Cloudflare SSL/TLS

Cloudflareは複数の顧客ドメインに共有されるSSL証明書を自動的にプロビジョニングします。BusinessおよびEnterpriseのお客様には、エンドユーザーに提示されるカスタムの専用SSL証明書をアップロードするオプションがあります。これにより、Extended Validation（EV）証明書およびOrganization Validated（OV）証明書の使用が可能になります。

TLSおよびSSLの過去のすべてのバージョンには既知の脆弱性が存在するため、PCI 3.2準拠にはTLS 1.2または1.3が必要です。Cloudflareは、WebサイトからのすべてのHTTPSトラフィックをTLS 1.2または1.3経由で配信する「Modern TLS Only」オプションを提供します。

日和見暗号化では、混合コンテンツやその他のレガシー問題のために、HTTPSにアップグレードできないものにHTTP専用ドメインを提供します。暗号化とWeb最適化機能のメリットは、TLSを使用する場合にのみ1行のコードも変更することなく利用できます。

CloudflareのMutual Auth（TLSクライアント認証）は、IoTデバイスやモバイルアプリなどを使用するクライアントとその配信元との間を安全に接続します。クライアントが配信元サーバーとの接続を確立しようとすると、Cloudflareはデバイスの証明書を検証して、エンドポイントへのアクセスが許可されていることを確認します。建物に入るために正しいキーが必要であるのと同様に、デバイスに有効なクライアント証明書がある場合に安全な接続を確立できます。デバイスの証明書がない場合、期限切れの場合、無効な場合は接続は取り消され、Cloudflareは403エラーを返します。

HTTP Strict Transport Security（HSTS）プロトコルの対応は、Webサイト、API、モバイルアプリケーションのセキュリティを強化する最も簡単な方法です。HSTSは、配信元サーバーへのすべてのリクエストに対してクライアントの安全な接続の使用を促すHTTPプロトコルの拡張機能です。Cloudflareでは、ボタンをクリックするだけでHSTSに対応できます。

Automatic HTTPS Rewritesは、既知の（安全な）ホストから安全性の低いURLを安全なURLに動的に書き換えることで、混合コンテンツの問題を安全に排除し、パフォーマンスとセキュリティを強化します。安全な接続を実行することで、Automatic HTTPS Rewritesにより、HTTPS経由でのみ利用可能な最新のセキュリティ標準とWeb最適化機能を利用できるようになります。

暗号化SNIは、TLSネゴシーション中にClientHelloメッセージで使用されるプレーンテキストの"server_name”拡張子を“encrypted_server_name”に置き換えます。 この機能はTLS 1.3の機能拡張であり、訪問者とWebサイトの仲介者から宛先ホスト名を画することによってユーザーのプライバシーを強化します。

Geo Key Managerでは、HTTPS接続を確立するために、どのCloudflareのデータセンターがプライベートキーにアクセスするかを選択できます。Cloudflareには、米国またはEUのデータセンター、およびCloudflareネットワークの最高のセキュリティデータセンターから選択できるオプションがあります。プライベートキーにアクセスできないデータセンターではTLSを終了することはできますが、プライベートキーを格納している最寄りのCloudflareデータセンターに通信する際には、わずかな初期遅延が発生します。