← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management

Správa TLS

Mutual TLS (mTLS) ↗ přidává další vrstvu ochrany připojení aplikace tím, že ověřuje certifikáty na serveru i na klientovi. Při vytváření aplikace SaaS možná budete chtít vynutit mTLS k ochraně citlivých koncových bodů souvisejících se zpracováním plateb, aktualizacemi databáze a dalšími.

Minimum TLS Version povoluje pouze HTTPS připojení od návštěvníků, kteří podporují vybranou verzi protokolu TLS nebo novější. Cloudflare doporučuje TLS 1.2 v souladu s požadavky Payment Card Industry (PCI) Security Standards Council. Jako poskytovatel SaaS můžete minimální verzi TLS řídit jak pro celou zónu, tak pro jednotlivé vlastní hostitelské názvy.

Šifrovací sady jsou kombinací šifer používaných k vyjednání bezpečnostních nastavení během SSL/TLS handshake ↗. Jako poskytovatel SaaS můžete pomocí API určit konfigurace cipher suites pro celou svou zónu i cipher suites pro jednotlivé vlastní hostitelské názvy.

Povolení mTLS

Jakmile máte přidán vlastní hostitelský název, můžete povolit mTLS pomocí Cloudflare Access. V Cloudflare dashboard ↗, přejděte na Zero Trust a přidat ověřování mTLS s několika kliknutími.

Minimum TLS Version

Rozsah

Minimální verze TLS existuje jak jako nastavení na úrovni zóny (na Edge Certificates ↗ stránce v sekci Minimum TLS Version) a jako nastavení vlastního názvu hostitele. To znamená:

U vlastních hostname vytvořených přes API není nutné explicitně definovat hodnotu pro min_tls_version. V takovém případě se použije hodnota nastavená jako minimální verze TLS pro vaši zónu. Zda má daný vlastní hostname nastavenou konkrétní minimální verzi TLS, ověříte pomocí následujícího volání API.

Zkontrolujte nastavení TLS vlastního hostitelského názvu

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write
SSL and Certificates Read

Custom Hostname Details

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Příklad odpovědi

  "success": true,
  "result": {
    "id": "<CUSTOM_HOSTNAME_ID>",
    "ssl": {
      "id": "<CERTIFICATE_ID>",
      "bundle_method": "ubiquitous",
      "certificate_authority": "<CERTIFICATE_AUTHORITY>",
      "custom_certificate": "",
      "custom_csr_id": "",
      "custom_key": "",
      "expires_on": "",
      "hosts": [
        "app.example.com",
        "*.app.example.com"
      ],
      "issuer": "",
      "method": "http",
      "settings": {},
      "signature": "SHA256WithRSA",
      "type": "dv",
      "uploaded_on": "2020-02-06T18:11:23.531995Z",
      "validation_errors": [
        {
          "message": "SERVFAIL looking up CAA for app.example.com"
        }
      ],
      "validation_records": [
        {
          "emails": [
            "[email protected]",
            "[email protected]"
          ],
          "http_body": "ca3-574923932a82475cb8592200f1a2a23d",
          "http_url": "http://app.example.com/.well-known/pki-validation/ca3-da12a1c25e7b48cf80408c6c1763b8a2.txt",
          "txt_name": "_acme-challenge.app.example.com",
          "txt_value": "810b7d5f01154524b961ba0cd578acc2"
        }
      ],
      "wildcard": false
    },
  }

Kdykoli provedete změny vlastního hostitelského názvu přes dashboard, použije se hodnota nastavená pro Minimum TLS version. Pokud nastane scénář popsaný v odrážce výše, změna přes dashboard přepíše konfiguraci na úrovni zóny, která byla dosud uplatňována.
U vlastních hostname s povolenými zástupnými znaky přímý vlastní hostname, který vytvoříte (například saas-customer.test) použije nastavení specifické pro název hostitele, zatímco ostatní (sub1.saas-customer.test, sub2.saas-customer.test, atd.) se ve výchozím nastavení použije nastavení na úrovni zóny.

Nastavení

Minimální verze TLS pro vaši zónu

Viz Minimální verze TLS - SSL/TLS.

Minimální verze TLS pro vlastní hostitelský název

V dashboardu Cloudflare přejděte na Custom Hostnames stránce.
Přejděte na Custom Hostnames ↗
Najděte hostname, u kterého chcete použít Minimum TLS Version. Vyberte Úprava.
Požadovanou verzi TLS vyberte v části Minimum TLS Version a vyberte Save.

V dokumentaci API si přečtěte Vlastnosti SSL vlastního hostitelského názvu. Kromě settings specifikace musíte uvést type a method v rámci ssl objekt, jak je vysvětleno níže.

Vytvořte GET požadavek na Custom Hostname Details endpoint pro kontrolu aktuálních hodnot ssl.type a ssl.method.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write
SSL and Certificates Read

Custom Hostname Details

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Příklad odpovědi

  "success": true,
  "result": {
    "id": "<CUSTOM_HOSTNAME_ID>",
    "ssl": {
      "id": "<CERTIFICATE_ID>",
      "bundle_method": "ubiquitous",
      "certificate_authority": "<CERTIFICATE_AUTHORITY>",
      "custom_certificate": "",
      "custom_csr_id": "",
      "custom_key": "",
      "expires_on": "",
      "hosts": [
        "app.example.com",
        "*.app.example.com"
      ],
      "issuer": "",
      "method": "http",
      "settings": {},
      "signature": "SHA256WithRSA",
      "type": "dv",
      "uploaded_on": "2020-02-06T18:11:23.531995Z",
      "validation_errors": [
        {
          "message": "SERVFAIL looking up CAA for app.example.com"
        }
      ],
      "validation_records": [
        {
          "emails": [
            "[email protected]",
            "[email protected]"
          ],
          "http_body": "ca3-574923932a82475cb8592200f1a2a23d",
          "http_url": "http://app.example.com/.well-known/pki-validation/ca3-da12a1c25e7b48cf80408c6c1763b8a2.txt",
          "txt_name": "_acme-challenge.app.example.com",
          "txt_value": "810b7d5f01154524b961ba0cd578acc2"
        }
      ],
      "wildcard": false
    },
  }

Jakmile si tyto hodnoty poznamenáte, proveďte PATCH požadavek na Edit Custom Hostname endpoint a uveďte jak minimální verzi TLS, kterou chcete nastavit, tak stejný type a method hodnoty, které jste získali v předchozím kroku.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write

Edit Custom Hostname

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"ssl": {
				"method": "http",
				"type": "dv",
				"settings": {
						"min_tls_version:": "1.2"
				}
		}
	}'

Šifrovací sady

Z bezpečnostních a regulačních důvodů může být vhodné povolit připojení pouze z určitých sad šifer. Cloudflare poskytuje doporučené hodnoty a úplný přehled sad šifer v naší Dokumentace k sadám šifer.

Omezte cipher suites pro svou zónu

Viz Přizpůsobení cipher suites pro SSL/TLS.

Omezte cipher suites pro vlastní hostitelský název

V dokumentaci API si přečtěte Vlastnosti SSL vlastního hostitelského názvu. Kromě settings specifikace musíte uvést type a method v rámci ssl objekt, jak je vysvětleno níže.

Vytvořte GET požadavek na Custom Hostname Details endpoint pro kontrolu aktuálních hodnot ssl.type a ssl.method.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write
SSL and Certificates Read

Custom Hostname Details

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Příklad odpovědi

  "success": true,
  "result": {
    "id": "<CUSTOM_HOSTNAME_ID>",
    "ssl": {
      "id": "<CERTIFICATE_ID>",
      "bundle_method": "ubiquitous",
      "certificate_authority": "<CERTIFICATE_AUTHORITY>",
      "custom_certificate": "",
      "custom_csr_id": "",
      "custom_key": "",
      "expires_on": "",
      "hosts": [
        "app.example.com",
        "*.app.example.com"
      ],
      "issuer": "",
      "method": "http",
      "settings": {},
      "signature": "SHA256WithRSA",
      "type": "dv",
      "uploaded_on": "2020-02-06T18:11:23.531995Z",
      "validation_errors": [
        {
          "message": "SERVFAIL looking up CAA for app.example.com"
        }
      ],
      "validation_records": [
        {
          "emails": [
            "[email protected]",
            "[email protected]"
          ],
          "http_body": "ca3-574923932a82475cb8592200f1a2a23d",
          "http_url": "http://app.example.com/.well-known/pki-validation/ca3-da12a1c25e7b48cf80408c6c1763b8a2.txt",
          "txt_name": "_acme-challenge.app.example.com",
          "txt_value": "810b7d5f01154524b961ba0cd578acc2"
        }
      ],
      "wildcard": false
    },
  }

Jakmile si tyto hodnoty poznamenáte, proveďte PATCH požadavek na Edit Custom Hostname endpoint a uveďte jak seznam autorizovaných šifrovacích sad, tak stejný type a method hodnoty, které jste získali v předchozím kroku.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write

Edit Custom Hostname

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"ssl": {
				"method": "http",
				"type": "dv",
				"settings": {
						"ciphers": [
								"ECDHE-ECDSA-AES128-GCM-SHA256",
								"ECDHE-RSA-AES128-GCM-SHA256"
						]
				}
		}
	}'

Omezte cipher suites pro vlastní hostitelský název s vlastním certifikátem

V dokumentaci API si přečtěte Vlastnosti SSL vlastního hostitelského názvu. V případě vlastního hostname s vlastním certifikátem musíte vlastní certifikát uvést v Volání PATCH pro Edit Custom Hostname, s settings specifikace, kde musíte uvést type a method v rámci ssl objekt, jak je vysvětleno níže.

Vytvořte GET požadavek na Custom Hostname Details endpoint pro kontrolu aktuálních hodnot ssl.type a ssl.method.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write
SSL and Certificates Read

Custom Hostname Details

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Příklad odpovědi

  "success": true,
  "result": {
    "id": "<CUSTOM_HOSTNAME_ID>",
    "ssl": {
      "id": "<CERTIFICATE_ID>",
      "bundle_method": "ubiquitous",
      "certificate_authority": "<CERTIFICATE_AUTHORITY>",
      "custom_certificate": "",
      "custom_csr_id": "",
      "custom_key": "",
      "expires_on": "",
      "hosts": [
        "app.example.com",
        "*.app.example.com"
      ],
      "issuer": "",
      "method": "http",
      "settings": {},
      "signature": "SHA256WithRSA",
      "type": "dv",
      "uploaded_on": "2020-02-06T18:11:23.531995Z",
      "validation_errors": [
        {
          "message": "SERVFAIL looking up CAA for app.example.com"
        }
      ],
      "validation_records": [
        {
          "emails": [
            "[email protected]",
            "[email protected]"
          ],
          "http_body": "ca3-574923932a82475cb8592200f1a2a23d",
          "http_url": "http://app.example.com/.well-known/pki-validation/ca3-da12a1c25e7b48cf80408c6c1763b8a2.txt",
          "txt_name": "_acme-challenge.app.example.com",
          "txt_value": "810b7d5f01154524b961ba0cd578acc2"
        }
      ],
      "wildcard": false
    },
  }

Jakmile si tyto hodnoty poznamenáte, proveďte PATCH požadavek na Edit Custom Hostname endpoint a uveďte jak seznam autorizovaných šifrovacích sad, tak stejný type a method hodnoty, které jste získali v předchozím kroku, ale také custom_certificate a custom_key.

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:

SSL and Certificates Write

Edit Custom Hostname

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/custom_hostnames/$CUSTOM_HOSTNAME_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"ssl": {
				"method": "http",
				"type": "dv",
				"custom_certificate": "<CERTIFICATE_STRING>",
				"custom_key": "<CERTIFICATE_PRIVATE_KEY>",
				"settings": {
						"ciphers": [
								"ECDHE-ECDSA-AES128-GCM-SHA256",
								"ECDHE-RSA-AES128-GCM-SHA256"
						],
						"min_tls_version": "1.2"
				}
		}
	}'

Upozornění pro certifikáty mTLS

Můžete nakonfigurovat upozornění, abyste dostali oznámení před vypršením platnosti vašich certifikátů mutual TLS.

Upozornění na vypršení platnosti certifikátu mTLS pro Access

Pro koho je určeno?

Access zákazníkům, kteří používají klientské certifikáty pro vzájemné ověřování TLS. Toto oznámení se odešle 30 a 14 dní před vypršením platnosti certifikátu.

Další možnosti / filtry

Žádné.

Zahrnuto v

Nákup Access a/nebo Cloudflare for SaaS.

Co dělat, když upozornění obdržíte?

Nahrajte obnovený certifikát.

Viz Cloudflare Notifications pro další informace o nastavení upozornění.