← Cloudflare SSL/TLS / ssl
Часто задаваемые вопросы о SSL/TLS
На этой странице собраны частые вопросы о сертификатах SSL/TLS от Cloudflare и центрах сертификации, с которыми сотрудничает Cloudflare.
Общее
Выпускает ли Cloudflare сертификаты RSA и ECDSA?
Да. Cloudflare может выпускать как RSA-сертификаты, так и ECDSA-сертификаты.
Являются ли SSL-сертификаты Cloudflare общими?
Нет. Сертификаты SSL/TLS Cloudflare не используются совместно между доменами или клиентами.
Какой сертификат используется, если у меня несколько сертификатов Cloudflare?
Приоритет сертификатов Cloudflare определяется сочетанием специфичности имени хоста, специфичности зоны и типа сертификата. Подробнее см. Приоритет сертификата и хоста.
Почему я вижу сертификат Cloudflare, если на моём сайте установлен SSL-сертификат?
Cloudflare расшифровывает трафик, чтобы кэшировать его и отфильтровывать вредоносные запросы. Затем Cloudflare либо повторно шифрует трафик, либо передаёт его исходному веб-серверу в виде открытого текста, в зависимости от того, какой у вашего домена режим шифрования.
Центры сертификации (CA)
Какие удостоверяющие центры использует Cloudflare?
Cloudflare использует Let's Encrypt, Google Trust Services, SSL.com и Sectigo. Полный список продуктов, доступных CA и алгоритмов приведён в справочная страница центров сертификации.
Sectigo используется только для резервные сертификаты.
Есть ли ограничения удостоверяющих центров, о которых следует знать?
См. справочная страница центров сертификации для списка ограничений для каждого ЦС в нашем конвейере. Там же вы найдёте сведения о совместимости с устройствами и браузерами.
Я не хочу использовать CA, с которыми сотрудничает Cloudflare. Что можно сделать?
Если у вас тариф Business или Enterprise, вы можете загрузить сертификат от выбранного вами CA.
В моем хранилище доверенных сертификатов отсутствуют CA, которые использует Cloudflare. Что делать?
Вы можете использовать Хранилище доверенных сертификатов CFSSL ↗, который включает все удостоверяющие центры, используемые управляемыми сертификатами Cloudflare.
CAA-записи
Что такое CAA и как её создать?
DNS-запись авторизации удостоверяющего центра (CAA) указывает, каким удостоверяющим центрам (CA) разрешено выпускать сертификаты для домена. Она снижает риск несанкционированного выпуска сертификатов и способствует стандартизации в рамках вашей организации.
Подробнее см. в Добавление записей CAA.
Как Cloudflare проверяет записи CAA?
Записи CAA проверяются CA, а не Cloudflare. Подробнее см. RFC 8659 ↗.
Запись CAA, указывающая один или несколько конкретных CA, не влияет на то, какой CA использует Cloudflare для выпуска универсальных или расширенных сертификатов для вашего домена. При желании вы можете указать CA, связанные с сертификатами Cloudflare, когда заказ расширенного сертификата.
Какие риски связаны с настройкой записей CAA?
Если вы работаете в крупной организации или в организации, где за получение сертификатов SSL отвечают несколько сторон, включают записи CAA которые разрешают выпуск для всех CA, применимых для вашей организации. В противном случае это может непреднамеренно заблокировать выпуск SSL для других частей вашей организации.
Какие записи CAA нужны, чтобы разрешить выпуск сертификатов удостоверяющими центрами Cloudflare?
Записи CAA, связанные с каждым удостоверяющим центром Cloudflare, можно найти в справочная страница центров сертификации. Если в качестве DNS-провайдера вы используете Cloudflare, записи CAA будут добавлены автоматически от вашего имени.
Universal SSL
Я использую Universal SSL и хочу использовать другой CA. Как это сделать?
Чтобы иметь возможность указать центр сертификации, необходимо приобрести Advanced Certificate Manager. С помощью Advanced Certificate Manager вы можете выбрать центр сертификации при заказе расширенного сертификата или выбрать CA по умолчанию при использовании Total TLS.
Если у вас тариф Business или Enterprise, вы можете загрузить сертификат от выбранного вами CA. В этом случае выпуск и продление сертификата вам придётся выполнять самостоятельно.
Выпускает ли Cloudflare сертификаты RSA и ECDSA для Universal SSL?
На бесплатных зонах универсальные сертификаты представлены только сертификатом ECDSA. На платных зонах выдаются сертификаты RSA и ECDSA.