← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management / issue-and-validate / validate-certificates

HTTP

Проверка HTTP заключается в добавлении токена DCV на origin-сервер вашего клиента.

Вы выбираете один метод проверки сертификата, когда создайте пользовательское имя хоста. API принимает одно ssl.method значение: http, txt, или email.

Non-wildcard пользовательские имена хостов

Если ваше пользовательское имя хоста не содержит подстановочного знака, Cloudflare пытается завершить DCV через Проверка HTTP после того как имя хоста начинает указывать на вашу SaaS-цель, даже если вы выбрали TXT для вашего метода проверки.

Эта проверка HTTP должна пройти успешно, если имя хоста вашего клиента указывает на вашу цель SaaS и у него нет никаких CAA-записи который блокирует выбранный вами центр сертификации.

Wildcard пользовательские имена хостов

Проверка HTTP DCV не поддерживается для wildcard-сертификатов. Используйте Проверка TXT вместо этого. Вы также можете настроить Делегированная DCV для автоматизации проверки на основе записей TXT.

Методы проверки

HTTP (автоматически)

Если для вас важна простота, а ваши клиенты готовы смириться с несколькими минутами простоя, вы можете положиться на автоматическую проверку HTTP от Cloudflare.

После того как вы создайте новое имя хоста и выберите http способ проверки, вашим клиентам достаточно добавить CNAME-запись на ваш $CNAME_TARGET и Cloudflare сделает всё остальное.

Автоматическая проверка HTTP выполняется на лету. После того как клиент направит имя хоста на вашу SaaS-цель, Cloudflare сможет выдать HTTP-токен DCV от CA на периферийной сети и завершить проверку сертификата.

В течение этого периода имя хоста может маршрутизироваться на Cloudflare раньше, чем сертификат достигнет ssl.status: active. Если вам нужно, чтобы сертификат был активен ещё до того, как ваш клиент изменит DNS, используйте Проверка TXT или Делегированная DCV взамен.

Что происходит после создания пользовательского имени хоста

Cloudflare обращается к одному из партнёрских удостоверяющих центров (CA) и запрашивает выпуск сертификата для указанного имени хоста. После этого CA сообщает Cloudflare, что необходимо подтвердить владение этим именем хоста, возвращая $DCV_TOKEN по указанному $DCV_FILENAME; и токен, и имя файла генерируются CA случайным образом и заранее не известны Cloudflare.

Например, если вы создаёте новое пользовательское имя хоста для site.example.com, удостоверяющий центр может попросить нас вернуть значение ca3-38734555d85e4421beb4a3e6d1645fe6 для запроса к http://site.example.com/.well-known/pki-validation/ca3-39f423f095be4983922ca0365308612d.txt". Как только мы получаем это значение от удостоверяющего центра, мы делаем его доступным на нашей периферийной сети и просим удостоверяющий центр подтвердить его наличие, чтобы завершить проверку и заказ сертификата.

Примечание

Cloudflare может отдавать случайный токен из нашей периферийной сети благодаря тому, что site.example.com имеет настроенную запись CNAME на $CNAME_TARGET, который в итоге преобразуется в IP-адреса Cloudflare. Если клиент ещё не добавил запись CNAME, центр сертификации не сможет получить токен, и процесс не будет завершён.

Мы будем повторять эту проверку в течение ограниченного времени, прежде чем истечёт тайм-аут. Подробнее см. в График повторных попыток проверки для дополнительных сведений.

Если вы хотите завершить процесс выпуска до того, как попросите клиента обновить его запись CNAME (или до того, как измените разрешение целевого CNAME на проксируемое через Cloudflare), выберите другой метод проверки.

HTTP (вручную)

После того как вы создайте новое имя хоста и выберете этот метод проверки, через несколько секунд появятся следующие значения:

API: В рамках ssl объекта сохраните значения, присутствующие в validation_records массив (а именно http_url и http_body).
Dashboard: При просмотре отдельного сертификата на Custom Hostnames ↗ см. значения для Запрос на проверку сертификата и Ответ на проверку сертификата.

На своём origin-сервере выполните http_body доступный в TXT-записи по пути, указанному в http_url. Этот путь также должен быть общедоступен любому пользователю интернета, чтобы к нему мог обратиться ваш CA.

Ниже приведён пример конфигурации NGINX, которая возвращает токен:

location "/.well-known/pki-validation/ca3-0052344e54074d9693e89e27486692d6.txt" {
       return 200 "ca3-be794c5f757b468eba805d1a705e44f6\n";
}

Как только ваша конфигурация станет активной, проверьте, что текстовый файл DCV размещён, с помощью curl:

curl "http://http-preval.example.com/.well-known/pki-validation/ca3-0052344e54074d9693e89e27486692d6.txt"

ca3-be794c5f757b468eba805d1a705e44f6

Токен действителен в течение одного цикла проверки. В следующем цикле проверки Cloudflare попросит удостоверяющий центр повторно проверить URL, завершить проверку и выпустить сертификат.

Если вы хотите запросить немедленную повторную проверку, не дожидаясь следующей попытки, отправьте Запрос PATCH с теми же значениями, что и ваш исходный POST запрос.