← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / reference

Řešení potíží

Ve výchozím nastavení můžete vydat až 15 certifikátů za minutu. Do limitu se počítají pouze úspěšná odeslání (požadavky POST, které vrátí 200). Pokud limit překročíte, vydávání nových certifikátů pro vás bude na 30 sekund zablokováno.

Pokud potřebujete vyšší limit frekvence požadavků, obraťte se na svého Customer Success Managera.

Chcete-li z mezipaměti Cloudflare odebrat konkrétní soubory, vymazat cache a zároveň zadáte jeden nebo více názvů hostitele.

Cloudflare vrátí chybu 1016, pokud vlastní hostitelský název nelze směrovat ani proxovat.

Chyba 1016 má tři hlavní příčiny:

1. Ověření vlastnictví Custom Hostname není dokončeno. Stav ověření zkontrolujte prostřednictvím API volání na vyhledat certifikát podle hostitelského názvu a zkontrolujte pole s chybou ověření: "verification_errors": ["custom hostname does not CNAME to this zone."].
2. Záložní origin není správně nastaveno. Ověřte, že jste pro záložní origin vytvořili DNS záznam a že jste záložní origin také nastavili.
3. Byl vytvořen Wildcard Custom Hostname, ale požadovaný hostitelský název je přiřazen k doméně, která v Cloudflare existuje jako samostatná zóna. V takovém případě priorita hostname pro samostatnou zónu bude mít přednost před zástupným vlastním hostname. Toto chování platí i v případě, že pro hostname této samostatné zóny neexistuje žádný záznam DNS.

V tomto scénáři musí být každý hostitelský název, který se má obsluhovat přes Cloudflare for SaaS nadřazená zóna musí být přidána jako samostatný Custom Hostname.

Při přechodu mezi poskytovateli SaaS může mít přednost starší konfigurace, pokud původní poskytovatel nastavil konkrétní vlastní hostitelský název a nový poskytovatel nastavil vlastní hostitelský název se zástupným znakem. Toto chování je očekávané podle priorita certifikátu a hostitelského názvu.

V tomto případě máte dvě možnosti, jak postupovat:

• (Doporučeno) Požádejte nového poskytovatele SaaS, aby vám namísto zástupného znaku poskytl konkrétní vlastní název hostitele. mystore.example.com místo *.example.com.
• Požádejte držitele role Super Administrator ve vašem účtu, aby se obrátil na Cloudflare Support k vyžádání aktualizace konfigurace SaaS.

Chcete-li vlastní hostitelský název vrátit do stavu Aktivní, odešlete Požadavek PATCH k restartování ověření hostname. Custom Hostname ve stavu Moved se po 7 dnech smaže.

Za určitých okolností se vlastní hostitelské názvy mohou dostat i do Přesunuto stav, pokud váš zákazník změní záznamy DNS směřující na vaši službu SaaS. Další podrobnosti najdete v Odstranění vlastních hostitelských názvů.

caa_error ve stavu vlastního hostname znamená, že záznamy CAA nakonfigurované na doméně zabránily certifikační autoritě vydat certifikát.

Jaké záznamy CAA jsou pro doménu nakonfigurované, můžete zjistit pomocí dig příkaz: dig CAA example.com

Budete muset zajistit, aby byly nakonfigurované požadované záznamy CAA pro vybranou certifikační autoritu. Například zde jsou záznamy potřebné k vydání Let's Encrypt ↗ a Google Trust Services ↗ certifikáty:

example.com CAA 0 issue "pki.goog; cansignhttpexchanges=yes"
example.com CAA 0 issuewild "pki.goog; cansignhttpexchanges=yes"

example.com CAA 0 issue "letsencrypt.org"
example.com CAA 0 issuewild "letsencrypt.org"

example.com CAA 0 issue "ssl.com"
example.com CAA 0 issuewild "ssl.com"

Podrobnosti uvádí Časté dotazy k záznamům CAA.

Nekonfigurujte vlastní hostname, který se shoduje s názvem zóny. Pokud je vaše SaaS zóna například example.com, nevytvářejte vlastní hostitelský název s názvem example.com.

Tato konfigurace způsobí chybu 403 Forbidden kvůli omezením přepsání DNS uplatňovaným z bezpečnostních důvodů. Toto omezení se týká i Worker Routes provádějících podřízené požadavky.

Jako Let's Encrypt, jedna z certifikační autority (CA) kterou Cloudflare používá, oznámila změny ve své řetězec důvěryhodnosti, od 9. září 2024 se u starších zařízení mohou vyskytnout problémy s připojením k certifikátu vašeho vlastního hostitelského názvu.

Zvažte následující řešení:

• Použijte Edit Custom Hostname endpoint pro nastavení certificate_authority parametr na prázdný řetězec (""): tímto se certifikát vlastního hostitelského názvu nastaví na možnost „výchozí CA“ a volba se ponechá na Cloudflare. Cloudflare se vždy pokusí vydat certifikát od kompatibilnější CA, například Google Trust Services, a na Let’s Encrypt přejde pouze v případě, že dojde k Záznam CAA v platnosti, které brání Google ve vydání certifikátu.

  Příklad volání API

  curl --request PATCH \
  "https://api.cloudflare.com/client/v4/zones/{zone_id}/custom_hostnames/{custom_hostname_id}" \
  --header "X-Auth-Email: <EMAIL>" \
  --header "X-Auth-Key: <API_KEY>" \
  --header "Content-Type: application/json" \
  --data '{
    "ssl": {
        "method": "txt",
        "type": "dv",
        "certificate_authority": ""
    }
  }'

• Použijte Edit Custom Hostname endpoint pro nastavení certificate_authority parametr na google: tím nastavíte Google Trust Services jako CA pro vaše vlastní hostitelské názvy. Ve volání API nezapomeňte zahrnout také method a type v ssl objekt.

• Pokud pro svůj vlastní hostitelský název používáte vlastní certifikát, přečtěte si řešení problémů s vlastními certifikáty.

funkce podržení zóny je přepínač, který zabrání aktivaci jejich zóny na jiném účtu Cloudflare. Pokud je zapnutý, Cloudflare nemůže vydat certifikát SSL/TLS jménem dané domény, ať už pro zónu, nebo vlastní hostname. Pokud je možnost Also prevent subdomains je zapnuté, brání to ověření vlastních hostname pro tuto doménu. Vlastní hostname zůstane ve stavu Blocked stav s následující chybovou zprávou: The hostname is associated with a held zone. Please contact the owner of this domain to have the hold removed. V takovém případě musí vlastník zóny zrušit podržení než se vlastní název hostitele může aktivovat.

Blocked stav je konečný: vlastní hostname se automaticky nebude znovu pokoušet o ověření. Po uvolnění podržení zóny vyberte Obnovit na vlastním hostitelském názvu v Cloudflare dashboardu, nebo odešlete Požadavek PATCH k vlastnímu hostname, aby se restartoval proces ověření. Jakmile je hostname ověřen, lze podržení zóny znovu povolit.

Omezení pole Obecný název (CN) stanovuje limit 64 znaků (RFC 5280 ↗). Pokud máte název hostitele, který tuto délku překračuje, může se zobrazit následující chyba:

Since no host is 64 characters or fewer, Cloudflare Branding is required. Please check your input and try again. (1469)

Chcete-li to vyřešit, můžete nastavit cloudflare_branding na true když vytváření vašich vlastních hostitelských názvů prostřednictvím API.

Branding Cloudflare znamená, že sni.cloudflaressl.com bude přidán jako Common Name (CN) certifikátu a dlouhý název hostitele bude zahrnut jako součást Subject Alternative Name (SAN).