Управление пользовательскими сертификатами

Чтобы загрузить пользовательский сертификат SSL в панели управления:

1. На панели управления Cloudflare перейдите к разделу Edge Certificates страницу.

   Перейдите в Edge Certificates ↗

2. В Edge Certificates, выберите Загрузка пользовательского SSL сертификата.

3. Скопируйте и вставьте нужные значения в SSL-сертификат и Приватный ключ текстовые поля (или выберите Вставить из файла).

4. Выберите подходящий Bundle Method.

5. Выберите значение для Ограничение приватного ключа.

6. Выберите значение для Legacy Client Support, которая указывает Server Name Indication (SNI) поддержка:

   • Modern (рекомендуется): Только SNI

   • Legacy: Поддерживает подключения без SNI

7. Выберите Загрузка пользовательского сертификата. Если вы видите ошибку для The key you provided does not match the certificate, обратитесь в свой удостоверяющий центр, чтобы убедиться, что закрытый ключ соответствует сертификату.

8. (необязательно) Добавьте DNS-запись CAA.

Следующий вызов загружает сертификат для использования с app.example.com. Cloudflare автоматически объединит сертификат с цепочкой сертификатов, оптимизированной для максимальной совместимости с браузерами.

1. Обновите файл и соберите полезную нагрузку

cat app_example_com.pem

-----BEGIN CERTIFICATE-----
MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
...
SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
-----END CERTIFICATE-----

MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')"
MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"

Сохранив сертификат и ключ в переменных окружения (используя экранированные символы новой строки), сформируйте полезную нагрузку:

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous"
}
EOF
))

При желании вы можете добавить географические ограничения ↗ которые указывают, где физически может быть расшифрован ваш приватный ключ:

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous",
  "geo_restrictions": {"label": "us"}'
}
EOF
))

Вы также можете включить поддержку устаревших клиентов, которые не передают SNI при TLS-рукопожатии.

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous",
  "geo_restrictions": {"label": "us"}',
  "type":"sni_custom"
}
EOF
))

sni_custom рекомендуется Cloudflare. Используйте legacy_custom когда конкретному клиенту требуется поддержка без SNI. По умолчанию Cloudflare API считает все сертификаты Custom SSL сертификатами Legacy.

2. Загрузите сертификат и ключ

Используйте POST конечную точку, чтобы загрузить сертификат и ключ.

curl https://api.cloudflare.com/client/v4/zones/{zone_id}/custom_certificates \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data "$request_body"

3. (Необязательно) Добавьте запись CAA.

DNS-запись авторизации удостоверяющего центра (CAA) указывает, каким удостоверяющим центрам (CA) разрешено выпускать сертификаты для домена. Она снижает риск несанкционированного выпуска сертификатов и способствует стандартизации в рамках вашей организации.

Дополнительные рекомендации см. в Создание записи CAA.

Чтобы обновить сертификат в панели управления:

1. На панели управления Cloudflare перейдите к разделу Edge Certificates страницу.

   Перейдите в Edge Certificates ↗

2. В Edge Certificates, найдите пользовательский сертификат и нажмите на него, чтобы развернуть.

3. Нажмите кнопку с гаечным ключом и выберите Замена сертификата SSL и ключа.

4. Выполните те же действия, что и загрузить новый сертификат.

Чтобы обновить сертификат через API, отправьте PATCH команда.