Cloudflare SSL 模式：选错就是 522 和 526

先看结论

Cloudflare 的 SSL 模式要选「完全（严格）」，Full (Strict)。

选「灵活（Flexible）」是最常见的错误，会让你遇到无限重定向或者 526。

四个模式的区别

• 关闭：不走 HTTPS，别用
• 灵活 Flexible：CF 到你的服务器走 HTTP，明文。等于没有加密，还会让网站陷入重定向死循环
• 完全 Full：CF 到服务器走 HTTPS，但不验证证书有效性。证书过期也能过，看似省事实际是隐患
• 完全（严格）Full (Strict)：走 HTTPS 且必须有效证书。这是唯一正确的选择

为什么会报 522

522 是「连接超时」，意思是 Cloudflare 连不上你的源站。常见原因：

• 服务器防火墙没放行 443
• 服务器上 Nginx 没有监听 443，或者没有对应的 server 块
• 源站 IP 变了但 CF 的 DNS 还指向旧的

排查顺序：先在服务器上 curl 一下本地能不能通，再看防火墙，最后看 DNS 解析对不对。

为什么会报 526

526 是「无效的 SSL 证书」，意思是 CF 无法验证你的源站证书。原因通常是：

• 用的自签名证书
• 证书链不完整（只放了域名证书，没放中间证书）
• 证书过期了

解决：换成 Cloudflare 自己签发的 Origin 证书，有效期很长，会自动续，免费。

操作顺序

• 先在服务器上装好 Cloudflare Origin 证书
• Nginx 配好 443 并且证书路径正确
• 用 curl -k 直接访问本地 443 确认能通
• 再回 Cloudflare 把 SSL 模式切到「完全（严格）」

顺序反了会有一段全站不可用的时间。