HTTPS no funciona con Cloudflare activo (ERR_SSL_VERSION_OR_CIPHER_MISMATCH, 525, 526)

Todos nuestros hostings tienen certificados SSL gratuitos que se instalan y renuevan solos. Pero cuando activas Cloudflare, el certificado que ven los visitantes es el que genera Cloudflare, no el nuestro. Si ese certificado falla, la web deja de funcionar por HTTPS.

Con Cloudflare hay dos conexiones: del visitante a Cloudflare y de Cloudflare a nuestro servidor. El error que ves te dice cuál falla.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH o certificado no reconocido

Es el error típico justo después de activar Cloudflare (en Firefox aparece como SSL_ERROR_NO_CYPHER_OVERLAP). Significa que Cloudflare todavía no tiene un certificado válido para ese dominio o subdominio.

1. En el panel de Cloudflare, entra en tu dominio y ve a SSL/TLS > Edge Certificates.
2. Busca el certificado de tipo Universal y mira su estado:
   • Pending (o cualquier cosa distinta de Active): Cloudflare aún lo está emitiendo. Puede tardar desde 15 minutos hasta 24 horas. Si no puedes esperar, pausa Cloudflare mientras tanto: en la página Overview del dominio, pulsa Pause Cloudflare on Site. La web funcionará con nuestro certificado y, cuando el de Cloudflare esté Active, lo reactivas.
   • Active: el certificado está bien; sigue con el punto 3.
3. En DNS > Records, comprueba que el registro del nombre que falla (dominio.com, www…) tiene el Proxy status en Proxied (nube naranja). Si está en DNS only, el certificado de Cloudflare no se usa para ese nombre.
4. Si el nombre que falla es un subdominio de segundo nivel, como tienda.eu.dominio.com, el certificado gratuito no lo cubre: solo cubre dominio.com y los subdominios de primer nivel (tienda.dominio.com). Pon ese registro en DNS only o usa un certificado avanzado de pago de Cloudflare.

Si después de 24 horas el certificado sigue sin activarse, en SSL/TLS > Edge Certificates desactiva Universal SSL y vuelve a activarlo para que Cloudflare lo emita de nuevo. Mientras tanto la web no funcionará por HTTPS, así que pausa Cloudflare antes. Más detalles en la guía de Cloudflare sobre este error.

Error 525: SSL handshake failed

Cloudflare no ha podido establecer la conexión segura con nuestro servidor. Suele pasar cuando el dominio no tiene un certificado instalado en el hosting.

En cPanel, entra en Seguridad > SSL/TLS Status y pulsa Run AutoSSL. Comprueba después que el dominio y su www aparecen con un certificado válido. Cuando el certificado esté instalado, el error desaparece. Si AutoSSL falla, el motivo suele aparecer en esa misma pantalla.

Error 526: Invalid SSL certificate

Cloudflare está en modo Full (strict) y el certificado del hosting no es válido para ese nombre: ha caducado, no incluye el subdominio o es autofirmado. La solución es la misma que con el 525: ejecuta Run AutoSSL en SSL/TLS Status para el dominio y sus subdominios.

Qué modo de cifrado usar

En SSL/TLS > Overview, usa Full (strict). Nuestros certificados gratuitos son válidos, así que Cloudflare puede comprobarlos.

No uses Flexible: con ese modo Cloudflare se conecta a nuestro servidor sin cifrar y, si la web redirige a HTTPS (lo habitual), provoca un bucle de redirecciones (ERR_TOO_MANY_REDIRECTS).

Para el resto de ajustes de Cloudflare, consulta la gestión avanzada de Cloudflare desde su web.