Cloudflare SSL/TLS Modları: Flexible, Full ve Full (strict) Rehberi

Cloudflare SSL bağlantısı iki ayaktan oluşur

Turuncu bulutlu (Proxied) bir kayıtta ziyaretçi doğrudan sizin sunucunuza bağlanmaz. Önce Cloudflare'e bağlanır, Cloudflare de isteği sizin sunucunuza iletir. Yani iki ayrı TLS bağlantısı vardır:

• Ziyaretçi - Cloudflare: Burada Cloudflare'in kenar (edge) sertifikası kullanılır. Ücretsiz planda bu iş Universal SSL ile otomatik yapılır.
• Cloudflare - Sunucu: Burada sizin sunucunuzdaki sertifika kullanılır. Bu ayağın şifrelenip şifrelenmediğini ve sertifikanın doğrulanıp doğrulanmadığını encryption mode belirler.

Proxied ve DNS only farkını henüz netleştirmediyseniz önce turuncu bulut ve DNS only rehberine göz atın; SSL modları yalnızca Cloudflare proxy'sinden geçen trafiğe uygulanır.

SSL/TLS encryption modları karşılaştırması

Mod seçimi Cloudflare panelinde SSL/TLS > Overview sayfasından yapılır. Aynı ayar API'de ssl adıyla off, flexible, full, strict ve origin_pull değerlerini alır. Belirli alt alan adları için farklı bir mod gerekiyorsa Cloudflare bunun için Configuration Rules kullanılmasını önerir.

Off

Hiçbir ayakta şifreleme yoktur, tüm trafik düz HTTP olarak taşınır. Bugün herkese açık bir web sitesi için kullanılacak bir seçenek değildir. Off seçiliyken Always Use HTTPS seçeneği panelde görünmez bile.

Flexible

Ziyaretçi ile Cloudflare arası HTTPS olabilir, fakat Cloudflare sunucunuza her zaman düz HTTP ile bağlanır. Sunucuda sertifika gerekmediği için kolay görünür; ancak Cloudflare'den sunucunuza giden yol şifresizdir. Cloudflare'in kendi belgesi, kişisel veri veya kullanıcı girişi barındıran uygulamalarda Flexible kullanılmamasını, bunun yerine Full veya Full (strict) seçilmesini söyler. Ayrıca Flexible yalnızca 443 portundaki HTTPS için geçerlidir; diğer HTTPS portları Full gibi davranır.

Full

Cloudflare, ziyaretçi hangi protokolü kullandıysa sunucuya da onunla bağlanır. HTTPS bağlantısında sunucunuzun 443 portunda bir sertifika sunması gerekir, ama bu sertifika hiç doğrulanmaz: süresi geçmiş, kendinden imzalı ya da alan adıyla eşleşmeyen bir sertifika da kabul edilir. Cloudflare belgesi bu durumda araya giren birinin kendi sertifikasını sunarak bağlantıyı ele geçirebileceği konusunda uyarır. Sunucu 443 portunda sertifika sunmazsa ziyaretçi 525 hatası görebilir.

Full (strict)

Full'un yaptığı her şeyi yapar, ek olarak sunucu sertifikasını doğrular. Cloudflare'e göre sertifika şu üç koşulu sağlamalıdır:

• Süresi dolmamış olmalı (geçerlilik başlangıcı ile bitişi arasında).
• Herkesçe güvenilen bir sertifika otoritesinden (örneğin Let's Encrypt) veya Cloudflare Origin CA'dan alınmış olmalı.
• Common Name (CN) veya Subject Alternative Name (SAN) alanı istenen alan adıyla eşleşmeli.

Bu koşullar sağlanmazsa ziyaretçi 526 hatası görebilir. 525 ve 526 hatalarının ayrıntılı teşhisi için Cloudflare 5xx hataları rehberine bakabilirsiniz.

Strict (SSL-Only Origin Pull)

Ziyaretçi HTTP ile gelse bile Cloudflare sunucunuza her zaman doğrulamalı HTTPS ile bağlanır. Cloudflare belgesine göre bu mod yalnızca Enterprise zone'larda kullanılabilir. Free, Pro ve Business planlarında en güçlü seçenek Full (strict) modudur.

Automatic SSL/TLS: varsayılan mod ne yapar?

Cloudflare'in güncel belgesi varsayılan seçeneği Automatic SSL/TLS olarak tanımlar. Bu modda Cloudflare, SSL/TLS Recommender adlı aracıyla sunucunuzun sertifikasına ve yeteneklerine bakarak en güvenli uygun modu kendisi seçer. Belgede anlatılan işleyiş özetle şöyledir:

• Recommender sitenizi Cloudflare-SSLDetector user agent'ı ile tarar ve HTTP ile HTTPS üzerinden gelen içeriği karşılaştırır.
• Tarama yaklaşık ayda bir yapılır; yapılandırma değişikliklerinden sonra daha sık da olabilir.
• Automatic SSL/TLS ayarınızı hiçbir zaman daha az güvenli bir moda düşürmez.
• Yükseltme kademeli yapılır: trafiğin yüzde 1'i ile başlar, yüzde 10'luk adımlarla artar. Sunucuya bağlantı sorunu görülürse trafik geri alınır.
• Kendiniz seçmek isterseniz Custom SSL/TLS seçeneğine geçebilirsiniz; API'de bu ssl_automatic_mode değerinin custom yapılmasıyla olur.

Edge sertifikası: Universal SSL

Ziyaretçinin gördüğü sertifika Cloudflare'in kenar sertifikasıdır. Universal SSL, Cloudflare'e eklenip etkinleşen her alan adı için ücretsiz, paylaşımsız ve herkesçe güvenilen Domain Validated (DV) sertifikaları otomatik olarak çıkarır ve yeniler. Belgeye göre Free, Pro, Business ve Enterprise planların hepsinde vardır.

• Tam kurulumda (nameserver'ları Cloudflare'e taşıdığınızda) kök alan adı ve birinci seviye alt alan adları kapsanır; örneğin ornek.com ve www.ornek.com.
• a.b.ornek.com gibi daha derin alt alan adları Universal SSL kapsamında değildir; Cloudflare bunun için Total TLS veya Advanced Certificate Manager seçeneklerini gösterir.
• Sertifika alan adı Cloudflare'de aktif olduktan sonra çıkarılır. Trafiği taşımadan önce sertifikanın hazır olması gerekiyorsa Cloudflare Advanced veya Custom sertifikaları önerir.

Universal SSL yalnızca ziyaretçi tarafını çözer. Cloudflare ile sunucu arasını şifrelemek için sunucunuzda ayrıca bir sertifika olmalıdır. Nameserver taşıma adımları için Cloudflare kurulum rehberine bakın.

Sunucu sertifikası: Origin CA mı, Let's Encrypt mi?

Full (strict) için sunucunuzda iki yaygın seçenek vardır. Cloudflare Origin CA sertifikası panelde SSL/TLS > Origin Server sayfasından, Create Certificate ile oluşturulur ve tüm planlarda ücretsizdir. Let's Encrypt ise herkesçe güvenilen ücretsiz bir otoritedir ve çoğu hosting panelinde otomatik kurulur.

Origin CA sertifikası yalnızca proxied kayıtlardan trafik alan sunucular için tasarlanmıştır. Oluşturma ekranından çıktıktan sonra özel anahtarı tekrar göremezsiniz, bu yüzden anahtarı hemen güvenli bir yere kaydedin. Bir alt alan adını ileride DNS only yapma ihtimaliniz varsa veya hosting paneliniz sertifikayı zaten otomatik yeniliyorsa Let's Encrypt daha esnek bir seçimdir. Kurulum için Let's Encrypt SSL kurulumu rehberimize bakabilirsiniz.

Flexible neden yönlendirme döngüsüne (ERR_TOO_MANY_REDIRECTS) yol açar?

En sık karşılaşılan senaryo şudur: Sunucunuzda (örneğin .htaccess veya WordPress ayarıyla) HTTP'yi HTTPS'e yönlendiren bir kural vardır ve Cloudflare'de Flexible seçilidir. Ziyaretçi https:// ile gelir, Cloudflare sunucuya http:// ile bağlanır, sunucu "HTTPS'e git" diye 301 döner, tarayıcı yine HTTPS ile gelir, Cloudflare yine HTTP ile bağlanır ve döngü sonsuza kadar sürer. Cloudflare belgesi bu durumda Flexible kullanılmamasını, Full veya Full (strict) seçilmesini açıkça söyler.

Cloudflare'in sorun giderme sayfası diğer olası nedenleri de listeler:

• Always Use HTTPS açıkken sunucunun HTTPS'i HTTP'ye yönlendirmesi.
• HSTS açıkken sunucunun HTTPS'i HTTP'ye yönlendirmesi veya encryption mode'un Off olması.
• Birbiriyle çakışan Redirect Rules ve Page Rules kuralları.

Döngünün kaynağını bulmak için yönlendirmeleri takip eden bir istek atıp tekrar eden Location başlıklarına ve 301, 302, 307, 308 kodlarına bakın:

curl -sIL https://ornek.com | grep -iE "^(HTTP|location)"

Kalıcı çözüm sırası genelde şöyledir: sunucuya geçerli sertifika kurun, modu Full (strict) yapın, HTTPS zorlamasını tek bir yerde bırakın. Döngünün tarayıcı ve WordPress tarafındaki diğer nedenleri için ERR_TOO_MANY_REDIRECTS çözüm rehberine göz atın.

Always Use HTTPS ve Automatic HTTPS Rewrites

Always Use HTTPS, tüm alt alan adları ve host'lar için gelen HTTP isteklerini HTTPS'e yönlendirir. Tüm planlarda vardır. Açmak için:

• SSL/TLS > Overview sayfasında modun Off olmadığından emin olun.
• SSL/TLS > Edge Certificates sayfasına gidin.
• Always Use HTTPS seçeneğini açın.

Cloudflare, bu ayar açıkken sunucuda ayrıca yönlendirme yapılmamasını önerir; aksi hâlde döngü riski doğar. Sitenizin yalnızca bir kısmı HTTPS destekliyorsa ayarı genel açmak yerine o yollar için tek bir yönlendirme kuralı kullanın.

HTTPS'e zorlamak karma içerik (mixed content) sorununu çözmez. Aynı sayfadaki Automatic HTTPS Rewrites seçeneği, HTTPS sürümü bulunan kaynaklardaki http:// bağlantılarını https:// olarak yeniden yazarak bu hataları azaltır. Kalıcı çözüm için karma içerik hatası rehberine bakın.

HSTS: açmadan önce dikkat

HSTS (HTTP Strict Transport Security), tarayıcıya "bu siteye belirli bir süre boyunca yalnızca HTTPS ile bağlan" der. Panelde SSL/TLS > Edge Certificates altındaki HTTP Strict Transport Security (HSTS) bölümünden Enable HSTS ile açılır; Cloudflare önce bir onay ("I understand") ister. Seçenekler:

Minimum TLS Version

SSL/TLS > Edge Certificates sayfasındaki Minimum TLS Version, ziyaretçilerin Cloudflare'e bağlanırken kullanabileceği en düşük TLS sürümünü belirler. Bu sürümün altındaki istemciler bağlanamaz. Zone düzeyindeki ayar tüm planlarda vardır. Cloudflare'in TLS protokolleri sayfasına göre:

• Cloudflare'in varsayılan minimum değeri TLS 1.0'dır.
• PCI Security Standards Council Haziran 2018'den beri TLS 1.2 şartı arar; ödeme alan siteler için Cloudflare TLS 1.2'ye geçişi önerir.
• Kullanıcı kitlesi dar veya iç kullanıma yönelik uygulamalarda TLS 1.2, güvenlik açısından genel öneri olarak TLS 1.3 belirtilir; çok geniş ve işlem içermeyen sitelerde düşük sürümler eski istemcilerin bağlanabilmesini sağlar.
• TLS 1.3 ayrı bir ayarla açılır. PayPal IPN kullanıyorsanız Cloudflare minimumu 1.2 tutmanızı önerir.

Çoğu güncel site için TLS 1.2, uyumluluk ile güvenlik arasında dengeli bir başlangıçtır. TLS sürümleri hakkında ayrıntı için HTTPS ve TLS 1.3 rehberine bakabilirsiniz.

Authenticated Origin Pulls kısaca

Full (strict), Cloudflare'in sunucunuzu doğrulamasını sağlar. Authenticated Origin Pulls ise tersini yapar: karşılıklı TLS (mTLS) ile sunucunuz, isteğin gerçekten Cloudflare'den geldiğini istemci sertifikası üzerinden doğrular. Tüm planlarda vardır; Full veya Full (strict) ile çalışır, Off veya Flexible modda çalışmaz ve Cloudflare Tunnel ile uyumlu değildir.

Global, zone düzeyi ve hostname düzeyi olmak üzere üç seviyesi vardır. Global seviye Cloudflare'in paylaşılan sertifikasını kullanır ve yalnızca isteğin Cloudflare ağından geldiğini garanti eder, sizin hesabınızdan geldiğini değil. Kendi sertifikanızı yüklediğiniz zone veya hostname düzeyi daha sıkıdır. Her seviye sunucuda ek yapılandırma ister; adımlar için Cloudflare'in güncel kurulum belgesini izleyin.

Önerilen kurulum sırası

• Sunucunuza geçerli bir sertifika kurun (Let's Encrypt veya Cloudflare Origin CA).
• SSL/TLS > Overview altında Automatic SSL/TLS'in hangi modu seçtiğini kontrol edin veya Custom ile Full (strict) seçin.
• Siteyi HTTPS ile açın; 525 veya 526 hatası görüyorsanız sertifikayı kontrol edin.
• HTTPS zorlamasını tek yerde yapın: Cloudflare'de Always Use HTTPS veya sunucuda yönlendirme, ikisi birden değil.
• Automatic HTTPS Rewrites ile karma içerik uyarılarını azaltın.
• Minimum TLS Version'ı ihtiyacınıza göre ayarlayın.
• Her şey sorunsuz çalıştıktan sonra HSTS'i kısa bir Max Age ile deneyin.

Sık Sorulan Sorular

Cloudflare SSL ayarında hangi modu seçmeliyim?

Sunucunuzda geçerli bir sertifika varsa Full (strict). Automatic SSL/TLS modu da uygun durumda sizi bu seviyeye taşıyabilir. Flexible yalnızca sunucuya sertifika kurmanın gerçekten mümkün olmadığı geçici durumlar içindir.

Flexible ile site açılıyor, neden değiştireyim?

Çünkü Cloudflare ile sunucunuz arasındaki trafik şifresizdir. Kilit simgesi bu ayağı göstermez. Giriş formları ve oturum çerezleri bu yolda açık metin taşınır.

Origin CA sertifikasını DNS only bir alt alan adında kullanabilir miyim?

Önerilmez. Cloudflare belgesine göre proxy kapatıldığında veya Cloudflare duraklatıldığında ziyaretçiler güvenilmeyen sertifika hatası görür. DNS only kayıtlar için herkesçe güvenilen bir sertifika kullanın.

Mail sunucumu da Cloudflare SSL korur mu?

Hayır. Cloudflare proxy'si web trafiği içindir; MX kayıtlarının hedefi olan mail host'u proxied yapılmamalı, DNS only kalmalıdır. Mail sunucusunun sertifikası kendi sunucusunda yönetilir.

HSTS'i açtım, Cloudflare'den ayrılmak istiyorum. Ne yapmalıyım?

Önce Max Age'i 0 yapın ve eski Max Age süresi dolana kadar bekleyin, ya da yeni yerinizde de HTTPS'in kesintisiz çalışmasını sağlayın. Aksi hâlde ziyaretçiler siteye erişemeyebilir.

Cloudflare ve adı geçen diğer hizmet adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; Cloudflare ile ortaklık veya bayilik ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Cloudflare nasıl kurulur · Proxied ve DNS only farkı · Cloudflare 52x hataları · ERR_TOO_MANY_REDIRECTS çözümü · SSL sertifika hataları · Let's Encrypt kurulumu · Gerçek ziyaretçi IP adresi