Cloudflare の SSL/TLS 証明書の提供内容と、Cloudflare が提携する CA について、よくある質問をまとめます。
はい。Cloudflare は RSA 証明書と ECDSA 証明書の両方を発行できます。
いいえ。Cloudflare の SSL/TLS 証明書は、ドメイン間でもお客様間でも共有されません。
Cloudflare の証明書は、ホスト名の具体性、ゾーンの具体性、証明書タイプの組み合わせで優先順位が決まります。詳細は、証明書とホスト名の優先順位 を参照してください。
Cloudflare は、キャッシュと悪意のあるトラフィックのフィルタリングのため、トラフィックを復号する必要があります。ドメインの 暗号化モード に応じて、Cloudflare はトラフィックを再暗号化する、または平文のままオリジンウェブサーバーへ送ります。
Cloudflare は Let's Encrypt、Google Trust Services、SSL.com、Sectigo を使います。製品ごとの利用可能な CA とアルゴリズムの一覧は、認証局のリファレンスページ を参照してください。
Sectigo は バックアップ証明書 だけに使います。
パイプライン内の各 CA の制限一覧は、認証局のリファレンスページ を参照してください。デバイスとブラウザーの互換性についても、同ページで確認できます。
Business または Enterprise プランであれば、任意の CA から 証明書をアップロード できます。
CFSSL trust store ↗ を使えます。Cloudflare 管理証明書が使うすべての CA が含まれます。
Certificate Authority Authorization（CAA）DNS レコードは、ドメインの証明書を発行できる認証局（CA）を指定します。このレコードにより、不正な証明書発行の可能性が下がり、組織全体での標準化が進みます。
詳細は、CAA レコードを追加する を参照してください。
CAA レコードを評価するのは CA であり、Cloudflare ではありません。詳細は RFC 8659 ↗ を参照してください。
特定の CA を指定する CAA レコードを設定しても、Cloudflare がドメインの Universal 証明書または Advanced 証明書の発行に使う CA は変わりません。必要なら、Advanced 証明書を注文する ときに、Cloudflare 証明書に関連する CA を指定できます。
大規模な組織や、複数の担当者が SSL 証明書の取得を担う組織では、組織に適用されるすべての CA の発行を許可する CAA レコードを含めてください。そうしないと、組織のほかの部分で SSL 発行が意図せずブロックされることがあります。
各 Cloudflare CA に対応する CAA レコードは、認証局のリファレンスページ で確認できます。Cloudflare を DNS プロバイダーとして使っている場合は、CAA レコードは自動で追加されます。
CA を指定するには、Advanced Certificate Manager を購入する必要があります。Advanced Certificate Manager では、Advanced 証明書を注文するときに認証局を選ぶか、Total TLS を使うときにデフォルト CA を選べます。
Business または Enterprise プランであれば、任意の CA から 証明書をアップロード できます。この場合、証明書の発行と更新はご自身で管理します。
Free ゾーンの Universal 証明書は ECDSA 証明書だけを受け取ります。有料ゾーンは RSA 証明書と ECDSA 証明書を受け取ります。