トラブルシューティング

エッジ証明書の暗号スイートで問題が起きた場合は、次のシナリオを参照してください。

Minimum TLS Version との互換性

ドメインの Minimum TLS Version を変更すると、そのドメインは指定した TLS プロトコルバージョンの HTTPS 接続だけを許可します。暗号スイートについてで説明しているとおり、暗号スイートと TLS バージョンは独立して設定しますが、密接に関連しています。

ドメインで TLS 1.2 の暗号をサポートしていない場合、Minimum TLS Version が原因で問題が起きることがあります。問題が起きたら、ドメインの Minimum TLS Version 設定と、Cloudflare の対応暗号一覧を確認してください。

サポートされている TLS バージョンをテストするには、TLS バージョンを指定して、ウェブサイトまたはアプリケーションへリクエストを送ります。

たとえば TLS 1.1 をテストするには、次の curl コマンドを使います。www.example.com を、ご自身の Cloudflare ドメインとホスト名に置き換えてください。

curl https://www.example.com -svo /dev/null --tls-max 1.1

テスト中の TLS バージョンが Cloudflare によってブロックされている場合、TLS ハンドシェイクは完了せず、次のエラーが返ります。

* error:1400442E:SSL routines:CONNECT_CR_SRVR_HELLO:tlsv1 alert

カスタム証明書をアップロードする場合は、ゾーンまたはホスト名に選んだ暗号スイートと証明書が互換であることを確認してください。

たとえば RSA 証明書をアップロードした場合、暗号スイートの選択を ECDSA 証明書だけに対応するものにはできません。

Cloudflare Pages のホスト名では、Minimum TLS Version も暗号スイートも設定できません。

Edit Custom Hostname エンドポイントを使うときは、ssl オブジェクト内に type と method を含め、あわせて settings の指定も含めてください。

settings だけを含めると、エラーメッセージ The SSL attribute is invalid. Please refer to the API documentation, check your input and try again になります。

TLS 1.3 の暗号スイートを個別に指定することはできません。代わりに、ゾーン全体で TLS 1.3 を有効にすると、Cloudflare は該当するすべての TLS 1.3 暗号スイートを使います。あわせて、TLS 1.0〜1.2 の弱い暗号スイートを無効にすることもできます。

Qualys SSL Labs ↗ のレポートに載っている WEAK の暗号スイートをすべて無効化しようとすると、命名規則が一致していないことに気づくことがあります。

これは、SSL Labs が RFC の暗号命名規則に従い、Cloudflare が OpenSSL の暗号命名規則に従うためです。名前の対応付けには、OpenSSL ドキュメント ↗ の暗号スイート名一覧が役立ちます。

Cloudflare 上のアプリケーションは CVE-2019-1559 の影響を受けませんが、一部のセキュリティスキャナーが誤ってフラグを付けることがあります。

この警告を消すには、暗号スイートをカスタマイズするを参照し、次の暗号を除外してください。