Cloudflare Flexible и Full SSL: в чём разница и что выбрать в 2026 году

Введение

Cloudflare предлагает несколько режимов SSL/TLS, которые определяют, как шифруется трафик между браузером посетителя, сетью Cloudflare и вашим исходным сервером. Неправильный выбор может привести к ошибкам 525, 526 или, что хуже, к уязвимостям, когда данные передаются в открытом виде. В этом руководстве мы разберём разницу между Flexible, Full и Full (Strict), объясним, когда какой режим использовать, и дадим пошаговые инструкции по настройке.

Что такое режимы SSL/TLS в Cloudflare

Cloudflare работает как обратный прокси: он принимает запросы от посетителей и перенаправляет их на ваш сервер. При этом устанавливаются два независимых SSL-соединения:

1. Браузер ↔ Cloudflare — всегда шифруется, если включён SSL. 2. Cloudflare ↔ ваш сервер — шифрование зависит от выбранного режима.

Именно второй сегмент и определяет разницу между Flexible, Full и Full (Strict).

Режим Flexible SSL: что это и когда использовать

Flexible SSL шифрует только соединение между посетителем и Cloudflare. Соединение между Cloudflare и вашим сервером идёт по HTTP (порт 80) без шифрования.

Плюсы Flexible

• Простая настройка: не требует установки SSL-сертификата на сервере.

• Подходит для быстрого включения HTTPS на сайтах, где нет возможности установить сертификат.

Минусы Flexible

• Трафик между Cloudflare и сервером не защищён — его можно перехватить.

• Может создавать петли перенаправления, если на сервере настроен редирект на HTTPS.

• Не проходит аудит безопасности, так как данные передаются в открытом виде.

• Некоторые браузеры и поисковики могут помечать такой сайт как небезопасный.

Когда использовать: только как временное решение или для тестовых сайтов без конфиденциальных данных. Для продакшена не рекомендуется.

Режим Full SSL: особенности и риски

Full SSL шифрует оба соединения: браузер ↔ Cloudflare и Cloudflare ↔ сервер. Однако Cloudflare не проверяет подлинность сертификата на вашем сервере — подойдёт даже самоподписанный сертификат или сертификат с истёкшим сроком.

Плюсы Full

• Трафик между Cloudflare и сервером зашифрован.

• Не требует действительного сертификата — можно использовать self-signed.

• Устраняет петли перенаправления, характерные для Flexible.

Минусы Full

• Уязвимость к MITM-атакам: злоумышленник может подменить сертификат на сервере, и Cloudflare не заметит подмены.

• Не соответствует требованиям PCI DSS и другим стандартам безопасности.

Когда использовать: если у вас есть самоподписанный сертификат и вы не можете установить действительный, но при этом хотите шифровать трафик до сервера. Лучше, чем Flexible, но не идеально.

Режим Full (Strict) SSL: максимальная защита

Full (Strict) — самый безопасный режим. Cloudflare шифрует оба соединения и проверяет действительность сертификата на вашем сервере. Сертификат должен быть подписан доверенным центром сертификации (CA) или быть Cloudflare Origin CA, и срок его действия не должен быть истёкшим.

Плюсы Full (Strict)

• Полное шифрование и аутентификация сервера.

• Защита от MITM-атак.

• Соответствует требованиям безопасности и SEO-рекомендациям.

• Поддерживает HSTS и другие современные стандарты.

Минусы Full (Strict)

• Требует установки действительного SSL-сертификата на сервере.

• Если сертификат истёк или недействителен, сайт вернёт ошибку 526.

Когда использовать: всегда, когда есть возможность установить действительный сертификат. Это стандарт для продакшен-сайтов.

Сравнительная таблица режимов

Как выбрать режим SSL для вашего сайта

Выбор зависит от двух факторов: наличие действительного сертификата на сервере и требования к безопасности.

1. Если у вас есть действительный сертификат (Let's Encrypt, коммерческий или Cloudflare Origin CA) — выбирайте Full (Strict). 2. Если сертификат самоподписанный и нет возможности получить действительный — используйте Full, но помните о рисках. 3. Если сертификата нет вообще — временно можно включить Flexible, но обязательно установите сертификат и переключитесь на Full (Strict) как можно скорее.

Пошаговая инструкция: как изменить режим SSL в Cloudflare

Шаг 1: Войдите в панель Cloudflare

Откройте dash.cloudflare.com и авторизуйтесь. Выберите домен, для которого хотите настроить SSL.

Шаг 2: Перейдите в раздел SSL/TLS

В левом меню найдите пункт SSL/TLS и кликните по нему. Откроется обзорная страница с текущим режимом шифрования.

Шаг 3: Выберите режим шифрования

Нажмите Configure или Overview и выберите один из трёх режимов: Flexible, Full или Full (Strict). Нажмите Save.

Шаг 4: Проверьте работу сайта

Откройте сайт в браузере. Убедитесь, что нет ошибок 525, 526 или петель перенаправления. Если ошибка возникла, проверьте настройки сервера.

Шаг 5: Установите сертификат на сервер (для Full/Full Strict)

Если вы выбрали Full или Full (Strict), на сервере должен быть установлен SSL-сертификат. Можно использовать бесплатный Let's Encrypt или Cloudflare Origin CA.

Шаг 6: Настройте Cloudflare Origin CA (рекомендуется)

Cloudflare Origin CA — бесплатный сертификат, который работает только с Cloudflare. Он упрощает настройку Full (Strict).

1. В панели Cloudflare перейдите в SSL/TLS → Origin Server. 2. Нажмите Create Certificate. 3. Выберите срок действия и домены. 4. Скопируйте сертификат и приватный ключ. 5. Установите их на сервере (в зависимости от веб-сервера: Nginx, Apache и т.д.).

Шаг 7: Включите HSTS (опционально)

HSTS (HTTP Strict Transport Security) заставляет браузеры всегда использовать HTTPS. Включайте только после проверки, что сайт стабильно работает по HTTPS.

Типичные ошибки и как их исправить

Ошибка 525: SSL handshake failed

Причина: не удалось установить SSL-соединение между Cloudflare и сервером. Обычно возникает в режимах Full или Full (Strict), когда сертификат не установлен или настроен неверно.

Решение: проверьте, что на сервере установлен SSL-сертификат и веб-сервер слушает порт 443. Убедитесь, что сертификат не истёк.

Ошибка 526: Invalid SSL certificate

Причина: сертификат на сервере недействителен (истёк, самоподписанный или не соответствует домену) в режиме Full (Strict).

Решение: установите действительный сертификат (Let's Encrypt или Cloudflare Origin CA) или временно переключитесь на Full.

Петля перенаправления (ERR_TOO_MANY_REDIRECTS)

Причина: в режиме Flexible на сервере настроен редирект с HTTP на HTTPS. Cloudflare отправляет запрос на HTTP, сервер перенаправляет на HTTPS, и цикл повторяется.

Решение: переключитесь на Full или Full (Strict), либо отключите редирект на сервере (не рекомендуется).

Смешанный контент (Mixed Content)

Причина: на странице загружаются ресурсы по HTTP, хотя сайт работает по HTTPS.

Решение: проверьте код сайта и замените все HTTP-ссылки на HTTPS. Используйте инструменты разработчика в браузере для поиска таких ресурсов.

FAQ

В чём главная разница между Flexible и Full SSL?

Flexible шифрует только трафик между браузером и Cloudflare, а между Cloudflare и сервером данные идут по HTTP. Full шифрует оба участка, но не проверяет сертификат на сервере.

Какой режим SSL выбрать для интернет-магазина?

Для интернет-магазина обязательно используйте Full (Strict). Это требование PCI DSS для обработки платежей. Режимы Flexible и Full не обеспечивают должной безопасности.

Можно ли использовать Full (Strict) с самоподписанным сертификатом?

Нет, Full (Strict) требует действительный сертификат от доверенного CA. Самоподписанный сертификат вызовет ошибку 526. Используйте Cloudflare Origin CA — он бесплатный и принимается Cloudflare.

Что будет, если у меня истёк сертификат на сервере?

В режиме Full (Strict) сайт вернёт ошибку 526. В режиме Full сайт продолжит работать, но соединение будет уязвимо. В режиме Flexible сертификат на сервере вообще не используется.

Как проверить, какой режим SSL сейчас активен?

Зайдите в панель Cloudflare, раздел SSL/TLS → Overview. Текущий режим будет выделен. Также можно проверить через онлайн-инструменты, например SSL Labs.

Влияет ли режим SSL на SEO?

Да, косвенно. Google отдаёт предпочтение безопасным сайтам. Full (Strict) обеспечивает лучшую защиту, что положительно сказывается на доверии пользователей и поисковой выдачи. Flexible может вызывать ошибки и ухудшать поведенческие факторы.

Итог

Выбор между Flexible, Full и Full (Strict) — это выбор между удобством и безопасностью. Flexible подходит только для временных решений, Full — компромиссный вариант с рисками, а Full (Strict) — золотой стандарт для продакшена. Если у вас ещё нет сертификата на сервере, установите бесплатный Cloudflare Origin CA или Let's Encrypt и переключитесь на Full (Strict). Это защитит данные пользователей и избавит от ошибок 525/526.