Os modos SSL da Cloudflare e o ciclo de redirecionamento que provocam
Flexible, Full e Full (strict) explicados — porque o Flexible produz “demasiados redirecionamentos” e que modo usar com o alojamento myPandos.
A Cloudflare tem uma definição de SSL própria, separada do certificado no seu servidor. Escolher o modo errado é o problema de Cloudflare mais comum que vemos, e produz dois sintomas muito reconhecíveis: um ciclo de redirecionamento infinito, ou um cadeado que é tecnicamente uma mentira.
Os quatro modos
| Modo | Visitante → Cloudflare | Cloudflare → o seu servidor | Veredicto |
|---|---|---|---|
| Off | Sem cifra | Sem cifra | Nunca usar |
| Flexible | Cifrado | Sem cifra | Evitar — ver abaixo |
| Full | Cifrado | Cifrado, certificado não verificado | Aceitável |
| Full (strict) | Cifrado | Cifrado e validado | Use este |
Porque o Flexible provoca um ciclo de redirecionamento
No modo Flexible, a Cloudflare comunica com o seu servidor em HTTP sem cifra. O seu servidor, configurado para forçar HTTPS, vê um pedido HTTP e redireciona-o para HTTPS. Esse redirecionamento volta a passar pela Cloudflare, que o pede novamente em HTTP, e o ciclo nunca termina. Os navegadores desistem com “demasiados redirecionamentos”.
O Flexible é também enganador por si só: os seus visitantes veem um cadeado, mas o troço entre a Cloudflare e o seu servidor não está cifrado. Não o use.
O que usar em vez disso
Defina o modo como Full (strict). Exige um certificado válido no seu servidor, que já tem:
- Alojamento Partilhado ou WordPress — instale o certificado Let's Encrypt gratuito no Plesk. Veja Como instalar ou renovar um certificado SSL gratuito no Plesk.
- VPS ou Alojamento Cloud — emita um certificado no servidor por si próprio. Veja Instalar um certificado SSL gratuito num VPS.
Instale o certificado primeiro e só depois mude o modo da Cloudflare. Pela ordem inversa, o site fica indisponível durante o intervalo.
A renovação, com a Cloudflare à frente
O Let's Encrypt valida obtendo um ficheiro por HTTP na porta 80. Se esse caminho estiver bloqueado, as renovações falham silenciosamente e o certificado expira cerca de 90 dias depois — muito depois de alguém conseguir ligar os dois acontecimentos. Mantenha a porta 80 acessível, ou mude esse domínio para validação DNS-01.
Continua em ciclo?
Procure um segundo redirecionamento: uma Page Rule da Cloudflare ou a definição Always Use HTTPS em conflito com uma regra de redirecionamento no Plesk ou no .htaccess. Apenas um dos dois deve forçar HTTPS. Se estiver bloqueado, abra um ticket a partir da Support section e indique o domínio — este é rápido de detetar para nós.