オリジンが プロキシされたレコード からのトラフィックだけを受け取る場合は、Cloudflare オリジン CA 証明書を使って、Cloudflare とオリジン Web サーバー間のトラフィックを暗号化し、帯域使用量を削減します。デプロイ後、これらの証明書は Strict SSL モード と互換です。
オリジン CA 証明書の背景は、紹介ブログ記事 ↗ を参照してください。
| Free | Pro | Business | Enterprise | |
|---|---|---|---|---|
| 可用性 | はい | はい | はい | はい |
ダッシュボードでオリジン CA 証明書を作成するには、次の手順を行います。
-
Origin Server ページを開きます。
Origin Server を開く ↗ -
Origin Certificates タブで Create Certificate を選択します。
-
次のいずれかを選びます。
- Generate private key and CSR with Cloudflare: 秘密鍵の種類は RSA または ECC です。
- Use my private key and CSR: テキスト欄に証明書署名要求（CSR）を貼り付けます。
-
SSL 暗号化で保護する ホスト名（ワイルドカードを含む） を列挙します。ゾーン apex と第 1 レベルのワイルドカードホスト名は、デフォルトで含まれます。
-
Certificate Validity の期間を選びます。
-
Create を選択します。
-
Key Format を選びます。
- OpenSSL を使うサーバー（Apache や NGINX など）は、一般に PEM ファイル（Base64 エンコードの ASCII）を想定しますが、バイナリの DER ファイルでも動作します。
- Windows と Apache Tomcat を使うサーバーは PKCS#7（
.p7bファイル）が必要です。
-
署名済みの Origin Certificate と Private Key を別々のファイルにコピーします。セキュリティ上の理由で、この画面を閉じたあとに Private Key は表示できません。
-
OK を選択します。
オリジン Web サーバーにオリジン CA 証明書を追加するには、次の手順を行います。
- 手順 1 で作成したオリジン CA 証明書を、オリジン Web サーバーにアップロードします。
- Web サーバーの設定を更新します。
- Apache httpd ↗
- GoDaddy Hosting ↗
- Microsoft IIS 7 ↗
- Microsoft IIS 8 and 8.5 ↗
- Microsoft IIS 10 ↗
- NGINX ↗
- Apache Tomcat ↗
- Amazon Web Services ↗
- Apache cPanel ↗
- Ubuntu Server with Apache2 ↗
- （一部の環境で必須）Cloudflare CA ルート証明書 をオリジンサーバーにアップロードします。証明書チェーンと呼ばれることもあります。
- オリジン Web サーバーで SSL とポート
443を有効にします。
オリジン Web サーバーにオリジン CA 証明書をインストールしたあと、アプリケーションの SSL/TLS 暗号化モードを更新します。
すべてのオリジンホストがオリジン CA 証明書または公的に信頼される証明書で保護されている場合は、次の手順を行います。
-
SSL/TLS の概要ページを開きます。
Overview を開く ↗ -
SSL/TLS encryption mode で Full (strict) を選択します。
証明書で保護されていないオリジンホストがある場合は、Page Rule を使って、特定のアプリケーションの SSL/TLS encryption モードを Full (strict) に設定します。
鍵材料を紛失した場合や、証明書を信頼させたくない場合は、証明書を取り消せます。この処理は元に戻せません。
訪問者に安全でない証明書の警告が出ないように、証明書を取り消す前に SSL/TLS 暗号化 を Full または Flexible に設定することを検討してください。ゾーン全体は Cloudflare ダッシュボード ↗ で、特定のホスト名は Page Rule で設定します。
証明書を取り消すには、次の手順を行います。
-
Origin Server ページを開きます。
Origin Server を開く ↗ -
Origin Certificates タブで証明書を選びます。
-
Revoke を選択します。
一部のオリジン Web サーバーでは、Cloudflare オリジン CA のルート証明書または証明書チェーンのアップロードが必要です。次のリンクから ECC 版または RSA 版をダウンロードし、オリジン Web サーバーにアップロードします。
- Cloudflare Origin ECC PEM（Apache cPanel では使わないでください）
- Cloudflare Origin RSA PEM
証明書は、最大 200 個の個別の Subject Alternative Name（SAN）で生成できます。SAN は完全修飾ドメイン名（www.example.com）またはワイルドカード（*.example.com）の形式です。Cloudflare オリジン CA 証明書では、IP アドレスを SAN として使えません。
ワイルドカードがカバーするのは 1 階層だけです。ただし、同じ証明書で複数回使って対象を広げられます（例: *.example.com と *.secure.example.com を同時に使えます）。
オリジン CA 証明書に関する処理を自動化するには、次の API 呼び出しを使います。認証には、Zone-SSL and Certificates-Edit を含む Permissions を持つ API トークン を使います。
| 操作 | メソッド | エンドポイント |
|---|---|---|
| 証明書を一覧する | GET |
certificates?zone_id=<<ZONE_ID>> |
| 証明書を作成する | POST |
certificates |
| 証明書を取得する | GET |
certificates/<<ID>> |
| 証明書を取り消す | DELETE |
certificates/<<ID>> |
Cloudflare オリジン CA を設定したあとに NET::ERR_CERT_AUTHORITY_INVALID やその他の問題が起きた場合は、トラブルシューティング を参照してください。