← Cloudflare SSL/TLS / ssl / edge-certificates

Расширенные сертификаты

Используйте расширенные сертификаты, если вам нужно больше гибкости настройки, чем даёт Universal SSL но при этом хотите сохранить удобство выпуска и продления SSL-сертификатов.

Чтобы заказать расширенные сертификаты, необходимо приобрести дополнение Advanced Certificate Manager. Оно также открывает доступ к функциям, перечисленным ниже.

Advanced Certificate Manager позволяет вам:

• Закажите расширенные сертификаты, которые позволяют:
  • Включите до 50 хостов в список покрываемых хостов (корневой домен зоны должен быть одним из этих 50).
  • Охватывает более одного уровня поддомена.
  • Быть выпущен выбранным вами удостоверяющим центром (CA).
  • Используйте предпочитаемый способ проверки.
  • Иметь выбранный вами срок действия.
• Автоматизация проверка контроля над доменом (DCV) для зон на Настройка CNAME с использованием Delegated DCV.
• Включите Total TLS для автоматической защиты проксируемых имён хостов.
• Выберите пользовательское хранилище доверенных сертификатов для аутентификации источника.
• Управление наборы шифров и минимальная версия TLS для каждого имени хоста.

Расширенные сертификаты не применяются к Cloudflare Pages или R2 пользовательских доменов. Из-за приоритизация сертификатов, эти продукты используют вместо этого сертификаты Cloudflare for SaaS.

Расширенные сертификаты являются Проверка домена (DV). Если вашей организации нужны сертификаты Organization Validated (OV) или Extended Validation (EV), обратитесь к Собственные сертификаты.

Расширенные сертификаты покрывают имена хостов в пределах одного домена. Если нужен сертификат, охватывающий несколько доменов (мультидоменный сертификат), используйте Cloudflare for SaaS. Рекомендации по архитектуре см. в Использование Cloudflare для ваших SaaS-приложений.

Advanced Certificate Manager поддерживает глубокие многоуровневые поддомены (например, api.staging.example.com). Произвольного ограничения на количество уровней поддоменов не существует, однако необходимо учитывать следующие ограничения.

Эти ограничения определены интернет-стандартами (RFC 1035 ↗ и RFC 5280 ↗) и применяются ко всем сертификатам независимо от удостоверяющего центра:

• Общая длина домена: Полное доменное имя не может превышать 253 символа.
• Длина метки: Каждый отдельный уровень, то есть текст между точками, не может превышать 63 символа.
• Длина поля Common Name (CN): Поле Common Name сертификата не может превышать 64 символа. Если хост в сертификате длиннее 64 символов, закажите сертификат через API и задайте cloudflare_branding опцию в true. Это помещает sni.cloudflaressl.com в поле CN, а ваше длинное имя хоста в поле SAN. Дашборд не поддерживает заказ сертификатов с именами хостов длиннее 64 символов.

Wildcard-сертификаты покрывают только один уровень субдомена:

• Сертификат для *.example.com покрывает www.example.com и api.example.com но не api.staging.example.com.
• Чтобы охватить несколько уровней, нужно явно добавить в сертификат подстановочный знак для каждого уровня (например, *.example.com, *.staging.example.com).

Один расширенный сертификат может включать до 50 хостов (SANs) всего. Апекс зоны должен быть одним из этих 50, оставляя место для до 49 дополнительных хостов или wildcard-записей.

Указанные выше ограничения по длине (253 символа всего, 63 символа для метки, 64 символа для CN) определены стандартами IETF (RFC 1035 ↗, RFC 5280 ↗) и одинаково применяются ко всем удостоверяющим центрам (CA). Другие ограничения, например количество SAN на сертификат и поддерживаемые сроки действия, относятся к лимитам расширенных сертификатов Cloudflare или зависят от конкретного CA. См. Центры сертификации для получения сведений по конкретному ЦС.

• Управление расширенными сертификатами
• Команды API