Cloudflare SSL/TLS: Flexible, Full ou Strict, qual escolher
Guia para escolher o modo SSL/TLS da Cloudflare no seu site: o que fazem Flexible, Full e Full (strict) e como corrigir o erro de redirecionamentos em excesso.
Você muda o modo de criptografia do seu domínio na Cloudflare para tirar o aviso de “site não seguro” e, de repente, o navegador responde “esta página redirecionou você muitas vezes”. Seu site caiu justo quando uma campanha levava tráfego. Quase sempre o culpado é a mesma opção mal escolhida.
O que faz o modo SSL/TLS da Cloudflare?
Define se a conexão é criptografada em cada um dos dois trechos: do visitante até a Cloudflare e da Cloudflare até o seu servidor. Com a Cloudflare no meio, o seu site não tem uma conexão, mas duas, e cada modo decide quais protege, segundo a documentação da Cloudflare.
Por isso um cadeado verde no navegador não garante que todo o percurso esteja criptografado: esse cadeado só fala do primeiro trecho.
Qual é a diferença entre Flexible, Full e Full (strict)?
O Flexible criptografa só o primeiro trecho, o Full criptografa os dois sem validar o certificado e o Full (strict) criptografa os dois e valida o certificado. Assim a Cloudflare os descreve:
| Modo | Visitante até a Cloudflare | Cloudflare até o seu servidor |
|---|---|---|
| Off | Sem criptografia | Sem criptografia |
| Flexible | Pode usar HTTPS | Sem criptografia (HTTP) |
| Full | Pode usar HTTPS | HTTPS sem validar o certificado |
| Full (strict) | Pode usar HTTPS | HTTPS validando o certificado |
| Strict (SSL-Only Origin Pull) | Pode usar HTTPS | Sempre HTTPS, com certificado validado |
O certificado do Full (strict) pode vir de uma autoridade pública, como a Let’s Encrypt, ou da Origin CA da Cloudflare.
Qual modo é o ideal para mim?
Use Full (strict) se o seu servidor tem um certificado válido, e Full se o certificado é autoassinado. A Cloudflare recomenda fortemente Full ou Full (strict) para evitar conexões maliciosas com o seu servidor de origem. O Flexible fica para servidores que não suportam TLS, e a própria documentação aconselha melhorar essa configuração assim que puder.
A Cloudflare também oferece SSL/TLS automático, que escolhe o modo mais seguro que o seu servidor suporta e o aplica de forma gradual. Atenção: ele não faz downgrade para um modo menos seguro, então o seu certificado deve se manter válido.
Por que meu site diz “redirecionamentos em excesso”?
Quase sempre é o modo Flexible junto com um redirecionamento para HTTPS no seu servidor. A Cloudflare explica assim: no Flexible, a Cloudflare se conecta ao seu servidor por HTTP, o seu servidor responde “vá para HTTPS”, a Cloudflare pede de novo por HTTP e o ciclo não termina.
Você tem três saídas, segundo a documentação:
- Remover o redirecionamento para HTTPS no seu servidor.
- Mudar para Full ou Full (strict), que exige certificado no servidor.
- Forçar HTTPS pela Cloudflare, sem redirecionamentos no servidor.
Erro comum: ativar o Always Use HTTPS na Cloudflare e ainda deixar um redirecionamento para HTTPS no seu servidor. A Cloudflare recomenda não fazer esse redirecionamento na origem, porque pode causar loops.
O que o Always Use HTTPS faz e o que não faz?
Redireciona todas as visitas de http para https em todos os subdomínios da sua aplicação. Segundo a documentação da Cloudflare, está disponível nos planos Free, Pro, Business e Enterprise, e a opção não aparece se o modo de criptografia está em Off. Você ativa em SSL/TLS, Edge Certificates.
Dois limites que convém conhecer: não corrige o conteúdo misto (imagens ou scripts carregados por http dentro de uma página https), e você não deve ativá-lo se apenas uma parte da sua aplicação suporta HTTPS.
Como configuro passo a passo?
Revise o modo atual, confirme que o seu servidor tem certificado válido e passe para Full (strict). Antes de mexer em qualquer coisa, abra o seu site em uma janela privada e anote se carrega bem. Depois mude o modo, recarregue e teste de novo as páginas-chave, incluindo as das suas campanhas.
Se você está montando a sua infraestrutura, veja o que inclui o plano grátis da Cloudflare, como migrar do WordPress para o Cloudflare Pages sem perder SEO e o que controlam os cabeçalhos HTTP de segurança e cache. E se você ainda não tem domínio, veja se .co ou .com combina com você.
Em resumo
Escolha Full (strict) sempre que o seu servidor tiver certificado válido, e evite o Flexible a menos que não tenha outra opção. Assim você não verá seu site fora do ar por um loop de redirecionamentos bem no meio de uma campanha. Se preferir que a gente configure e deixe testado, conheça o nosso serviço de hospedagem e domínios.
Perguntas frequentes
Qual modo SSL/TLS da Cloudflare devo usar?
A Cloudflare recomenda Full ou Full (strict) sempre que possível, para evitar conexões maliciosas com o seu servidor de origem.
Qual é a diferença entre Full e Full (strict)?
Em ambos, o trecho até o seu servidor é criptografado, mas apenas o Full (strict) valida o certificado da origem. O Full aceita certificados não validados.
Por que meu site mostra redirecionamentos em excesso?
Segundo a Cloudflare, acontece no modo Flexible se o seu servidor redireciona todo o tráfego HTTP para HTTPS. A Cloudflare se conecta por HTTP e o ciclo se repete.
O Always Use HTTPS corrige o conteúdo misto?
Não. A Cloudflare esclarece que forçar HTTPS não corrige o conteúdo misto: as páginas devem usar links relativos ou HTTPS.
Não fique só na teoria: aplique no seu negócio
Implementamos hospedagem e domínios de ponta a ponta, com a sua operação real. A primeira conversa não tem custo.
