Acecore SystemsКорпоративный сайт Acecore
Русский
Связаться
Меню

Insights / Технические материалы

Cloudflare Universal SSL и ACM: когда нужны платные сертификаты

Ранее платная опция Cloudflare «Dedicated SSL Certificates» в 2021 году была переименована и расширена до «Advanced Certificate Manager (ACM)». В статье разбираются отличия от бесплатного Universal SSL и случаи, когда нужен ACM.

Gui
  • Технологии
  • Cloudflare
  • Безопасность
  • Инфраструктура
Cloudflare Universal SSL и ACM: когда нужны платные сертификаты
Содержание
  1. Когда достаточно Universal SSL
  2. Когда рассмотреть ACM
  3. Проверка перед покупкой
  4. Official sources

Сравнение Universal SSL и ACM начните до покупки: сопоставьте нужные имена хостов с реально выдаваемым сертификатом. Проверьте ограничения в Cloudflare: Advanced Certificates; для доменов Pages или R2 учитывайте путь выдачи сертификатов соответствующего продукта.

В 2021 году Cloudflare преобразовала прежнюю услугу Dedicated SSL Certificates в Advanced Certificate Manager (ACM). Перед выбором сертификата проверьте имена хостов и схему подключения DNS.

Когда достаточно Universal SSL

При полном подключении DNS бесплатный Universal SSL обычно покрывает корневой домен и поддомены первого уровня. *.example.com покрывает www.example.com, но не api.staging.example.com. При частичном подключении через CNAME Cloudflare выпускает отдельный Universal-сертификат для каждого проксируемого имени независимо от глубины. Поэтому многоуровневый поддомен не всегда требует ACM.

Сейчас Cloudflare описывает Universal-сертификаты как бесплатные и не используемые совместно с другими сайтами. Старое утверждение об общих сертификатах устарело.

Область действия Universal SSL зависит от режима DNS Область действия различается по режиму DNS; одной глубины поддомена недостаточно, чтобы решить, нужен ли ACM.
  1. Full DNS setup Обычно покрывает корневой домен и один уровень поддоменов; более глубокие имена вне этого wildcard.
  2. CNAME / partial setup Выпускается для каждого проксируемого hostname независимо от глубины.

Когда рассмотреть ACM

ACM — платное дополнение. Оно позволяет выбрать центр сертификации, метод проверки, срок действия и имена хостов. Один расширенный сертификат охватывает до 50 имён, включая корневой домен. Доступные сроки зависят от центра и тарифа; один год доступен только клиентам Enterprise с SSL.com. Не каждый тариф позволяет произвольно выбрать срок от 14 до 365 дней.

Для автоматической защиты глубоких проксируемых поддоменов при полном подключении DNS можно использовать Total TLS. Для отдельных имён подойдёт расширенный или собственный сертификат. Total TLS требует полного подключения DNS и не выпускает сертификаты для имён некоторых продуктов, включая Cloudflare Tunnel.

Расширенные сертификаты не применяются к пользовательским доменам Cloudflare Pages и R2. Эти продукты используют другой механизм сертификатов. Покупка ACM для сайта Pages не применит такой сертификат к его имени.

Проверка перед покупкой

  1. Перечислите имена и определите схему подключения: полный DNS или CNAME.
  2. Проверьте фактическое покрытие Universal SSL.
  3. Уточните нужный центр, срок и условия Total TLS.
  4. Проверьте актуальную цену и условия покупки в панели Cloudflare для своего тарифа.

Не покупайте ACM только ради отображения общего имени (CN); проверьте, что нужные имена входят в SAN сертификата.

Official sources