Ao usar um VPS com Cloudflare, há duas conexões: visitante → Cloudflare e Cloudflare → servidor de origem. O HTTPS no navegador protege a primeira; o modo SSL/TLS determina como a Cloudflare conversa com a origem. Full (strict) cifra os dois trechos e valida o certificado apresentado pelo servidor.

Este guia é uma revisão documental das orientações oficiais consultadas em 27 de outubro de 2026. Não alterei uma zona real nem testei certificados num VPS. Se você está começando, leia primeiro como DNS, proxy e hospedagem se diferenciam e como publicar um site estático com NGINX.

Antes de mudar o modo SSL/TLS

Full (strict) exige que a origem aceite HTTPS na porta 443 e apresente um certificado:

• ainda válido e não revogado;

• emitido por uma autoridade pública confiável ou pela Cloudflare Origin CA;

• com o nome solicitado incluído no Common Name ou no Subject Alternative Name.

Se algum requisito faltar, a borda pode retornar o erro 526. Primeiro verifique a origem e o certificado; só depois altere o modo da zona.

Certificado público ou Origin CA?

Um certificado de uma autoridade pública, como Let's Encrypt, costuma ser a opção apropriada quando visitantes ou serviços precisam acessar o VPS diretamente, sem passar pelo proxy da Cloudflare.

Cloudflare Origin CA também cifra a conexão entre Cloudflare e servidor de origem e é aceita por Full (strict). Ela é indicada quando a origem recebe somente conexões proxied previstas para o domínio. Navegadores não confiam nesse certificado ao acessar diretamente o IP ou um hostname em DNS-only; planeje esse cenário antes de escolhê-lo. Registre a validade da Origin CA: a Cloudflare não envia aviso de expiração para esses certificados.

DNS: confirme cada registro pela função

Um registro A pode apontar para o IPv4 do VPS; AAAA só deve existir se o servidor realmente estiver acessível por IPv6. Use o destino fornecido pelo host e confirme o nome de domínio coberto pelo certificado.

Registros web A, AAAA e CNAME elegíveis podem usar Proxied para encaminhar HTTP/HTTPS pela Cloudflare. DNS only resolve para o destino configurado sem essa camada de proxy. MX e TXT usados por e-mail ou validação não são proxy web. Antes de alterar a zona, confira os registros e preserve MX, SPF, DKIM, DMARC e validações de outros serviços.

Uma ordem prudente de configuração

1. Confirme IP, domínio, serviço web, portas e acesso de recuperação do VPS.

2. Configure HTTPS no servidor de origem e instale um certificado válido para cada hostname usado.

3. Confirme que o serviço escuta na porta 443 e que o certificado está dentro da validade.

4. Ative proxy apenas nos registros que servem o site e cuja arquitetura exige essa passagem.

5. Se o firewall limita a origem, permita nas portas web necessárias os intervalos oficiais da Cloudflare. Não copie uma lista antiga de IPs de um tutorial.

6. Com a origem pronta, escolha Full (strict) e confira o domínio raiz, www, redirecionamentos e as páginas relevantes.

7. Registre os valores anteriores e o procedimento para reverter.

Se o site usar Cloudflare Tunnel, a ligação até a origem é iniciada pelo conector cloudflared; não copie sem adaptação o fluxo de DNS A/CNAME e firewall público deste guia.

Não use Flexible para esconder um erro

Flexible cifra visitante → Cloudflare, mas não cifra Cloudflare → origem. Se Full (strict) mostra 526, trocar para Flexible pode mascarar o certificado ausente, expirado ou incompatível, sem corrigir a origem. Confira a validade, cadeia e nomes do certificado; caso a configuração da hospedagem esteja fora do seu controle, peça ao host para corrigir essa parte.

Depois de uma mudança, verifique o site público, o login, formulários e rotas administrativas. Não teste uma mudança de DNS ou SSL diretamente no domínio de produção sem janela planejada e uma forma de voltar.

Perguntas frequentes

Full (strict) funciona com Cloudflare Origin CA?

Sim. A Cloudflare aceita Origin CA no trecho até a origem, desde que o certificado esteja válido e cubra o hostname. Navegadores não o consideram confiável se acessarem a origem diretamente.

O que significa o erro 526?

A Cloudflare não conseguiu validar o certificado apresentado pela origem quando Full (strict) estava ativo. Confira validade, revogação, cadeia, hostname e HTTPS na porta 443.

Devo deixar todos os registros com proxy?

Não. Use proxy nos registros web compatíveis conforme a arquitetura. Registros de e-mail e validação têm outra finalidade; não os altere apenas para padronizar os ícones do painel.