HTTPS-Fehler bei aktivem Cloudflare diagnostizieren

Mit Cloudflare gibt es zwei getrennte TLS-Verbindungen: vom Besucher zu Cloudflare und von Cloudflare zum Ursprungsserver. Jede kann ein anderes Zertifikat vorweisen. Halten Sie zuerst den genauen Fehler fest und prüfen Sie, welcher Abschnitt fehlschlägt.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Prüfen Sie unter Cloudflare > SSL/TLS > Edge Certificates, ob Universal SSL aktiv ist und den Hostnamen abdeckt. Prüfen Sie außerdem, ob der richtige DNS-Eintrag über den Proxy läuft. Der Fehler allein beweist nicht, dass Cloudflare das Zertifikat nicht ausstellen konnte.

Fehler 525

Cloudflare konnte den TLS-Handshake mit dem Ursprungsserver nicht abschließen. Prüfen Sie, ob der Server für diesen Hostnamen auf Port 443 antwortet, das Zertifikat per SNI ausliefert und eine kompatible TLS-Konfiguration unterstützt. Gleichen Sie die Uhrzeit mit den TLS-Protokollen des Ursprungsservers ab.

Fehler 526

Mit Full (strict) konnte Cloudflare das vom Ursprungsserver vorgelegte Zertifikat nicht validieren. Prüfen Sie Ablaufdatum, den im SAN enthaltenen Hostnamen, die vollständige Kette und das Vertrauen. Führen Sie AutoSSL über SSL/TLS Status aus, wenn das öffentliche Zertifikat des Hostings nicht gültig ist.

Behalten Sie Full (strict) bei, wenn der Ursprungsserver ein gültiges Zertifikat hat. Wechseln Sie nicht zu Flexible und entfernen Sie die Domain nicht testweise, um sie erneut hinzuzufügen: Diese Schritte können den Fehler verdecken oder DNS, Cache und Regeln verändern, ohne die Ursache zu finden.

Abdeckung des Zertifikats und direkte Tests

In einer Zone mit vollständiger DNS-Einrichtung deckt Universal SSL normalerweise die Hauptdomain und die erste Ebene der Subdomains ab. Gehen Sie nicht davon aus, dass es auch tienda.eu.dominio.com abdeckt: Prüfen Sie die Namen im Zertifikat und die Einschränkungen von Universal SSL. Andere Einrichtungsarten können eine andere Abdeckung haben.

Ein Cloudflare Origin CA-Zertifikat ist für die Verbindung zwischen Cloudflare und dem Ursprungsserver gedacht und wird von Browsern nicht allgemein als vertrauenswürdig eingestuft. Wenn beim direkten Test des Ursprungsservers eine Warnung erscheint, unterscheiden Sie diesen Fall von einem abgelaufenen öffentlichen Zertifikat, bevor Sie es ersetzen.

Notieren Sie den Hostnamen, die Uhrzeit und die Ray ID, falls sie angezeigt wird. Die offiziellen Anleitungen zu 525 und 526 helfen, den betroffenen Abschnitt einzuordnen; deaktivieren Sie nicht die TLS-Validierung, nur um den Fall als gelöst zu betrachten.