Diagnostiquer les erreurs HTTPS avec Cloudflare actif

Avec Cloudflare, il existe deux connexions TLS distinctes : du visiteur vers Cloudflare et de Cloudflare vers le serveur d'origine. Chacune peut présenter un certificat différent. Relevez d'abord l'erreur exacte et vérifiez quel tronçon est en échec.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Dans Cloudflare > SSL/TLS > Edge Certificates, vérifiez que Universal SSL est actif et couvre le nom d'hôte. Vérifiez aussi que le bon enregistrement DNS passe par le proxy. Cette erreur ne prouve pas à elle seule que Cloudflare n'a pas réussi à émettre le certificat.

Erreur 525

Cloudflare n'a pas pu terminer le handshake TLS avec l'origine. Vérifiez que le serveur répond sur le port 443 pour ce nom d'hôte, présente le certificat via SNI et accepte une configuration TLS compatible. Rapprochez l'heure de l'erreur des journaux TLS de l'origine.

Erreur 526

En mode Full (strict), Cloudflare n'a pas pu valider le certificat présenté par l'origine. Vérifiez l'expiration, la présence du nom d'hôte dans le SAN, la chaîne complète et la confiance. Lancez AutoSSL depuis État SSL/TLS si le certificat public de l'hébergement n'est pas valide.

Conservez Full (strict) lorsque l'origine dispose d'un certificat valide. Ne passez pas en Flexible et ne retirez pas le domaine pour l'ajouter à nouveau à titre de test : ces actions peuvent masquer la panne ou modifier le DNS, le cache et les règles sans identifier la cause.

Couverture du certificat et tests directs

Dans une zone avec une configuration DNS complète, Universal SSL couvre normalement la racine et le premier niveau de sous-domaines. Ne supposez pas qu'il couvre aussi tienda.eu.dominio.com : vérifiez les noms du certificat et les limitations de Universal SSL. D'autres types de configuration peuvent avoir une couverture différente.

Un certificat Cloudflare Origin CA est conçu pour la connexion entre Cloudflare et l'origine et n'est pas reconnu de façon générale par les navigateurs. Si une alerte apparaît en testant l'origine directement, distinguez ce cas d'un certificat public expiré avant de le remplacer.

Conservez le nom d'hôte, l'heure et l'identifiant Ray ID s'il apparaît. Les guides officiels des erreurs 525 et 526 aident à interpréter le tronçon concerné ; ne désactivez pas la validation TLS pour considérer l'incident comme résolu.