Cloudflare Origin Certificate: SSL-сертификат на 15 лет

Cloudflare Origin Certificate — бесплатный SSL-сертификат, подписанный Cloudflare CA. Действует до 15 лет и не требует автопродления. Используется вместо Let's Encrypt для упрощения управления.

Отличия от Let's Encrypt

Создание Origin Certificate

SSL/TLS → Origin Server → Create Certificate:

• Hostnames: example.com, *.example.com
• Certificate Validity: 15 years
• Key type: RSA (2048) или EC (P-256)

Скачайте: Certificate (.pem) и Private Key (.key).

Установка на Nginx

# Сохранить файлы
sudo cp origin_cert.pem /etc/ssl/cloudflare/cert.pem
sudo cp private_key.key /etc/ssl/cloudflare/key.pem
sudo chmod 600 /etc/ssl/cloudflare/key.pem

# Конфиг Nginx
server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate /etc/ssl/cloudflare/cert.pem;
    ssl_certificate_key /etc/ssl/cloudflare/key.pem;
    
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

Установка на Apache

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /etc/ssl/cloudflare/cert.pem
    SSLCertificateKeyFile /etc/ssl/cloudflare/key.pem
</VirtualHost>

Частые ошибки при установке Origin Certificate

Почти все проблемы с Origin Certificate сводятся к трём причинам: устаревший файл сертификата, несовпадающая пара ключа или попытка обратиться к серверу в обход Cloudflare.

526 Invalid SSL certificate

Cloudflare получил от источника сертификат, который не может проверить: истёк срок действия, имя хоста не совпадает с доменом в запросе, либо на сервере установлен сертификат от другого домена. Проверьте, что ssl_certificate в Nginx указывает именно на файлы Origin Certificate, а не на старый Let's Encrypt.

nginx: [emerg] SSL_CTX_use_PrivateKey_file("/etc/ssl/cloudflare/key.pem") failed (SSL: error:0B080074:x509 certificate routines: X509_check_private_key:key values mismatch)

Приватный ключ не соответствует сертификату — типично при повторном создании Origin Certificate в панели Cloudflare без замены обоих файлов на сервере. Origin Certificate и Private Key выдаются один раз и парой; при перевыпуске старый ключ становится бесполезен, скачивайте и заменяйте оба файла сразу.

NET::ERR_CERT_AUTHORITY_INVALID

Такую ошибку браузер покажет при прямом обращении к IP-адресу сервера или к домену с отключённым проксированием (серое облако в DNS-записи). Origin Certificate подписан внутренним CA Cloudflare и не входит в списки доверенных корневых сертификатов браузеров — он действителен только когда трафик проходит через прокси Cloudflare.

RSA или ECDSA: какой тип ключа выбрать

Для типичного сайта на Nginx или Apache разница на практике незаметна — выбирайте RSA, если не уверены, потому что его поддерживают вообще все клиенты, включая устаревшие библиотеки в корпоративных сетях.

Когда Origin Certificate не подходит

Не используйте Origin Certificate, если планируете отключать проксирование Cloudflare (серое облако) для какого-либо поддомена — например, для почтового сервера или API, к которому клиенты обращаются напрямую по IP. В таких случаях нужен сертификат, которому доверяют браузеры и почтовые клиенты сами по себе: Wildcard SSL через Let's Encrypt. Origin Certificate также бесполезен для проверки через внешние сканеры вроде SSL Labs — они обращаются к серверу напрямую и покажут «сертификат не доверенный», хотя для реальных посетителей через Cloudflare всё работает нормально.

Как проверить результат

Не доверяйте только визуальному «замочку» в браузере — он покажет замок в любом случае, пока проксирование включено, даже если сертификат на origin-сервере битый.

# Проверить сертификат напрямую на origin-сервере, минуя Cloudflare
curl -vI --resolve example.com:443:YOUR_SERVER_IP https://example.com/ 2>&1 | grep -i "subject\|issuer"

# Проверить, что Cloudflare отдаёт публичный сертификат
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -issuer

Первая команда должна показать issuer «CloudFlare Origin SSL Certificate Authority» — это подтверждает, что на сервере установлен именно Origin Certificate. Вторая команда, выполненная снаружи, покажет публичный сертификат Cloudflare (Let's Encrypt или Google Trust Services) — так и должно быть, конечному пользователю Origin Certificate не виден вообще.

Частые вопросы

Нужно ли продлевать Origin Certificate так же, как Let's Encrypt?

Регулярное продление, как для Let's Encrypt, не требуется — срок действия Origin Certificate рассчитан на годы вперёд, а не на месяцы. Это не означает полного отказа от контроля: срок всё равно конечен, и стоит один раз поставить напоминание на дату истечения, чтобы не столкнуться с её неожиданным наступлением через длительное время после установки.

Можно ли использовать один и тот же Origin Certificate на нескольких серверах одновременно?

Да, один сертификат можно установить на несколько серверов, стоящих за одним и тем же доменом в Cloudflare, — например, на все узлы балансировщика нагрузки. Ограничений по числу серверов сертификат не накладывает, важно лишь скопировать на каждый сервер оба файла — сам сертификат и приватный ключ — и держать их с одинаково строгими правами доступа.

Что будет с сайтом, если внезапно отключить проксирование Cloudflare для домена с уже установленным Origin Certificate?

Браузер посетителей сразу начнёт показывать ошибку недоверенного сертификата, потому что Origin Certificate подписан внутренним центром сертификации Cloudflare и распознаётся только проксированным трафиком. Сайт формально продолжит отвечать на запросы, но для обычных посетителей станет недоступен из-за предупреждения безопасности, пока проксирование не включат заново или не установят отдельный публично доверенный сертификат.

Можно ли установить Origin Certificate через панель управления хостингом, а не вручную?

Это зависит от конкретной панели управления: некоторые панели хостинга позволяют вставить готовый сертификат и ключ в соответствующие поля интерфейса без правки конфигурации вручную, а другие такой возможности не предусматривают. В любом случае сертификат и ключ сначала нужно сгенерировать в панели Cloudflare, а уже затем переносить их на сервер тем способом, который поддерживает выбранная панель.