SSL/TLS режим в Cloudflare: где теряются безопасность и стабильность

SSL/TLS режим в Cloudflare: где теряются безопасность и стабильность

SSL/TLS режим определяет не «есть ли HTTPS», а как Cloudflare общается с origin. Ошибка здесь часто маскируется: сайт открывается, но часть трафика идёт без шифрования или с неожиданными редиректами.

Ключевые режимы:
— Off: Cloudflare говорит с клиентом по HTTPS, но до origin может идти HTTP.
— Flexible: шифрование только до edge, origin получает HTTP. Удобно для теста, опасно для продакшена.
— Full: HTTPS до origin есть, но сертификат не проверяется.
— Full (strict): шифрование есть, сертификат валиден. Это базовый рабочий режим для бизнеса.

Типовые проблемы начинаются, когда Flexible включают «временно» и забывают выключить. Итог — бесконечные 301, некорректные cookies, сломанные авторизации и ложное ощущение защищённого канала. Если origin уже умеет TLS, Flexible обычно создаёт лишние риски, а не пользу.

Full без strict тоже не панацея: сам факт шифрования не гарантирует, что вы подключились к нужному серверу. Для стабильной схемы нужен валидный сертификат на origin, корректный SNI и отсутствие конфликтов между редиректами на уровне приложения и CDN.

Выбор простой: для боевого контура используйте Full (strict), проверяйте цепочку сертификата и тестируйте сценарии входа, корзины и редиректов. Безопасность и скорость: находим баланс в каждой конфигурации.