Cloudflare SSL: Flexible или Full — что выбрать и как настроить

Введение

При подключении сайта к Cloudflare перед вами встаёт вопрос: какой режим SSL/TLS выбрать? Cloudflare предлагает несколько вариантов: Flexible, Full и Full (Strict). От этого выбора зависит безопасность данных между посетителем и вашим сервером, а также корректность работы сайта. В этой статье мы разберём различия режимов, объясним, когда какой использовать, и дадим пошаговую инструкцию по настройке.

Что такое SSL/TLS в Cloudflare

Cloudflare работает как обратный прокси: трафик от пользователя идёт сначала на серверы Cloudflare, а затем — на ваш хостинг. SSL/TLS шифрует соединение на двух участках:

1. Браузер → Cloudflare — всегда шифруется, если включён режим SSL. 2. Cloudflare → ваш сервер (origin) — шифрование зависит от выбранного режима.

Режимы Flexible, Full и Full (Strict) определяют, как Cloudflare соединяется с вашим сервером.

Режим Flexible: что это и когда использовать

Flexible — Cloudflare шифрует трафик только между браузером и собой, а до вашего сервера данные идут по HTTP (без шифрования). Это самый простой режим: на сервере не нужен SSL-сертификат.

Плюсы:

• Быстрая настройка — не нужно устанавливать сертификат на хостинг.

• Подходит для временного использования или тестирования.

Минусы:

• Трафик между Cloudflare и сервером не шифруется — данные уязвимы для перехвата.

• Может возникнуть ошибка «слишком много перенаправлений» (redirect loop), если на сервере настроен принудительный HTTPS.

• Не соответствует требованиям PCI DSS и другим стандартам безопасности.

Когда выбирать: только для временного решения, если нет возможности установить сертификат на сервер. Для постоянного использования не рекомендуется.

Режим Full: что это и когда использовать

Full — шифрование работает на обоих участках: браузер → Cloudflare и Cloudflare → сервер. Но Cloudflare не проверяет подлинность сертификата на вашем сервере — подойдёт самоподписанный или просроченный сертификат.

Плюсы:

• Трафик до сервера шифруется.

• Можно использовать самоподписанный сертификат (например, от Let's Encrypt или сгенерированный на хостинге).

Минусы:

• Нет проверки сертификата — возможна атака «человек посередине» (MITM), если злоумышленник подменит сертификат.

• Не подходит для сайтов с высокими требованиями к безопасности.

Когда выбирать: если на сервере есть SSL-сертификат, но вы не уверены в его валидности, или используете самоподписанный сертификат.

Режим Full (Strict): что это и когда использовать

Full (Strict) — самый безопасный режим. Cloudflare требует, чтобы на сервере был валидный сертификат, подписанный доверенным центром сертификации (CA), и проверяет его срок действия и соответствие домену.

Плюсы:

• Полное шифрование с проверкой подлинности сервера.

• Защита от MITM-атак.

• Соответствует стандартам безопасности.

Минусы:

• Требуется установка валидного сертификата на сервер (можно использовать бесплатный Let's Encrypt или Cloudflare Origin CA).

• Если сертификат просрочен или не соответствует домену, сайт будет недоступен.

Когда выбирать: для всех production-сайтов, особенно если обрабатываются персональные данные или платежи.

Сравнительная таблица режимов

Как выбрать режим SSL/TLS

1. Если у вас нет SSL-сертификата на сервере — используйте Flexible, но только временно. Лучше установить бесплатный сертификат Let's Encrypt и перейти на Full (Strict). 2. Если есть самоподписанный сертификат — подойдёт Full, но помните о рисках. Рекомендуем заменить на валидный. 3. Если есть валидный сертификат от Let's Encrypt или другого CA — выбирайте Full (Strict). Это оптимальный вариант для безопасности. 4. Если используете Cloudflare Origin CA — выбирайте Full (Strict). Cloudflare Origin CA — это сертификат, выпущенный самим Cloudflare, который работает только с их прокси.

Пошаговая настройка режима SSL/TLS в Cloudflare

Шаг 1: Войдите в панель Cloudflare

Перейдите на dash.cloudflare.com и авторизуйтесь.

Шаг 2: Выберите домен

В списке сайтов кликните на нужный домен.

Шаг 3: Перейдите в раздел SSL/TLS

В левом меню найдите раздел SSL/TLS и откройте его.

Шаг 4: Выберите режим шифрования

На вкладке Overview (Обзор) вы увидите три режима: Off, Flexible, Full, Full (Strict). Выберите нужный, кликнув на него.

Шаг 5: Сохраните изменения

Изменения применяются автоматически, но могут занять до 5 минут.

Шаг 6: Проверьте работу сайта

Откройте сайт в браузере. Убедитесь, что нет ошибок SSL и перенаправлений. Если сайт не открывается, проверьте настройки сертификата на сервере.

Установка сертификата Let's Encrypt на сервер

Для режима Full (Strict) на сервере должен быть валидный сертификат. Проще всего использовать Let's Encrypt.

Шаг 1: Установите Certbot

На сервере выполните команды в зависимости от ОС. Для Ubuntu/Debian:

sudo apt update
sudo apt install certbot python3-certbot-nginx

Для CentOS/RHEL:

sudo yum install certbot python3-certbot-nginx

Шаг 2: Получите сертификат

Для Nginx:

sudo certbot --nginx -d example.com -d www.example.com

Для Apache:

sudo certbot --apache -d example.com -d www.example.com

Certbot автоматически настроит веб-сервер и продление сертификата.

Шаг 3: Проверьте автообновление

Certbot создаёт таймер для автоматического продления. Проверьте:

sudo systemctl status certbot.timer

Использование Cloudflare Origin CA

Cloudflare Origin CA — это бесплатный сертификат, который работает только с прокси Cloudflare. Он идеально подходит для Full (Strict).

Шаг 1: Сгенерируйте сертификат

В панели Cloudflare перейдите в SSL/TLS → Origin Server. Нажмите Create Certificate.

Шаг 2: Выберите домены

Укажите домены, для которых нужен сертификат (обычно example.com и *.example.com).

Шаг 3: Выберите срок действия

Можно выбрать от 7 дней до 15 лет. Рекомендуем 1 год.

Шаг 4: Скопируйте сертификат и ключ

После создания вы увидите сертификат и приватный ключ. Сохраните их.

Шаг 5: Установите на сервер

Разместите файлы на сервере и настройте веб-сервер (Nginx/Apache) на их использование. Инструкция зависит от вашей конфигурации.

Типичные ошибки и как их исправить

Ошибка: «Слишком много перенаправлений» (ERR_TOO_MANY_REDIRECTS)

Причина: на сервере настроен принудительный редирект с HTTP на HTTPS, а Cloudflare в режиме Flexible отправляет запросы по HTTP.

Решение: переключитесь на Full или Full (Strict) и установите сертификат на сервер. Либо отключите редирект на сервере.

Ошибка 526: Invalid SSL certificate

Причина: Cloudflare не может проверить сертификат на сервере (просрочен, самоподписанный или не соответствует домену).

Решение: обновите сертификат или переключитесь на режим Full (без Strict).

Ошибка 525: SSL handshake failed

Причина: на сервере не настроен SSL или порт 443 закрыт.

Решение: проверьте, что веб-сервер слушает 443 порт и сертификат установлен.

Сайт не открывается после смены режима

Причина: возможно, сертификат на сервере невалиден или отсутствует.

Решение: проверьте сертификат с помощью онлайн-инструментов (например, SSL Labs) или верните предыдущий режим.

FAQ

В чём разница между Flexible и Full?

Flexible шифрует только трафик между браузером и Cloudflare, а до сервера данные идут по HTTP. Full шифрует оба участка, но не проверяет сертификат на сервере.

Какой режим выбрать для интернет-магазина?

Только Full (Strict) — он обеспечивает максимальную безопасность и соответствует требованиям PCI DSS.

Можно ли использовать бесплатный сертификат Let's Encrypt с Full (Strict)?

Да, Let's Encrypt — доверенный центр сертификации, его сертификаты подходят для Full (Strict).

Что будет, если выбрать Full (Strict), а на сервере самоподписанный сертификат?

Сайт будет недоступен с ошибкой 526. Нужно заменить сертификат на валидный.

Как проверить, какой режим SSL используется?

В панели Cloudflare в разделе SSL/TLS → Overview активный режим подсвечен.

Итог

Выбор режима SSL/TLS в Cloudflare влияет на безопасность и доступность сайта. Flexible подходит только для временного использования, Full — компромиссный вариант, а Full (Strict) — лучший выбор для production. Установите валидный сертификат (Let's Encrypt или Cloudflare Origin CA) и включите Full (Strict), чтобы защитить данные пользователей и избежать ошибок.