← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / reference

Устранение неполадок

По умолчанию вы можете выпускать до 15 сертификатов в минуту. В счёт лимита засчитываются только успешные запросы (POST-запросы, которые возвращают 200). Если вы превысите лимит, выпуск новых сертификатов будет заблокирован на 30 секунд.

Если вам нужен более высокий лимит частоты запросов, обратитесь к своему Customer Success Manager.

Чтобы удалить определённые файлы из кэша Cloudflare, очистить кэш и при этом указать одно или несколько имён хостов.

Cloudflare возвращает ошибку 1016, если пользовательское имя хоста невозможно ни маршрутизировать, ни проксировать.

У ошибки 1016 есть три основные причины:

1. Проверка владения Custom Hostname не завершена. Чтобы проверить статус проверки, выполните вызов API к найти сертификат по имени хоста и проверьте поле с ошибкой проверки: "verification_errors": ["custom hostname does not CNAME to this zone."].
2. Резервный исходный сервер не правильно настроено. Убедитесь, что вы создали DNS-запись для резервного исходного сервера и настроили сам резервный исходный сервер.
3. Wildcard Custom Hostname создан, но запрошенное имя хоста связано с доменом, который в Cloudflare уже существует как отдельная зона. В этом случае приоритет имени хоста для отдельной зоны будет иметь приоритет над подстановочным пользовательским именем хоста. Это применяется даже в том случае, если для имени хоста этой отдельной зоны не существует записи DNS.

В этом сценарии каждое имя хоста, которое должно обслуживаться через Cloudflare for SaaS родительскую зону нужно добавить как отдельный Custom Hostname.

При переходе между поставщиками SaaS более старая конфигурация может иметь приоритет, если прежний поставщик настроил конкретное пользовательское имя хоста, а новый настроил подстановочное пользовательское имя хоста. Такое поведение ожидаемо и описано в приоритет сертификата и хоста.

В этом случае у вас есть два варианта действий:

• (Рекомендуется) Попросите нового поставщика SaaS предоставить вам конкретное пользовательское имя хоста вместо подстановочного. mystore.example.com вместо *.example.com.
• Попросите Super Administrator вашего аккаунта связаться с Служба поддержки Cloudflare чтобы запросить обновление конфигурации SaaS.

Чтобы вернуть пользовательское имя хоста в статус Active, отправьте Запрос PATCH чтобы перезапустить проверку хостнейма. Custom Hostname в статусе Moved удаляется через 7 дней.

В некоторых случаях пользовательские имена хостов также могут переходить в состояние Перемещено состояние, если ваш клиент изменит записи DNS, указывающие на вашу службу SaaS. Подробнее см. в Удаление пользовательских имён хостов.

caa_error в статусе пользовательского имени хоста означает, что записи CAA, настроенные в домене, не позволили удостоверяющему центру выдать сертификат.

Вы можете проверить, какие записи CAA настроены в домене, с помощью dig команда: dig CAA example.com

Вам нужно убедиться, что настроены необходимые записи CAA для выбранного удостоверяющего центра. Например, вот записи, необходимые для выпуска Let's Encrypt ↗ и Google Trust Services ↗ сертификаты:

example.com CAA 0 issue "pki.goog; cansignhttpexchanges=yes"
example.com CAA 0 issuewild "pki.goog; cansignhttpexchanges=yes"

example.com CAA 0 issue "letsencrypt.org"
example.com CAA 0 issuewild "letsencrypt.org"

example.com CAA 0 issue "ssl.com"
example.com CAA 0 issuewild "ssl.com"

Подробнее см. в Часто задаваемые вопросы о записях CAA.

Не настраивайте пользовательское имя хоста, совпадающее с именем зоны. Например, если ваша зона SaaS называется example.com, не создавайте пользовательское имя хоста с именем example.com.

Эта конфигурация вызовет ошибку 403 Forbidden из-за ограничений на переопределение DNS, применяемых из соображений безопасности. Это ограничение также касается Worker Routes, выполняющих подзапросы.

Поскольку Let's Encrypt, один из удостоверяющие центры (УЦ) используемый Cloudflare, объявил об изменениях в своём цепочка доверия, начиная с 9 сентября 2024 года у более старых устройств могут возникать проблемы при попытке подключиться к сертификату вашего пользовательского имени хоста.

Рассмотрите следующие варианты решения:

• Используйте Edit Custom Hostname endpoint для настройки certificate_authority параметр в пустую строку (""): это устанавливает для сертификата пользовательского имени хоста значение «CA по умолчанию», оставляя выбор за Cloudflare. Cloudflare всегда будет пытаться выпустить сертификат от более совместимого центра сертификации (CA), например Google Trust Services, и будет использовать Let’s Encrypt только в качестве запасного варианта, если возникнет Запись CAA в силе, которая не позволяет Google выдать сертификат.

  Пример запроса API

  curl --request PATCH \
  "https://api.cloudflare.com/client/v4/zones/{zone_id}/custom_hostnames/{custom_hostname_id}" \
  --header "X-Auth-Email: <EMAIL>" \
  --header "X-Auth-Key: <API_KEY>" \
  --header "Content-Type: application/json" \
  --data '{
    "ssl": {
        "method": "txt",
        "type": "dv",
        "certificate_authority": ""
    }
  }'

• Используйте Edit Custom Hostname endpoint для настройки certificate_authority параметр в google: это делает Google Trust Services удостоверяющим центром (CA) для ваших пользовательских имён хоста. В своём запросе API также обязательно укажите method и type в ssl объект.

• Если для своего пользовательского имени хоста вы используете пользовательский сертификат, ознакомьтесь с устранение неполадок с пользовательскими сертификатами.

функция удержания зоны это переключатель, который не позволяет активировать их зону в другом аккаунте Cloudflare. Если он включён, Cloudflare не может выдать сертификат SSL/TLS от имени этого доменного имени ни для зоны, ни для пользовательского имени хоста. Если параметр Also prevent subdomains включён, это блокирует проверку пользовательских имён хостов для этого домена. Пользовательское имя хоста останется в статусе Blocked статус со следующим сообщением об ошибке: The hostname is associated with a held zone. Please contact the owner of this domain to have the hold removed. В этом случае владельцу зоны нужно снять удержание прежде чем пользовательское имя хоста сможет активироваться.

Blocked статус является окончательным: пользовательский хостнейм не будет автоматически повторять попытку проверки. После снятия удержания зоны выберите Обновить для пользовательского имени хоста в панели управления Cloudflare или отправьте Запрос PATCH к пользовательскому хостнейму, чтобы перезапустить процесс проверки. После того как хостнейм пройдёт проверку, удержание зоны можно включить снова.

Ограничение Common Name (CN) устанавливает лимит в 64 символа (RFC 5280 ↗). Если у вас есть имя хоста, превышающее эту длину, вы можете увидеть следующую ошибку:

Since no host is 64 characters or fewer, Cloudflare Branding is required. Please check your input and try again. (1469)

Чтобы решить эту проблему, можно задать cloudflare_branding к true когда создание ваших пользовательских имён хостов через API.

Брендинг Cloudflare означает, что sni.cloudflaressl.com будет добавлен в качестве Common Name (CN) сертификата, а длинное имя хоста будет включено как часть Subject Alternative Name (SAN).