Diagnosticar erros HTTPS com o Cloudflare ativo

Com o Cloudflare existem duas ligações TLS distintas: do visitante ao Cloudflare e do Cloudflare ao servidor de origem. Cada uma pode apresentar um certificado diferente. Registe primeiro o erro exato e verifique que troço está a falhar.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Em Cloudflare > SSL/TLS > Edge Certificates, verifique se o Universal SSL está ativo e cobre o hostname. Confirme também que o registo DNS correto está em proxy. O erro não demonstra, por si só, que o Cloudflare tenha falhado ao emitir o certificado.

Erro 525

O Cloudflare não conseguiu concluir o handshake TLS com a origem. Verifique se o servidor responde na porta 443 para esse hostname, apresenta o certificado através de SNI e admite uma configuração TLS compatível. Cruze a hora com os registos TLS da origem.

Erro 526

Com Full (strict), o Cloudflare não conseguiu validar o certificado apresentado pela origem. Reveja a validade, se o hostname está incluído no SAN, a cadeia completa e a confiança. Execute o AutoSSL a partir de SSL/TLS Status se o certificado público do alojamento não for válido.

Mantenha Full (strict) quando a origem tiver um certificado válido. Não mude para Flexible nem retire e volte a adicionar o domínio como teste: essas ações podem ocultar a falha ou alterar o DNS, a cache e as regras sem identificar a causa.

Cobertura do certificado e testes diretos

Numa zona com configuração DNS completa, o Universal SSL cobre normalmente a raiz e o primeiro nível de subdomínios. Não presuma que cobre também tienda.eu.dominio.com: reveja os nomes do certificado e as limitações do Universal SSL. Outros tipos de configuração podem ter uma cobertura diferente.

Um certificado Cloudflare Origin CA foi concebido para a ligação entre o Cloudflare e a origem e não é de confiança geral para os navegadores. Se, ao testar a origem diretamente, aparecer um aviso, distinga esse caso de um certificado público expirado antes de o substituir.

Guarde o hostname, a hora e o identificador Ray ID, se aparecer. Os guias oficiais dos erros 525 e 526 ajudam a interpretar o troço afetado; não desative a validação TLS para dar o incidente por resolvido.