高度な証明書

Universal SSL より細かくカスタマイズしたいが、SSL 証明書の発行と更新の手軽さは残したい場合は、高度な証明書を使います。

高度な証明書を注文するには、Advanced Certificate Manager アドオンを購入する必要があります。このアドオンで、次の機能も利用できます。

Advanced Certificate Manager では、次のことができます。

• 次の条件を満たす高度な証明書を注文できます。
  • 対象ホスト名として最大 50 ホストを含められます（ゾーン apex はこれらの 50 のうち 1 つである必要があります）。
  • 複数階層のサブドメインをカバーできます。
  • 選択した認証局（CA）から発行できます。
  • 希望する検証方法を使えます。
  • 希望する有効期間を設定できます。
• 委任 DCV を使って、CNAME セットアップ のゾーン向けに ドメインコントロール検証（DCV） を自動化できます。
• Total TLS を有効にして、プロキシされたホスト名を自動で保護できます。
• オリジン認証向けに カスタムトラストストア を選択できます。
• 暗号スイート と ホスト名ごとの最小 TLS バージョン を制御できます。

高度な証明書は、Cloudflare Pages や R2 のカスタムドメインには適用されません。証明書の優先順位 により、これらの製品は代わりに Cloudflare for SaaS の証明書を使います。

高度な証明書は Domain Validated（DV） です。組織で Organization Validated（OV）または Extended Validation（EV）証明書が必要な場合は、カスタム証明書 を参照してください。

高度な証明書は、単一ドメイン内のホスト名をカバーします。複数ドメインにまたがる証明書（マルチドメイン証明書）が必要な場合は、Cloudflare for SaaS を使います。アーキテクチャの案内は、SaaS アプリケーションで Cloudflare を活用する を参照してください。

Advanced Certificate Manager は、深い多階層サブドメイン（例: api.staging.example.com）をサポートします。サブドメイン階層数に任意の上限はありませんが、次の制約を考慮する必要があります。

これらの制限はインターネット標準（RFC 1035 ↗ と RFC 5280 ↗）で定義されており、認証局に関係なくすべての証明書に適用されます。

• ドメイン全体の長さ: ドメイン名全体は 253 文字を超えられません。
• ラベルの長さ: 各階層（ドットで区切られたテキスト）は 63 文字を超えられません。
• Common Name（CN）の長さ: 証明書の Common Name フィールドは 64 文字を超えられません。証明書上のホスト名が 64 文字を超える場合は、API で証明書を注文し、cloudflare_branding オプションを true に設定する必要があります。これにより、CN フィールドに sni.cloudflaressl.com が入り、長いホスト名は SAN フィールドに入ります。ダッシュボードでは、64 文字を超えるホスト名の証明書注文はサポートされていません。

ワイルドカード証明書がカバーするのは 1 階層のサブドメインだけ です。

• *.example.com の証明書は www.example.com と api.example.com をカバーしますが、api.staging.example.com は カバーしません。
• 複数階層をカバーするには、各階層のワイルドカードを証明書に明示的に追加する必要があります（例: *.example.com、*.staging.example.com）。

1 つの高度な証明書には、合計で最大 50 ホスト（SAN）を含められます。ゾーン apex はこれらの 50 のうち 1 つである必要があるため、追加のホスト名またはワイルドカードは最大 49 件です。

上記の文字数制限（全体 253 文字、ラベル 63 文字、CN 64 文字）は IETF 標準（RFC 1035 ↗、RFC 5280 ↗）で定義されており、すべての CA に一律に適用されます。証明書あたりの SAN 数やサポートされる有効期間など、その他の制約は Cloudflare の高度な証明書の制限であるか、CA によって異なります。CA 固有の詳細は 認証局 を参照してください。

• 高度な証明書を管理する
• API コマンド