Cloudflare オリジン CA を使うときの、よくある問題と対処を次にまとめます。
Cloudflare オリジン CA 証明書を使っているサブドメインで Cloudflare を一時停止 するか、プロキシを無効にすると、サイト訪問者に信頼できない証明書のエラーが表示されることがあります。これらの証明書は、Cloudflare とオリジンサーバー間のトラフィックだけを暗号化します。クライアントブラウザーからオリジンへのトラフィックは暗号化しません。
SSL Labs などの SSL 検証ツールも、この証明書を無効と判定します。
- DNS レコードの プロキシステータス と、ある場合は Page Rules の設定を確認します。正しければ、プロキシを一度オフにしてからオンに戻し、数分待ちます。
- クライアントとオリジンサーバーを直接つなぐ必要がある場合は、オリジンに公的に信頼される証明書を入れることを検討してください。この手順は Cloudflare の外で行い、任意の 認証局（CA） から証明書を発行します。Cloudflare のトラストストア ↗ に載っている CA であれば、Full (strict) の 暗号化モード も使えます。
一部のオリジン Web サーバーでは、Cloudflare オリジン CA のルート証明書または証明書チェーンのアップロードが必要です。
次のリンクから ECC 版または RSA 版をダウンロードし、オリジン Web サーバーにアップロードします。
- Cloudflare Origin ECC PEM（Apache cPanel では使わないでください）
- Cloudflare Origin RSA PEM
Apache cPanel では、Cloudflare オリジン CA のルート証明書または証明書チェーンのアップロードが必要です。
次のリンクからルート証明書の RSA 版をダウンロードし、オリジン Web サーバーにアップロードします。
ダッシュボードで Origin CA を発行しようとすると、次のエラーが出ます。Failed to validate requested hostname <hostname>: This zone is either not part of your account, or you do not have access to it。
既知の問題です。Cloudflare ダッシュボード上で作成する場合でも、Origin CA は作成ユーザーの API アクセスを必要とします。ユーザーに API Access がないと、このエラーが返ります。
証明書を作成するユーザーが API にアクセスできることを確認します。アカウントの Members ページで確認できます。
Members を開く ↗- アカウントのデフォルト設定は、Enable API Access カードにあります。
- ユーザー単位の API Access（デフォルトを上書きできます）は、メンバー一覧でそのユーザーを選ぶと表示されます。