Wenn Ihre Website hinter dem Cloudflare-Proxy betrieben wird (in den DNS-Einstellungen ist die orangefarbene Wolke aktiviert), stellt der Browser des Besuchers eine Verbindung zu Cloudflare her, und Cloudflare leitet die Anfrage an den Webhost weiter. Die Verschlüsselung erfolgt somit in zwei Schritten:

1. Besucher → Cloudflare: Dies wird automatisch durch das eigene Zertifikat von Cloudflare geschützt;
2. Cloudflare → Hosting (Origin): Dies wird durch die Einstellung des SSL/TLS-Verschlüsselungsmodus festgelegt.

Die Einstellung finden Sie auf der Cloudflare-Oberfläche im Menü „SSL/TLS“ der Domain auf der Seite „Übersicht“.

Die Modi

Bearbeiten	Cloudflare → Verbindung zum Webhosting	Empfohlen?
Aus	Keine Verschlüsselung	Nein
Flexibel	unverschlüsseltes HTTP	Nein
Vollständig	HTTPS, jedoch wird das Zertifikat des Webhosting-Anbieters nicht überprüft	Nur vorübergehend
Vollständig (streng)	HTTPS mit gültigem Zertifikat	Ja

Warum „Full (strict)“?

Der „Flexible“-Modus erweckt den Anschein, dass die Seite sicher ist (im Browser wird ein Schloss-Symbol angezeigt), doch die Daten – beispielsweise Passwörter und Formularinhalte – werden zwischen Cloudflare und dem Hosting-Anbieter unverschlüsselt übertragen. Der „Full“-Modus verschlüsselt die Daten, überprüft jedoch nicht, ob tatsächlich eine Verbindung zum Hosting-Anbieter besteht.

Der Modus „Full (strict)“ verschlüsselt beide Abschnitte und überprüft das Zertifikat des Webhosts. Hierfür ist ein gültiges Zertifikat auf dem Webhost erforderlich. Auf unseren Webhosting-Paketen ist dies bereits gegeben: AutoSSL beantragt automatisch für jede Domain ein kostenloses Let’s Encrypt-Zertifikat (siehe: Kostenloses Let’s Encrypt-Zertifikat auf dem Webhosting aktivieren). Somit lässt sich der „Full (strict)“-Modus ohne zusätzliche Kosten einrichten.

Häufige Fehler

Zu viele Weiterleitungen (ERR_TOO_MANY_REDIRECTS)

Dies ist ein klassischer Fehler des „Flexible“-Modus. Cloudflare ruft die Seite über HTTP ab, während auf dem Webhosting-Server eine Weiterleitung auf HTTPS eingerichtet ist. Daher leitet der Webhosting-Server die Anfrage auf HTTPS weiter, Cloudflare fordert die Seite erneut über HTTP an, und so weiter – bis ins Unendliche.

Lösung: Stellen Sie den Modus auf „Full (strict)“ ein. Sie können die Weiterleitung auf dem Webhosting-Server unverändert belassen oder stattdessen die Cloudflare-Einstellung „Always Use HTTPS“ aktivieren.

Fehler 526 (Ungültiges SSL-Zertifikat)

Der „Vollmodus“ (strikt) wird angezeigt, wenn das Zertifikat des cPanel-Hostings ungültig oder abgelaufen ist oder die Domain nicht enthält (beispielsweise gilt es nur für „pelda.hu“, nicht jedoch für „www.pelda.hu“). Überprüfen Sie auf der Seite „SSL-Zertifikate“ **in cPanel unter dem Reiter **„Status“, ob für die Domain und die Subdomain „www“ ein gültiges Zertifikat vorliegt. Falls dies nicht der Fall ist, hilft Ihnen der Artikel zu AutoSSL-Fehlern weiter.

Fehler 525 (SSL-Handshake fehlgeschlagen)

Cloudflare konnte keine verschlüsselte Verbindung zum Hosting-Server herstellen, in der Regel deshalb, weil auf dem Server überhaupt kein Zertifikat für die Domain vorhanden ist. Die Lösung ist dieselbe wie beim Fehler 526.

Cloudflare-Origin-Zertifikat

Cloudflare stellt im Menü „SSL/TLS → Origin Server“ ein kostenloses Origin-CA-Zertifikat mit einer Gültigkeitsdauer von bis zu 15 Jahren zur Verfügung, das Sie auf Ihrem Webhosting-Server installieren können. Dieses Zertifikat wird jedoch nur von Cloudflare akzeptiert, nicht von Browsern. Sollten Sie den Proxy später deaktivieren oder sollte jemand den Webhosting-Server direkt aufrufen, wird das Zertifikat einen Fehler melden. Da AutoSSL auf unseren Webhosting-Servern kostenlos ist und ein von Browsern akzeptiertes Zertifikat bereitstellt, ist das Origin-Zertifikat in der Regel nicht erforderlich.

Funktioniert AutoSSL hinter Cloudflare?

Ja, in den meisten Fällen. Die Überprüfung gelangt auch über Cloudflare zum Webhosting-Anbieter. Probleme können auftreten, wenn in Cloudflare der Modus „I’m Under Attack“, strenge Firewall-Regeln, ein Länderfilter oder eine Weiterleitung für den Pfad /.well-known/ eingerichtet sind. Legen Sie in diesem Fall eine Ausnahme für den Pfad „/.well-known/acme-challenge/“ fest oder deaktivieren Sie die Regel vorübergehend, bis der AutoSSL-Vorgang abgeschlossen ist. Die einzelnen Schritte werden im Artikel „AutoSSL hinter Cloudflare“ beschrieben.

Weitere Vorteile der Nutzung von Cloudflare finden Sie im Artikel „Beschleunigung Ihrer Website durch den Einsatz eines CDN“.