Universal SSL 証明書には、いくつかの制限があります。
Cloudflare が DNS レコードに対して SSL/TLS 証明書を提供できるのは、そのレコードの プロキシステータス を Proxied にした場合だけです。そうしないと、レコードが指すオリジンサーバーが SSL/TLS 接続を担います。
フルセットアップゾーンで Universal SSL だけに頼る場合、対象はルートドメイン（例: example.com）と第 1 階層のサブドメイン（例: www.example.com や blog.example.com）に限られます。dev.www.example.com や app3.dev.www.example.com のようなより深いサブドメインは 対象外 で、有効な証明書は提供されません。
より深いサブドメインで SSL を有効にするには、次のいずれかを行います。
- Advanced Certificate Manager を購入する。その後、プロキシされたすべてのサブドメインを自動でカバーする Total TLS を有効にするか、特定のホスト名向けに高度な証明書を手動で作成します。
- 必要なサブドメインをサブジェクト代替名（SAN）として含む カスタム SSL 証明書 をアップロードします。
CNAME セットアップゾーン では、各サブドメイン（階層に関係なく）に独自の Universal SSL 証明書があり、追加機能や購入は不要です。サブドメインが Cloudflare へプロキシされていれば、Universal 証明書が プロビジョニングされます。
Universal SSL 証明書では、証明書に使う 認証局（CA） を Cloudflare が選びます。
Cloudflare は事前通知なしに 認証局 を変更でき、変更時に通知は送りません。
発行元の認証局を自分で選びたい場合は、高度な証明書を注文 してください。
Universal 証明書の有効期間は Cloudflare が制御します。詳細は 有効期間と更新 を参照してください。
暗号スイートのカスタマイズ は、Advanced Certificate Manager または Cloudflare for SaaS でのみ利用できます。
最小 TLS バージョン はゾーン単位で設定できます。ただしホスト名単位の設定には、Advanced Certificate Manager が必要です。
Delegated DCV を使うと、部分 DNS セットアップ のゾーンは DCV プロセスを Cloudflare に委任できます。DCV の委任は Universal SSL 証明書では動作せず、高度な証明書 が必要です。
Universal SSL は Cloudflare Spectrum と互換性がありません。Spectrum を使う場合は、高度な証明書 または カスタム証明書 を使ってください。
内部制限により、Universal SSL 証明書はデフォルトで 負荷分散ホスト名 を対象にしません。この動作は将来修正される予定です。
ブラウザーサポートの詳細は、ブラウザー互換性 を参照してください。
商標ドメインと衝突する語を含むドメインは、Universal SSL の対象外になることがあります。
この問題を解決するには、次のいずれかを行います。
Cloudflare は、Universal、アドバンスト、カスタムホスト名の証明書に対して HTTP Public Key Pinning（HPKP）をサポートしていません。詳細と推奨する代替手段は 証明書ピンニング を参照してください。