3=82=B2=E3=83=83=E3=83=88=E3=82=92=E5=A4=B1=E6=95=97=E3=81=A8?=
 =?UTF-8?q?=E3=81=97=E3=81=A6=E9=9B=86=E8=A8=88=E3=81=99=E3=82=8B?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

複数ターゲットのうち 1 つが API トークン未設定でスキップされた場合、
tasks を持たない resolvedTarget を積んでいたため送信フェーズの
totalNG に 0 が加算され、ターゲットを丸ごと同期できなかったのに
他ターゲットが成功すれば exit 0 になっていた。

スキップ時にも tasks を展開して件数を保持し、失敗として集計する。
syncOsExit を差し替え可能にして、この挙動を検証するテストを追加した
（修正前のコードでは exit 0 となりテストが落ちることを確認済み）。

あわせて PR レビューの指摘に対応:
- provider_test.go: cloudflare も検証するようになったテスト名を
  TestRegistry_ProvidersRegistered へリネーム
- README（英日）: CLOUDFLARE_ACCOUNT_ID は dry-run 時には必須でない
  （ただし新規/更新の判定は表示されない）ことを明記

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
---
 README.ja.md                                  |  2 +-
 README.md                                     |  2 +-
 internal/provider/cloudflare/cloudflare.go    | 13 +++-
 .../cloudflare/cloudflare_integration_test.go | 77 +++++++++++++++++++
 internal/provider/provider_test.go            |  4 +-
 5 files changed, 92 insertions(+), 6 deletions(-)

diff --git a/README.ja.md b/README.ja.md
index 53c62a0..aff3d98 100644
--- a/README.ja.md
+++ b/README.ja.md
@@ -624,7 +624,7 @@ variables:
 | `GITHUB_TOKEN` | ◯(GitHub) | GitHub アクセストークン（dry-run 時は不要） |
 | `GITHUB_REPO` | –(GitHub) | `owner/repo` 形式。未指定なら config ファイルまたは `git remote origin` から自動取得 |
 | `CLOUDFLARE_API_TOKEN` | ◯(Cloudflare) | Workers Scripts:Edit 権限を持つ API トークン（dry-run 時は不要） |
-| `CLOUDFLARE_ACCOUNT_ID` | ◯(Cloudflare) | 対象アカウント ID。未指定なら config ファイルの `cloudflare.account_id` |
+| `CLOUDFLARE_ACCOUNT_ID` | ◯(Cloudflare) | 対象アカウント ID。未指定なら config ファイルの `cloudflare.account_id`。dry-run 時は不要だが、無い場合は新規/更新の判定が表示されない |
 | `CLOUDFLARE_SCRIPT_NAME` | –(Cloudflare) | Worker スクリプト名。未指定なら config ファイルまたは wrangler 設定の `name` |
 | `--lang <code>` | – | 表示言語（`en` / `ja`）。デフォルト `en` |
 | `ENV_SYNC_LANG` | – | 表示言語コード（`en` / `ja`）。`--lang` より低優先 |
diff --git a/README.md b/README.md
index a281fd1..c8518d6 100644
--- a/README.md
+++ b/README.md
@@ -625,7 +625,7 @@ Safety behavior:
 | `GITHUB_TOKEN` | Yes (GitHub) | GitHub access token (not required for dry-run) |
 | `GITHUB_REPO` | – (GitHub) | `owner/repo` format. Auto-detected from config file or `git remote origin` if unset |
 | `CLOUDFLARE_API_TOKEN` | Yes (Cloudflare) | API token with the Workers Scripts:Edit permission (not required for dry-run) |
-| `CLOUDFLARE_ACCOUNT_ID` | Yes (Cloudflare) | Target account ID. Falls back to `cloudflare.account_id` in the config file |
+| `CLOUDFLARE_ACCOUNT_ID` | Yes (Cloudflare) | Target account ID. Falls back to `cloudflare.account_id` in the config file. Not required for dry-run, but without it the new/update classification is skipped |
 | `CLOUDFLARE_SCRIPT_NAME` | – (Cloudflare) | Worker script name. Falls back to the config file or the `name` field of the wrangler config |
 | `--lang <code>` | – | Display language (`en` / `ja`). Default: `en` |
 | `ENV_SYNC_LANG` | – | Display language code (`en` / `ja`). Lower priority than `--lang` |
diff --git a/internal/provider/cloudflare/cloudflare.go b/internal/provider/cloudflare/cloudflare.go
index 188e948..56ca25d 100644
--- a/internal/provider/cloudflare/cloudflare.go
+++ b/internal/provider/cloudflare/cloudflare.go
@@ -31,6 +31,9 @@ var apiBase = "https://api.cloudflare.com/client/v4"
 // httpTimeout は Cloudflare API 呼び出しの HTTP タイムアウト。
 const httpTimeout = 30 * time.Second
 
+// syncOsExit は Sync の失敗終了に使う関数。テストで差し替えられるよう var にしている。
+var syncOsExit = os.Exit
+
 func init() {
 	provider.RegisterProvider("cloudflare", func() provider.Provider { return &cloudflareProvider{} })
 }
@@ -216,7 +219,13 @@ func (c *cloudflareProvider) Sync(opts provider.Options, entries []provider.Entr
 				return fmt.Errorf("%s", i18n.T(i18n.MsgCloudflareTokenMissingScript, tgt.Name))
 			}
 			fmt.Fprint(os.Stderr, i18n.T(i18n.MsgCloudflareTokenSkipScript, tgt.Name))
-			resolved = append(resolved, resolvedTarget{label: label, skipped: true})
+			// 送信できなかった件数を失敗として集計するため、スキップするターゲットでも tasks を展開しておく。
+			// これを省くと送信フェーズの totalNG に 0 が加算され、ターゲットを丸ごと同期できなかったのに
+			// 他ターゲットが成功すれば exit 0 になってしまう。
+			// この経路に来るのは複数ターゲット時のみで、その場合 cloudflare.scripts[] は script 必須のため
+			// tgt.Script は非空になる（validateCloudflareScriptConfs で検証済み）。
+			skippedTasks := expandCloudflareTasks(secretEntries, tgt.Script, tgt.Environments)
+			resolved = append(resolved, resolvedTarget{label: label, tasks: skippedTasks, skipped: true})
 			continue
 		}
 		// script / accountId は dry-run でも解決できていないと表示すべき対象が定まらないためエラーにする。
@@ -374,7 +383,7 @@ func (c *cloudflareProvider) Sync(opts provider.Options, entries []provider.Entr
 		fmt.Print(i18n.T(i18n.MsgCompleted, totalOK, totalNG))
 	}
 	if totalNG > 0 {
-		os.Exit(1)
+		syncOsExit(1)
 	}
 	return nil
 }
diff --git a/internal/provider/cloudflare/cloudflare_integration_test.go b/internal/provider/cloudflare/cloudflare_integration_test.go
index b954387..2ac7b66 100644
--- a/internal/provider/cloudflare/cloudflare_integration_test.go
+++ b/internal/provider/cloudflare/cloudflare_integration_test.go
@@ -470,6 +470,83 @@ func TestSync_ErrorWhenTokenMissing(t *testing.T) {
 	}
 }
 
+// captureSyncOsExit はテスト中に syncOsExit を差し替えて終了コードをキャプチャする。
+func captureSyncOsExit(t *testing.T) *int {
+	t.Helper()
+	code := 0
+	orig := syncOsExit
+	syncOsExit = func(c int) { code = c }
+	t.Cleanup(func() { syncOsExit = orig })
+	return &code
+}
+
+func TestSync_CountsTokenMissingTargetAsFailure(t *testing.T) {
+	// 複数ターゲットのうち 1 つがトークン未設定でスキップされた場合、
+	// そのターゲットへ送るはずだった件数を失敗として集計し、終了コード 1 にする。
+	// （集計しないと、他ターゲットが成功しただけで exit 0 になり同期漏れを見逃す）
+	isolateConfig(t)
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if r.Method == http.MethodGet {
+			io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":{}}`) //nolint:errcheck
+	})
+	// api はトークンあり、cron はトークンなし（top-level / 環境変数にもトークンを置かない）
+	writeFile(t, ".env-sync.config.yaml", `cloudflare:
+  account_id: acct1
+  scripts:
+    - name: api
+      script: my-api-worker
+      api_token: tok
+    - name: cron
+      script: my-cron-worker
+`)
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	code := captureSyncOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{Yes: true}, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if *code != 1 {
+		t.Errorf("終了コード = %d, want 1（トークン未設定でスキップしたターゲットを失敗として集計するはず）", *code)
+	}
+}
+
+func TestSync_ExitsZeroWhenAllTargetsSucceed(t *testing.T) {
+	// 全ターゲットにトークンがある場合は失敗 0 件で終了コードを変えない
+	isolateConfig(t)
+	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
+		if r.Method == http.MethodGet {
+			io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
+			return
+		}
+		io.WriteString(w, `{"success":true,"result":{}}`) //nolint:errcheck
+	})
+	writeFile(t, ".env-sync.config.yaml", `cloudflare:
+  api_token: tok
+  account_id: acct1
+  scripts:
+    - name: api
+      script: my-api-worker
+    - name: cron
+      script: my-cron-worker
+`)
+
+	entries := []provider.Entry{{Key: "API_KEY", Value: "s1", Secret: true}}
+	code := captureSyncOsExit(t)
+
+	p := &cloudflareProvider{}
+	if err := p.Sync(provider.Options{Yes: true}, entries); err != nil {
+		t.Fatalf("エラー: %v", err)
+	}
+	if *code != 0 {
+		t.Errorf("終了コード = %d, want 0", *code)
+	}
+}
+
 func TestSync_UsesWranglerFallbackForScriptName(t *testing.T) {
 	isolateConfig(t)
 	writeFile(t, "wrangler.toml", "name = \"fallback-worker\"\n")
diff --git a/internal/provider/provider_test.go b/internal/provider/provider_test.go
index ae1f665..01e3a5e 100644
--- a/internal/provider/provider_test.go
+++ b/internal/provider/provider_test.go
@@ -10,8 +10,8 @@ import (
 	_ "github.com/ptyhard/env-sync/internal/provider/vercel"
 )
 
-// TestRegistry_VercelGitHubRegistered は vercel/github/cloudflare が registry に登録されているかを確認する。
-func TestRegistry_VercelGitHubRegistered(t *testing.T) {
+// TestRegistry_ProvidersRegistered は vercel/github/cloudflare が registry に登録されているかを確認する。
+func TestRegistry_ProvidersRegistered(t *testing.T) {
 	for _, name := range []string{"vercel", "github", "cloudflare"} {
 		p, ok := provider.LookupProvider(name)
 		if !ok {

From 3cc40c52667905bce2002334402d61a2a1e082d1 Mon Sep 17 00:00:00 2001
From: polidog <polidogs@gmail.com>
Date: Sun, 26 Jul 2026 16:56:31 +0900
Subject: [PATCH 3/3] =?UTF-8?q?fix:=20init=20=E9=9B=9B=E5=BD=A2=E3=83=98?=
 =?UTF-8?q?=E3=83=83=E3=83=80=E3=81=AE=E8=8B=B1=E8=AA=9E=E7=89=88=E6=9B=B4?=
 =?UTF-8?q?=E6=96=B0=E6=BC=8F=E3=82=8C=E3=81=A8=E3=83=88=E3=83=BC=E3=82=AF?=
 =?UTF-8?q?=E3=83=B3=E6=BC=8F=E6=B4=A9=E6=A4=9C=E7=9F=A5=E3=83=86=E3=82=B9?=
 =?UTF-8?q?=E3=83=88=E3=81=AE=E6=AC=A0=E9=99=A5=E3=82=92=E4=BF=AE=E6=AD=A3?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

PR レビュー（CodeRabbit）の指摘に対応する。

- catalog_en.go: MsgInitYAMLHeader の 1 行目が "Vercel / GitHub Actions"
  のままで、本文や日本語カタログと食い違っていたため GCP / Cloudflare
  Workers を追記して英日を揃えた
- cloudflare_validate_test.go: トークン漏洩の検証が機能していなかった。
  値 "tok" が出力ラベル "token" の部分文字列であるため第 1 条件が常に真、
  "[set]" は必ず出力されるため第 2 条件が常に偽となり、AND が恒偽で
  アサーションが一度も発火しなかった。衝突しないトークン値に変え、
  「値が出力されないこと」と「マスクラベルが出ること」を個別に検証する
  （意図的にトークンを出力させるとテストが落ちることを確認済み）

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
---
 internal/i18n/catalog_en.go                         |  2 +-
 .../provider/cloudflare/cloudflare_validate_test.go | 13 ++++++++++---
 2 files changed, 11 insertions(+), 4 deletions(-)

diff --git a/internal/i18n/catalog_en.go b/internal/i18n/catalog_en.go
index 9616cf3..daa0c1f 100644
--- a/internal/i18n/catalog_en.go
+++ b/internal/i18n/catalog_en.go
@@ -219,7 +219,7 @@ YAML schema (definition file env-sync.yaml):
 	MsgInitKeyCount:        "Keys: %d\n",
 	MsgInitKeyListHeader:   "Key list:\n",
 	MsgInitSecretNote:      "* Please review the secret field before deploying. Values are not written to the file.",
-	MsgInitYAMLHeader: "# Environment variables to register to Vercel / GitHub Actions.\n" +
+	MsgInitYAMLHeader: "# Environment variables to register to Vercel / GitHub Actions / GCP / Cloudflare Workers.\n" +
 		"#\n" +
 		"# Do not write values here (this file is committed to git). Values are read from .env(.production).\n" +
 		"# Keys not declared here will not be registered (keys in .env will be skipped with a warning).\n" +
diff --git a/internal/provider/cloudflare/cloudflare_validate_test.go b/internal/provider/cloudflare/cloudflare_validate_test.go
index 7dfb342..04c65b4 100644
--- a/internal/provider/cloudflare/cloudflare_validate_test.go
+++ b/internal/provider/cloudflare/cloudflare_validate_test.go
@@ -188,7 +188,10 @@ func TestValidate_ShowsSourceLabels(t *testing.T) {
 	newRecordingServer(t, func(w http.ResponseWriter, r *http.Request) {
 		io.WriteString(w, `{"success":true,"result":[]}`) //nolint:errcheck
 	})
-	t.Setenv("CLOUDFLARE_API_TOKEN", "tok")
+	// トークン値は出力中の他の語（"token" ラベル等）と衝突しない文字列にする。
+	// 短い値にすると Contains がラベルに引っかかり、漏洩検知のアサーションが機能しなくなる。
+	const secretValue = "super-secret-token-value"
+	t.Setenv("CLOUDFLARE_API_TOKEN", secretValue)
 	t.Setenv("CLOUDFLARE_ACCOUNT_ID", "acct1")
 	t.Setenv("CLOUDFLARE_SCRIPT_NAME", "my-worker")
 
@@ -201,8 +204,12 @@ func TestValidate_ShowsSourceLabels(t *testing.T) {
 	}
 	got := out.String()
 	// トークンの値そのものは出力しない
-	if strings.Contains(got, "tok") && !strings.Contains(got, "[set]") {
-		t.Errorf("トークン値が出力されている可能性:\n%s", got)
+	if strings.Contains(got, secretValue) {
+		t.Errorf("トークン値が出力されている:\n%s", got)
+	}
+	// 値の代わりにマスク済みラベルが出ていること
+	if !strings.Contains(got, "[set]") {
+		t.Errorf("トークンが設定済みとして表示されていない:\n%s", got)
 	}
 	if !strings.Contains(got, "env var") {
 		t.Errorf("取得元ラベルが出力されていない:\n%s", got)