Le impostazioni SSL/TLS di Cloudflare definiscono come viene cifrato il traffico tra visitatore, edge e server di origine:
- Flexible: la connessione tra visitatore e Cloudflare e cifrata in HTTPS, ma la tratta tra Cloudflare e il server di origine viaggia in HTTP in chiaro sulla porta 80. Genera spesso loop infiniti di reindirizzamento 301/302 se l'origine tenta di forzare HTTPS.
- Full: cifra entrambe le tratte in HTTPS (porta 443), ma non verifica l'autenticita del certificato dell'origine (accetta certificati autofirmati o scaduti). E vulnerabile ad attacchi man-in-the-middle.
- Full (Strict): la configurazione corretta e sicura. Cifra la tratta fino all'origine e richiede un certificato TLS valido e rilasciato da una CA fidata (come Let's Encrypt o un certificato Cloudflare Origin CA).
Non usare mai Flexible: configura sempre un certificato valido sull'origine con strumenti di automazione ACME e attiva Full (Strict).