新しい証明書が作成されると、Cloudflare はまず証明書をデプロイし、その後に配信します。
任意のホスト名に対して、Cloudflare は次の順序で、適用する証明書（と関連する TLS 設定）を決めます。
-
ホスト名の具体性:
www.example.comへのリクエストでは、特定のサブドメイン証明書（www.example.com）が、ワイルドカード証明書（*.example.com）より優先されます。 -
ゾーンの具体性: ドメインが Cloudflare 上でゾーンとしてアクティブな場合、特定のサブドメイン証明書（
www.example.com）が、カスタムホスト名の証明書より優先されます。 -
証明書の優先順位: ホスト名が同じ場合は、証明書の種類によって優先順位が決まります。
優先順位 証明書の種類 1 Keyless SSL 2 Custom Legacy 3 Custom Modern 4 Custom Hostname (Cloudflare for SaaS) 5 Advanced 6 Advanced - Total TLS 7 Universal -
証明書の有効期限: 証明書の削除が起きていない限り、いちばん新しく注文した証明書が優先されます。証明書が削除された場合は、有効期限がいちばん遅い証明書がデプロイされます。
TLS ハンドシェイクで使う証明書と設定は、次の順序で決まります。
- SNI の一致: SNI ホスト名と 完全に 一致する証明書と設定が優先されます。
- SNI ワイルドカードの一致: ホスト名と SNI ホスト名が完全一致しない場合、Cloudflare は SNI ワイルドカードに一致する証明書と設定を使います。
- IP アドレス: SNI が提示されない場合、Cloudflare は IP アドレスに基づく証明書を使います（そのホスト名は、SNI なしの TLS ハンドシェイクにも対応できます）。
1 つのホスト名に対して、複数の ゾーン に複数の プロキシ済み DNS レコード がある場合（多くは Cloudflare for SaaS が理由です）、ゾーン設定と関連するオリジンサーバーを制御するのは 1 つのレコードだけです。
各レコードが存在し、プロキシ済み（オレンジクラウド）である前提で、Cloudflare はこの優先順位を次の順で決めます。
-
ホスト名の完全一致:
- 新しいカスタムホスト名（SaaS プロバイダーに属する）
- レガシーカスタムホスト名（SaaS プロバイダーに属する）
- DNS（論理 DNS ゾーンに属する）
-
ワイルドカードホスト名の一致:
- DNS（論理 DNS ゾーンに属する）
- 新しいカスタムホスト名（SaaS プロバイダーに属する）
Cloudflare 上のゾーンで、ホスト名のリソースレコードがプロキシされていない（グレイクラウド）場合、そのゾーンの設定は適用されず、関連するオリジン側の設定が適用されます。このオリジンは、Cloudflare 上の別ゾーンでも、ほかのサーバーでもかまいません。
Customer1 は、ゾーン shop.example.com の権威 DNS として Cloudflare を使っています。Customer2 は SaaS プロバイダーで、新しいカスタムホスト名 shop.example.com を作成し、検証に成功 します。その後、トラフィックは Customer2 のゾーン経由でルーティングされます。
- Customer1 がゾーンの制御を取り戻したい場合は、Customer2 に連絡し、カスタムホスト名レコードの削除を依頼します。レコードのターゲットを SaaS プロバイダーのターゲット以外に更新しておいてください。そうしないと、
1014エラー になります。 - Customer1 がすでに
www.example.comのプロキシ済みレコードを持っている状態で、Customer2 が新しいカスタムホスト名www.example.comを作成して検証すると、O2O が適用されます。 - Customer1 がすでに、別の SaaS プロバイダー（Customer3）とのレガシーカスタムホスト名構成で
www.example.comのプロキシ済みレコードを持っており、Customer2 が*.example.comの新しいワイルドカードカスタムホスト名を作成して検証した場合は、ホスト名の完全一致により、Customer3 プラットフォーム上のレガシーカスタムホスト名が優先されます。
あるお客様が、ドメインに プロキシ済み の DNS レコードを持っています。Cloudflare 上のそのゾーンは Free プランです。
このお客様は、Cloudflare for SaaS を使う SaaS プロバイダーも利用しています。SaaS プロバイダーは Cloudflare の Enterprise プランです。
プロバイダーがワイルドカードカスタムホスト名を使っている場合、元のお客様のプラン上限が、プロバイダーのプラン上限より優先されます（Cloudflare はそのゾーンを Free ゾーンとして扱います）。Cloudflare for SaaS 経由で Enterprise の上限を適用するには、元のお客様のゾーンで DNS-only レコードを使うか、SaaS プロバイダーがホスト名の完全一致を使う必要があります。