暗号スイート

Cipher suite（暗号スイート）は、SSL/TLS ハンドシェイク ↗ 中にセキュリティ設定を交渉するために使う暗号の組み合わせです（そのため SSL/TLS プロトコルとは別のものです）。

このセクションでは、訪問者と Cloudflare ネットワークのあいだの接続で使う暗号スイートを扱います。Cloudflare とオリジンサーバーのあいだで使う暗号スイートは別に設定します。オリジンサーバー > 暗号スイートを参照してください。

PCI DSS などのコンプライアンス基準では、特定の暗号スイートが必須だったり、古いものが禁止されたりします。Qualys SSL Labs などのセキュリティテストツールは、Cloudflare のデフォルト設定にフラグを付けることがあります。

暗号スイートとエッジ証明書

Cloudflare のデフォルト暗号スイート（Legacy）はセキュリティと互換性のバランスを取るため、セキュリティテストツールがフラグを付ける古いアルゴリズムも含みます。

暗号スイートのカスタマイズはホスト名単位の設定です。指定すると、そのホスト名を配信するすべてのエッジ証明書に適用されます。証明書の種類（Universal、アドバンスト、カスタム）は問いません。

暗号スイートは独立して設定しますが、ほかの SSL/TLS 設定とも連動します。

クライアントが Web サイトやアプリケーションに接続するために必要な最小 TLS バージョンを指定できます。

たとえば最小を TLS 1.1 にすると、TLS 1.0 での接続は拒否され、TLS 1.1、1.2、または（有効な場合）1.3 での接続は許可されます。

特定の暗号スイートは、特定の TLS バージョンでのみ利用できます。古いアルゴリズムを除くより高いセキュリティレベルに暗号スイートを制限する場合は、最小 TLS バージョンも合わせて調整してください。

コンプライアンス基準では、Web サイトやアプリケーションへの接続で受け入れる最小 TLS バージョンの引き上げが求められることもあります。

TLS 1.3 の暗号スイートを個別に指定することはできません。代わりに、ゾーン全体で TLS 1.3 を有効にすると、Cloudflare は該当するすべての TLS 1.3 暗号スイートを使います。あわせて、TLS 1.0〜1.2 の弱い暗号スイートを無効にすることもできます。

Cloudflare は TLS 1.3 暗号スイートに対して、次の名前を返すことがあります。RFC 8446 ↗ の名前との対応は次のとおりです。

Cloudflare Pages のホスト名では、暗号スイートを設定できません。