トラブルシューティング

デフォルトでは、1 分あたり最大 15 件の証明書を発行できます。上限にカウントされるのは成功した送信（200 を返す POST）だけです。上限を超えると、30 秒間は新しい証明書を発行できません。

より高いレート制限が必要な場合は、アカウントチームにお問い合わせください。

Cloudflare のキャッシュから特定のファイルを削除するには、1 つ以上のホスト名を指定して キャッシュをパージ します。

カスタムホスト名をルーティングまたはプロキシできないとき、Cloudflare は 1016 エラーを返します。

エラー 1016 の主な原因は次の 3 つです。

1. カスタムホスト名の所有権検証が完了していません。検証状態を確認するには、ホスト名で証明書を検索 する API を実行し、verification error フィールドを確認します: "verification_errors": ["custom hostname does not CNAME to this zone."]。
2. Fallback Origin が 正しく設定 されていません。Fallback Origin 用の DNS レコードを作成し、Fallback Origin も設定していることを確認します。
3. Wildcard Custom Hostname を作成しているが、リクエストされたホスト名が、Cloudflare 上の独立したゾーンとして存在するドメインに紐づいています。この場合、独立ゾーンの ホスト名の優先度 が、ワイルドカードのカスタムホスト名より優先されます。独立ゾーンのホスト名に DNS レコードがなくても、この動作は変わりません。

この状況では、Cloudflare for SaaS の親ゾーンで配信したいホスト名ごとに、個別のカスタムホスト名として追加します。

SaaS プロバイダーを切り替えるとき、旧プロバイダーが特定のカスタムホスト名をプロビジョニングし、新プロバイダーがワイルドカードのカスタムホスト名をプロビジョニングしていると、古い構成が優先されることがあります。証明書とホスト名の優先度 どおりの動作です。

この場合の進め方は次の 2 つです。

• （推奨）新しい SaaS プロバイダーに、ワイルドカードではなく特定のカスタムホスト名をプロビジョニングしてもらいます。*.example.com ではなく mystore.example.com です。
• アカウントの Super Administrator に、Cloudflare Support へ連絡して SaaS 構成の更新を依頼してもらいます。

カスタムホスト名を Active ステータスに戻すには、PATCH リクエスト を送ってホスト名の検証を再開します。Moved ステータスのカスタムホスト名は、7 日後に削除されます。

顧客が SaaS サービスを指す DNS レコードを変更した場合も、カスタムホスト名が Moved 状態になることがあります。詳細は カスタムホスト名の削除 を参照してください。

カスタムホスト名のステータスに caa_error がある場合、ドメインに設定された CAA レコードが原因で、認証局が証明書を発行できませんでした。

ドメインに設定されている CAA レコードは、dig コマンドで確認できます。 dig CAA example.com

選択した認証局に必要な CAA レコードが設定されていることを確認します。 たとえば、Let's Encrypt ↗ と Google Trust Services ↗ の証明書を発行するために必要なレコードは次のとおりです。

example.com CAA 0 issue "pki.goog; cansignhttpexchanges=yes"
example.com CAA 0 issuewild "pki.goog; cansignhttpexchanges=yes"

example.com CAA 0 issue "letsencrypt.org"
example.com CAA 0 issuewild "letsencrypt.org"

example.com CAA 0 issue "ssl.com"
example.com CAA 0 issuewild "ssl.com"

詳細は CAA レコードの FAQ を参照してください。

ゾーン名と一致するカスタムホスト名は設定しないでください。たとえば、SaaS ゾーンが example.com の場合、example.com という名前のカスタムホスト名は作成しないでください。

この構成では、セキュリティ上の DNS オーバーライド制限により、403 Forbidden エラーになります。Worker Routes からのサブリクエストにも同じ制限がかかります。

Let's Encrypt（Cloudflare が使う 認証局（CA） の 1 つ）は 信頼チェーン の変更を発表しています。2024 年 9 月 9 日以降、古いデバイスがカスタムホスト名の証明書に接続できないことがあります。

次の対処を検討してください。

• Edit Custom Hostname エンドポイントで certificate_authority パラメータを空文字（""）にします。カスタムホスト名の証明書が「default CA」になり、認証局の選択は Cloudflare に任されます。Cloudflare は、Google Trust Services など互換性の高い CA からの発行を優先し、CAA レコード で Google の発行がブロックされている場合だけ Let’s Encrypt にフォールバックします。

  API 呼び出しの例

  curl --request PATCH \
  "https://api.cloudflare.com/client/v4/zones/{zone_id}/custom_hostnames/{custom_hostname_id}" \
  --header "X-Auth-Email: <EMAIL>" \
  --header "X-Auth-Key: <API_KEY>" \
  --header "Content-Type: application/json" \
  --data '{
    "ssl": {
        "method": "txt",
        "type": "dv",
        "certificate_authority": ""
    }
  }'

• Edit Custom Hostname エンドポイントで certificate_authority パラメータを google にします。カスタムホスト名の CA が Google Trust Services になります。API 呼び出しでは、ssl オブジェクトに method と type も含めてください。

• カスタムホスト名にカスタム証明書を使っている場合は、カスタム証明書のトラブルシューティング を参照してください。

zone hold は、ゾーンが別の Cloudflare アカウントで有効化されないようにする切り替えです。有効にすると、Cloudflare はそのドメイン名について、ゾーンでもカスタムホスト名でも SSL/TLS 証明書を発行できません。 Also prevent subdomains を有効にすると、このドメインのカスタムホスト名検証も行われません。カスタムホスト名は Blocked ステータスのまま、次のエラーメッセージになります: The hostname is associated with a held zone. Please contact the owner of this domain to have the hold removed. この場合、カスタムホスト名を有効にする前に、ゾーンの所有者が hold を解除 する必要があります。

Blocked ステータスは終端です。カスタムホスト名の検証は自動では再試行されません。zone hold を解除したあと、Cloudflare ダッシュボードのカスタムホスト名で Refresh を選ぶか、カスタムホスト名へ PATCH リクエスト を送り、検証を再開します。ホスト名の検証が完了したら、zone hold を再度有効にできます。

Common Name（CN）の制限は 64 文字です（RFC 5280 ↗）。この長さを超えるホスト名では、次のエラーが出ることがあります。

Since no host is 64 characters or fewer, Cloudflare Branding is required. Please check your input and try again. (1469)

対処するには、API で カスタムホスト名を作成 するとき、cloudflare_branding を true に設定します。

Cloudflare branding を使うと、証明書の Common Name（CN）に sni.cloudflaressl.com が追加され、長いホスト名は Subject Alternative Name（SAN）に含まれます。