どのCloudflare SSLオプションがCloudflareとオリジンWebサーバー間のHTTPSトラフィックを暗号化するのかをご確認ください。

概要

CloudflareSSL/TLSアプリのSSLセクションにはいくつかのオプションがあり、これらがCloudflareがオリジンWebサーバーに安全に接続できるかを決定します。

各SSL オプションの説明を確認した後、オリジンWebサーバーSSL設定に合わせて、当社の推奨SSLオプションの一覧を参照してください。

• オフ
• Flexible
• Full
• Full（strict）
• Strict（SSL-オリジンプルのみ）

Off にすると、サイト訪問者のためのHTTPSが無効になりますが、Full（Strict）では、エンドツーエンドで最大限のトラフィックセキュリティを提供します。

オフ

Offにすると、訪問者とCloudflare間や、CloudflareとオリジンWebサーバー間で、安全なHTTPS接続が無効になってしまいます。訪問者は、WebサイトをHTTPでのみ閲覧できます。HTTPS経由で接続を試行すると、暗号化されていないHTTPにリダイレクトされるHTTP301になります。

Flexible

Flexible SSL オプションにすると、訪問者とCloudflare間のHTTPS接続が安全になりますが、Cloudflareは暗号化されていないHTTPを通じてオリジンWebサーバーに接続せざるを得なくなります。SSL証明書がオリジンWebサーバーで必要とされることはなく、訪問者もHTTPSが有効な状態でサイトを閲覧することができるようになります。

Full

Fullは、訪問者とCloudflareドメイン間、CloudflareとオリジンWebサーバー間の安全な接続を確保します。

525エラーを回避するには、FullSSLオプションを有効にする前に、オリジンWebサーバーがHTTP接続をポート443で許可し、自己署名SSL証明書か、CloudflareオリジンCA証明書、または認証局から購入した有効な証明書のいずれかを提示するように設定します。

Full（strict）

Full（strict）は、訪問者とCloudflareドメイン間、CloudflareとオリジンWebサーバー間の両方で安全な接続を確保します。Full（Strict）はCNAMEターゲットに対するSSLホスト名の検証をサポートします。

オリジンWebサーバーがポート443でHTTPS接続ができるように許可し、Cloudflare オリジンCA証明書か、認証局から購入した有効な証明書のいずれかを提示するように設定します。この証明書は、Cloudflareが信頼する認証局によって署名されていること、有効期限内であること、要求されるドメイン名（ホスト名）を対象としていることが必要です。

Strict（SSL-オリジンプルのみ）

Strict（SSL-オリジンプルのみ）は、SSL/TLS暗号化（HTTPS）を使い、CloudflareのネットワークがオリジンWebサーバーと常時接続するように指示を出します。オリジンWebサーバーに提示されるSSL証明書は、Cloudflareが信頼する認証局に署名されていること、有効期限内であること、リクエストされるドメイン名（ホスト名）をカバーしていることが必要です。

SSL/TLS 推奨

ご自分のドメインがよりセキュアなSSL/TLSモードにアップグレードが可能かを確認するには、SSL/TLS 推奨を有効にしてください。

推奨にすると、コンテンツを保ちながら、セキュリティを最大限にするために、以下のことを行います。

• HTTPとHTTPSで配信された場合で、コンテンツに違いがないかをチェックします
• 有効なSSL証明書を探します
• 暗号化された接続と暗号化されていない接続で再帰的にクロールします

有効になると、SSL/TLS 推奨は、（利用できる場合に）SSLオプション推奨のメールをゾーンの所有者に送信します。Cloudflareの推奨タグがSSL/TLSページの推奨オプションの隣に表示されます。メールを受信されない場合は、現行モードをそのまま使用してください。推奨を使用する必要はありません。推奨は定期的に実行され、新しい推奨が利用できるようになると通知が送信されます。推奨が現行の設定を下回るSSLオプションを推奨することは決してありません。

SSL/TLS 推奨は、Webサイトまたはドメインの機能性の問題を解決することを目的とはしていません。以下の場合、推奨は、他のCloudflareの機能と互換性がないため、スキャンを完了することができず、Cloudflareの推奨タグを表示します：

• ドメインが機能しない場合
• WebサイトのためにCloudflare Workersを有効にしている場合
• すべてのボットをブロックしている場合
• アクティブなSSL固有のPage Ruleを設定している場合

SSL/TLS 推奨は、オリジンスキャンを行う際に、ユーザーエージェントの Cloudflare-SSLDetector を使用します。サービスに関するご質問やご相談は、 [email protected]までお問合せください。

関連リソース

学ぶ

• Cloudflareを利用したエンドツーエンドのHTTPS - Part 1：コンセプトの概要
• Cloudflareを利用したエンドツーエンドのHTTPS - Part 2：SSL証明書
• オリジンCA 証明書

トラブルシューティング

• SSLが機能しません。どうしてですか？
• リダイレクトループエラーを解決する
• トラブルシューティング 525エラー
• トラブルシューティング 526エラー
• Cloudflare 5XX エラーのトラブルシューティング