Cloudflare 525 SSL/TLS-Handshake fehlgeschlagen
Cloudflare 525 bedeutet, dass Cloudflare keine funktionierende SSL/TLS-Verbindung zum Ursprungsserver aufbauen konnte.
Bedeutung
Im Modus Full oder Full (strict) verbindet sich Cloudflare per HTTPS mit dem Origin. Scheitert der TLS-Handshake wegen Zertifikat-, Port-, Cipher- oder SNI-Problemen, kann 525 erscheinen. Anders als bei 526 scheitert hier bereits die Aushandlung einer nutzbaren TLS-Verbindung.
Häufige Ursachen
- Auf dem Origin-Server fehlt das erforderliche SSL/TLS-Zertifikat.
- Der Webserver lauscht nicht auf dem HTTPS-Port 443.
- Cloudflare und Origin unterstützen keine gemeinsame TLS-Version oder Cipher Suite.
- SNI funktioniert nicht oder der virtuelle TLS-Host ist falsch konfiguriert.
Was können Besucher tun?
- Als Besucher können Sie den Origin-Handshake nicht beheben. Versuchen Sie es später erneut oder informieren Sie den Betreiber.
Was können Betreiber tun?
- Installieren Sie ein geeignetes Zertifikat am Origin, etwa von Let's Encrypt oder Cloudflare Origin CA, und prüfen Sie die Konfiguration.
- Kontrollieren Sie den HTTPS-Port 443 sowie die Unterstützung für kompatibles TLS 1.2 oder 1.3.
- Untersuchen Sie TLS-/SNI-Logs. Nutzen Sie Flexible SSL nicht als dauerhafte Lösung, da die Strecke zum Origin unverschlüsselt ist.
SEO-Auswirkungen
Solange 525 besteht, können Nutzer und Googlebot die Website nicht regulär erreichen. Eine länger andauernde Störung gefährdet die Indexierung.
Häufige Fragen
Was unterscheidet Cloudflare 525 und 526?
525 bedeutet einen fehlgeschlagenen TLS-Handshake. Bei 526 kann eine Verbindung stehen, aber das Origin-Zertifikat wird im Strict-Modus nicht akzeptiert.
Ist Flexible SSL eine sichere Lösung für 525?
Nein. Flexible SSL verschlüsselt die Verbindung zwischen Cloudflare und Origin nicht. Stattdessen muss die TLS-Konfiguration des Ursprungsservers korrigiert werden.