Ha a weboldala a Cloudflare proxyja mögött működik (a DNS-ben a narancssárga felhő be van kapcsolva), a látogató böngészője a Cloudflare-hez kapcsolódik, a Cloudflare pedig továbbítja a kérést a tárhelyhez. A titkosítás így két szakaszból áll:
- látogató → Cloudflare: ezt a Cloudflare saját tanúsítványa védi, automatikusan;
- Cloudflare → tárhely (origin): ezt az SSL/TLS encryption mode beállítás határozza meg.
A beállítás a Cloudflare felületén, a domain SSL/TLS menüjében, az Overview oldalon található.
A módok
| Mód | Cloudflare → tárhely kapcsolat | Javasolt? |
|---|---|---|
| Off | nincs titkosítás | Nem |
| Flexible | titkosítatlan HTTP | Nem |
| Full | HTTPS, de a tárhely tanúsítványát nem ellenőrzi | Csak átmenetileg |
| Full (strict) | HTTPS, érvényes tanúsítvánnyal | Igen |
Miért a Full (strict)?
A Flexible mód azt a látszatot kelti, hogy az oldal biztonságos (a böngészőben lakat látszik), de a Cloudflare és a tárhely között az adatok, például a jelszavak és az űrlapok tartalma, titkosítatlanul utaznak. A Full mód titkosít, de nem ellenőrzi, hogy valóban a tárhelyhez kapcsolódik-e.
A Full (strict) mód mindkét szakaszt titkosítja, és ellenőrzi a tárhely tanúsítványát. Ehhez a tárhelyen érvényes tanúsítványra van szükség. Tárhelyeinken ez adott: az AutoSSL minden domainre automatikusan igényel ingyenes Let’s Encrypt tanúsítványt (lásd: Ingyenes Let’s Encrypt tanúsítvány bekapcsolása webtárhelyen). Így a Full (strict) mód további költség nélkül beállítható.
Gyakori hibák
Túl sok átirányítás (ERR_TOO_MANY_REDIRECTS)
Ez a Flexible mód klasszikus hibája. A Cloudflare HTTP-n kéri le az oldalt, a tárhelyen viszont be van állítva a HTTPS-re irányítás, így a tárhely visszairányít HTTPS-re, a Cloudflare ismét HTTP-n kér, és így tovább a végtelenségig.
Megoldás: állítsa a módot Full (strict) értékre. Az átirányítást a tárhelyen nyugodtan meghagyhatja, vagy helyette bekapcsolhatja a Cloudflare Always Use HTTPS beállítását.
526-os hiba (Invalid SSL certificate)
Full (strict) módban jelentkezik, ha a tárhely tanúsítványa érvénytelen, lejárt, vagy nem tartalmazza a domaint (például csak pelda.hu-ra szól, a www.pelda.hu-ra nem). Ellenőrizze a cPanel SSL/TLS állapot oldalán, hogy a domainnek és a www aldomainnek van-e érvényes tanúsítványa. Ha nincs, a AutoSSL hibákról szóló cikk segít.
525-ös hiba (SSL handshake failed)
A Cloudflare nem tudott titkosított kapcsolatot létesíteni a tárhellyel, általában azért, mert a domainre egyáltalán nincs tanúsítvány a szerveren. A megoldás ugyanaz, mint az 526-os hibánál.
Cloudflare Origin tanúsítvány
A Cloudflare az SSL/TLS → Origin Server menüben ingyenes, akár 15 évig érvényes Origin CA tanúsítványt is ad, amelyet a tárhelyre telepíthet. Ezt a tanúsítványt azonban csak a Cloudflare fogadja el, a böngészők nem. Ha később kikapcsolja a proxyt, vagy valaki közvetlenül a tárhelyet éri el, a tanúsítvány hibát fog jelezni. Mivel tárhelyeinken az AutoSSL ingyenes, böngészők által is elfogadott tanúsítványt biztosít, az Origin tanúsítványra általában nincs szükség.
Az AutoSSL működik a Cloudflare mögött?
Igen, a legtöbb esetben. Az ellenőrzés a Cloudflare-en keresztül is eljut a tárhelyhez. Akkor akadhat el, ha a Cloudflare-ben az „I’m Under Attack” mód, szigorú tűzfalszabály, országszűrő vagy a /.well-known/ útvonalat érintő átirányítás van beállítva. Ilyenkor tegyen kivételt a /.well-known/acme-challenge/ útvonalra, vagy kapcsolja ki átmenetileg a szabályt, amíg az AutoSSL lefut.
A Cloudflare használatának egyéb előnyeiről a Weboldal gyorsítása CDN használatával cikkben olvashat.
