← Cloudflare SSL/TLS / ssl
Časté dotazy k SSL/TLS
Na této stránce najdete odpovědi na časté dotazy k nabídce certifikátů Cloudflare SSL/TLS a k certifikačním autoritám, se kterými Cloudflare spolupracuje.
Obecné
Vydává Cloudflare certifikáty RSA i ECDSA?
Ano, Cloudflare umí vydávat certifikáty RSA i ECDSA.
Jsou certifikáty SSL od Cloudflare sdílené?
Ne. Certifikáty Cloudflare SSL/TLS nejsou sdílené mezi doménami ani mezi zákazníky.
Pokud mám více certifikátů Cloudflare, který z nich se použije?
Certifikáty Cloudflare mají prioritu podle kombinace specifičnosti hostname, specifičnosti zóny a typu certifikátu. Podrobnosti najdete v Priorita certifikátu a hostitele.
Proč se mi zobrazuje certifikát Cloudflare, když mám na webu nainstalovaný SSL certifikát?
Cloudflare musí provoz dešifrovat, aby ho mohl ukládat do cache a filtrovat škodlivý provoz. Cloudflare pak provoz buď znovu zašifruje, nebo ho odešle na origin webový server jako plain text, v závislosti na režim šifrování.
Certifikační autority (CA)
Které certifikační autority Cloudflare používá?
Cloudflare používá Let's Encrypt, Google Trust Services, SSL.com a Sectigo. Úplný seznam produktů a dostupných CA a algoritmů najdete v referenční stránka certifikačních autorit.
Sectigo se používá pouze pro záložní certifikáty.
Existují nějaká omezení CA, o kterých bych měl vědět?
Viz referenční stránka certifikačních autorit pro seznam omezení pro každou CA v našem pipeline. Najdete tam také informace o kompatibilitě zařízení a prohlížečů.
Nechci používat certifikační autority, se kterými Cloudflare spolupracuje. Co mohu udělat?
Pokud máte plán Business nebo Enterprise, můžete nahrát certifikát od CA dle vlastního výběru.
V mém úložišti důvěryhodných certifikátů chybí certifikační autority, které Cloudflare používá. Co mám dělat?
Můžete použít Úložiště důvěryhodných certifikátů CFSSL ↗, které zahrnuje všechny CA používané certifikáty spravovanými Cloudflare.
záznamy CAA
Co je CAA a jak ho mohu vytvořit?
DNS záznam CAA (Certificate Authority Authorization) určuje, které certifikační autority (CA) smí pro doménu vydávat certifikáty. Tento záznam snižuje riziko neoprávněného vydání certifikátu a podporuje jednotný postup v rámci vaší organizace.
Podrobnosti uvádí Přidání záznamů CAA.
Jak Cloudflare vyhodnocuje záznamy CAA?
Záznamy CAA vyhodnocuje CA, nikoli Cloudflare. Podrobnosti najdete v RFC 8659 ↗.
Nastavení záznamu CAA s uvedením jedné nebo více konkrétních certifikačních autorit neovlivňuje, kterou certifikační autoritu Cloudflare použije k vydání univerzálního nebo pokročilého certifikátu pro vaši doménu. Pokud chcete, můžete certifikační autority spojené s certifikáty Cloudflare určit při objednávání pokročilého certifikátu.
Jaká rizika hrozí při nastavení záznamů CAA?
Pokud jste součástí velké organizace nebo organizace, kde má na starosti získávání certifikátů SSL více stran, zahrňte záznamy CAA které umožňují vydávání pro všechny CA relevantní pro vaši organizaci. Pokud tak neučiníte, můžete nechtěně zablokovat vydávání SSL certifikátů pro ostatní části vaší organizace.
Jaké záznamy CAA potřebuji k povolení vydávání certifikátů certifikačními autoritami Cloudflare?
Záznamy CAA přiřazené ke každé certifikační autoritě Cloudflare najdete v referenční stránka certifikačních autorit. Pokud jako poskytovatele DNS používáte Cloudflare, záznamy CAA se přidají automaticky za vás.
Universal SSL
Používám Universal SSL a chtěl bych použít jinou certifikační autoritu. Jak to mohu udělat?
Abyste mohli zadat CA, musíte zakoupit Advanced Certificate Manager. Prostřednictvím Advanced Certificate Manager můžete zvolit certifikační autoritu při objednávání pokročilého certifikátu, nebo můžete zvolit výchozí CA při použití TLS celkem.
Pokud máte plán Business nebo Enterprise, můžete nahrát certifikát od CA dle vlastního výběru. V takovém případě budete muset vydávání a obnovu certifikátu spravovat sami.
Vydává Cloudflare pro certifikáty Universal jak RSA, tak ECDSA certifikáty?
Certifikáty Universal na bezplatných zónách získávají pouze certifikát ECDSA. Placené zóny získávají certifikáty RSA a ECDSA.