カスタム証明書を管理する

ダッシュボードでカスタム SSL 証明書をアップロードする手順は次のとおりです。

1. Cloudflare ダッシュボードで Edge Certificates ページを開きます。

   Edge Certificates を開く ↗

2. Edge Certificates で Upload Custom SSL Certificate を選択します。

3. 該当する値を SSL Certificate と Private key のテキストエリアにコピー＆ペーストします（または Paste from file を選択します）。

4. 適切な Bundle Method を選びます。

5. Private Key Restriction の値を選びます。

6. Legacy Client Support の値を選びます。これは Server Name Indication（SNI） の対応を指定します。

   • Modern (recommended): SNI のみ

   • Legacy: non-SNI をサポート

7. Upload Custom Certificate を選択します。The key you provided does not match the certificate というエラーが出た場合は、秘密鍵が証明書と一致するよう認証局に確認してください。

8. （任意）CAA DNS レコードを追加 します。

次の呼び出しは、app.example.com で使う証明書をアップロードします。Cloudflare は、ブラウザー互換性を最大化するよう最適化した証明書チェーンと証明書を自動でバンドルします。

1. ファイルを更新し、ペイロードを組み立てます

cat app_example_com.pem

-----BEGIN CERTIFICATE-----
MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
...
SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
-----END CERTIFICATE-----

MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')"
MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"

証明書とキーを環境変数へ保存したら（改行はエスケープします）、ペイロードを組み立てます。

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous"
}
EOF
))

任意で、秘密鍵を物理的に復号できる場所を制限する 地理的制限 ↗ を追加できます。

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous",
  "geo_restrictions": {"label": "us"}'
}
EOF
))

TLS ハンドシェイクに SNI を含めないレガシークライアント向けのサポートも有効にできます。

request_body=$(< <(cat <<EOF
{
  "certificate": "$MYCERT",
  "private_key": "$MYKEY",
  "bundle_method": "ubiquitous",
  "geo_restrictions": {"label": "us"}',
  "type":"sni_custom"
}
EOF
))

Cloudflare は sni_custom を推奨します。特定のクライアントが non-SNI を必要とする場合は legacy_custom を使います。Cloudflare API は、Custom SSL 証明書をデフォルトで Legacy として扱います。

2. 証明書と鍵をアップロードします

証明書と鍵のアップロードには POST エンドポイントを使います。

curl https://api.cloudflare.com/client/v4/zones/{zone_id}/custom_certificates \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data "$request_body"

3. （任意）CAA レコードを追加します。

Certificate Authority Authorization（CAA）DNS レコードは、ドメインの証明書を発行できる認証局（CA）を指定します。このレコードにより、不正な証明書発行の可能性が下がり、組織全体での標準化が進みます。

手順は CAA レコードを作成する を参照してください。

ダッシュボードで証明書を更新する手順は次のとおりです。

1. Cloudflare ダッシュボードで Edge Certificates ページを開きます。

   Edge Certificates を開く ↗

2. Edge Certificates で対象のカスタム証明書を探し、選択して展開します。

3. レンチボタンを選び、Replace SSL certificate and key を選びます。

4. 新しい証明書のアップロード と同じ手順を進めます。

API で証明書を更新するには、PATCH コマンドを送信します。