Cloudflare-Modi ohne unsichere SSL-Konfiguration betreiben

Welche Cloudflare-Einstellung verhindert eine nur teilweise verschlüsselte Verbindung?

Full (strict) verschlüsselt die Origin-Strecke und prüft deren Zertifikat. Flexible bleibt ungeeignet, weil Cloudflare den Ursprung dabei per HTTP erreichen kann; Weiterleitungen dürfen außerdem keine Schleife erzeugen.

Durchgängiges HTTPS

1. Den Origin für jeden produktiven Host direkt über HTTPS auf Zertifikat, Antwort und vollständige Vertrauenskette prüfen.

2. Proxy-Header und eine einzige HTTPS-Weiterleitung konsistent konfigurieren.

3. Full (strict) aktivieren und Hostnamen, Fehlerfälle sowie Zertifikatserneuerung beobachten.

Flexible Strecke

• Flexible Strecke – Die zweite Verbindung bleibt unverschlüsselt und kann nicht zertifikatsgeprüft werden.

• Fehler 526 – Ein ungültiges Origin-Zertifikat verhindert nach strenger Aktivierung den Zugriff.

• Redirect Loop – Origin und Edge widersprechen sich über das erwartete Protokoll und leiten dieselbe Anfrage ohne stabilen Endzustand gegenseitig weiter.

Anwendungsfall: „Flexible Strecke“

Der Browser erreicht Cloudflare verschlüsselt, der Ursprung besitzt zunächst jedoch kein gültiges Zertifikat. Erst nach Einrichtung und direkter Prüfung des Origin-TLS wird Full (strict) aktiviert; eine vorhandene Weiterleitung wertet den vertrauenswürdigen Proxy-Header aus.

Gültiges Origin-Zertifikat

• Gültiges Origin-Zertifikat – Laufzeit, Hostname und ausstellende Vertrauenskette erfüllen die Anforderungen.

• Durchgängiges HTTPS – Browser-, Edge- und Origin-Strecke bleiben verschlüsselt und verwenden für den angeforderten Host jeweils eine verifizierbare Verbindung.

• Eindeutige Weiterleitung – HTTPS wird an einer klaren Stelle erzwungen, ohne Edge-Origin-Schleife.

Eindeutige Weiterleitung

• Origin-TLS-Fehler nach Hostname und Zertifikatsursache.

• Weiterleitungsschleifen oder HTTP-Zugriffe auf der Edge-Origin-Strecke.

Wie „Cloudflare mit sicherem TLS-Modus betreiben“ mit verwandten Entscheidungen zusammenhängt

Eine vertiefende Frage beantwortet DNS-Änderungen bei Umzügen ohne unnötige Ausfallzeit planen: Wie plant man DNS-Änderungen, wenn zwischengespeicherte Antworten nicht sofort verschwinden?

Weitere Perspektiven bietet Fehlerbilder nach Serverwechsel systematisch eingrenzen.

Wenn du „Cloudflare mit sicherem TLS-Modus betreiben“ praktisch umsetzen möchtest, kannst du auf robuste Website-Systeme zurückgreifen. Dort stehen „DNS, TLS und Reverse Proxy“ und „Gültiges Origin-Zertifikat“ im Mittelpunkt.

Fazit: Cloudflare mit sicherem TLS-Modus betreiben

Sicheres Cloudflare-TLS endet nicht am Edge. Strenge Zertifikatsprüfung schützt auch die Verbindung zum Ursprung und macht deren Identität überprüfbar.

Quellen und weiterführende Hinweise

Die folgenden offiziellen Dokumentationen und Standards belegen die fachliche Einordnung.

• Cloudflare Origin CA: Die Dokumentation erklärt Einsatz, Installation und Grenzen von Origin-CA-Zertifikaten für die abgesicherte Verbindung zwischen Cloudflare und Ursprungsserver.

• Get Started with SSL/TLS — Cloudflare: Der Einstieg ordnet Universal SSL, Verschlüsselungsmodi, Origin-Konfiguration und die schrittweise Prüfung einer sicheren TLS-Kette ein.

• Full (Strict) Encryption Mode — Cloudflare: Cloudflare beschreibt Full (strict) als Ende-zu-Ende-Verschlüsselung mit zusätzlicher Prüfung von Gültigkeit, Hostnamen und Vertrauenskette des Origin-Zertifikats.