SSL/TLS режимы Cloudflare: где ломается шифрование и почему это важно

SSL/TLS режимы Cloudflare: где ломается шифрование и почему это важно

Режим SSL/TLS определяет, как Cloudflare шифрует трафик между клиентом, edge и origin. Ошибка здесь редко выглядит как «не работает HTTPS» сразу: чаще появляются редирект-петли, mixed content, падение кэша или неожиданные 525/526.

• Off — шифрования до origin нет. Для публичного сайта это почти всегда технический долг, а не настройка.
• Flexible — до клиента HTTPS есть, до origin запрос идёт по HTTP. Удобно только как временный костыль; при принудительном редиректе на origin легко получить цикл.
• Full — шифрование до origin включено, но сертификат на сервере может быть самоподписанным.
• Full (strict) — самый правильный режим: Cloudflare проверяет валидность сертификата и цепочку доверия на origin.

Главная ошибка — включать Full (strict) без корректного сертификата на сервере. Вторая по частоте — оставлять Flexible вместе с редиректами HTTP→HTTPS на origin. Третья — забывать, что часть приложений генерирует абсолютные ссылки и ломает кэш или загружает ресурсы по HTTP.

Безопасность и скорость: находим баланс в каждой конфигурации. Если нужен стабильный продакшен, цель проста: Full (strict), валидный сертификат на origin, единая политика редиректов и проверка ответов на уровне edge.