Cloudflare перед сайтом

Якщо сайт працює через проксі Cloudflare (помаранчева хмарка в DNS), відвідувачі бачать сертифікат, який віддає Cloudflare, а не ваш сервер.

Тарифи Free і Pro

Cloudflare сам видає безкоштовний сертифікат для відвідувачів, і поставити туди свій на цих тарифах не можна. Наш сертифікат потрібен на вашому сервері — щоб зв'язок Cloudflare → сервер теж був захищений і перевірявся (режим SSL/TLS → Full (strict)). Налаштуйте автоматичне оновлення на сервері за інструкцією для нього: сервер Linux, cPanel, Kubernetes.

Тарифи Business і Enterprise — свій сертифікат у Cloudflare

Тут можна завантажити свій сертифікат (SSL/TLS → Edge Certificates → Upload Custom SSL Certificate), але Cloudflare його не поновлює. Скрипт нижче раз на добу забирає свіжий сертифікат за посиланням і оновлює його в Cloudflare через API. Запускайте його на будь-якому сервері Linux із curl і openssl — зазвичай на тому, що стоїть за Cloudflare.

Що знадобиться

• Посилання на сертифікат із кабінету: https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН.
• Закритий ключ без пароля. Ключ ECDSA — без блоку EC PARAMETERS.
• Zone ID — на сторінці домену в Cloudflare, праворуч унизу (API → Zone ID).
• ID сертифіката: SSL/TLS → Edge Certificates, рядок вашого сертифіката → розгорнути → Certificate ID. Якщо сертифіката ще немає, спершу завантажте його вручну (кнопка вище) з https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/fullchain.pem і своїм ключем.
• API-токен: My Profile → API Tokens → Create Token → Create Custom Token → дозвіл Zone → SSL and Certificates → Edit, Zone Resources — лише цей домен.

Крок 1. Ключ і скрипт на сервері

sudo mkdir -p /etc/ssl/zrazu/example.com
sudo chmod 700 /etc/ssl/zrazu/example.com
sudo nano /etc/ssl/zrazu/example.com/key.pem
sudo nano /usr/local/bin/zrazu-cloudflare-example.com.sh

У перший файл вставте ключ, у другий — скрипт нижче з вашими ZONE, CERT_ID і TOKEN.

#!/bin/sh
# ZRAZU: оновлення власного сертифіката в Cloudflare за особистим посиланням. Запускається cron раз на добу.
set -eu
PULL="https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН"
DIR="/etc/ssl/zrazu/example.com"
ZONE="ZONE_ID"
CERT_ID="CERTIFICATE_ID"
TOKEN="API_TOKEN"
API="https://api.cloudflare.com/client/v4/zones/$ZONE/custom_certificates"

umask 077
cd "$DIR"
[ -f cert_id ] || echo "$CERT_ID" > cert_id
curl -fsS --retry 3 --max-time 60 -o new.pem "$PULL/fullchain.pem"
grep -q "BEGIN CERTIFICATE" new.pem || { echo "ZRAZU: за посиланням не сертифікат"; exit 1; }
if [ -f applied.pem ] && cmp -s new.pem applied.pem; then echo "ZRAZU: сертифікат не змінився"; exit 0; fi
cert_pub=$(openssl x509 -in new.pem -noout -pubkey | openssl sha256)
key_pub=$(openssl pkey -in key.pem -pubout | openssl sha256)
[ "$cert_pub" = "$key_pub" ] || { echo "ZRAZU: сертифікат випущено на інший ключ — покладіть новий key.pem"; exit 1; }
json() { awk '{ gsub(/\\/, "\\\\"); gsub(/"/, "\\\""); printf "%s\\n", $0 }' "$1"; }
printf '{"certificate":"%s","private_key":"%s","bundle_method":"force"}' "$(json new.pem)" "$(json key.pem)" > body.json
out=$(curl -sS -X PATCH "$API/$(cat cert_id)" -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" --data @body.json)
rm -f body.json
if printf '%s' "$out" | grep -q '"success": *true'; then
  id=$(printf '%s' "$out" | tr -d '\n' | grep -o '"result": *{.*' | grep -o '"id": *"[0-9a-f]*"' | head -n 1 | cut -d'"' -f4)
  [ -z "$id" ] || echo "$id" > cert_id
  mv -f new.pem applied.pem
  echo "ZRAZU: сертифікат у Cloudflare оновлено"
else
  echo "ZRAZU: Cloudflare відмовив:"
  printf '%s\n' "$out"
  exit 1
fi

Cloudflare може видати оновленому сертифікату новий ID — скрипт запам'ятовує його у файлі cert_id сам.

Крок 2. Перший запуск і розклад

sudo chmod 700 /usr/local/bin/zrazu-cloudflare-example.com.sh
sudo /usr/local/bin/zrazu-cloudflare-example.com.sh
echo "23 4 * * * root /usr/local/bin/zrazu-cloudflare-example.com.sh >> /var/log/zrazu-ssl.log 2>&1" | sudo tee /etc/cron.d/zrazu-cloudflare-example.com

Перевірка

1. Перший запуск пише «сертифікат у Cloudflare оновлено», наступні — «сертифікат не змінився».
2. SSL/TLS → Edge Certificates — у вашого сертифіката нова дата Expires On.
3. Сайт: https://zrazu.com/tools/ssl/example.com/.

Якщо не вийшло

• Authentication error — токен без дозволу SSL and Certificates → Edit або не на цей домен.
• custom certificate not found — неправильний CERT_ID: видаліть файл /etc/ssl/zrazu/example.com/cert_id, виправте рядок у скрипті й запустіть знову.
• «сертифікат випущено на інший ключ» — сертифікат перевипускали з новим ключем: замініть key.pem.