Os códigos 521, 522, 526 e 1033 indicam caminhos diferentes entre visitante, Cloudflare e origem. Use o código como pista, não como prova da causa: registre o horário e a URL e descubra primeiro se o site usa um VPS com proxy DNS ou um Cloudflare Tunnel.

Este diagnóstico resume as páginas oficiais da Cloudflare consultadas em 27 de outubro de 2026. Não provoquei falhas em domínio de produção e não executei comandos no servidor. Antes de ajustar firewall ou certificado, confira como configurar Full (strict) no VPS e como preparar um VPS com acesso de recuperação.

O que cada código sugere

• 521 — Indicação inicial: O servidor de origem recusou a conexão ou está indisponível. — Primeiro ponto de investigação: Serviço web, porta esperada, firewall e bloqueio/rate limit de IPs Cloudflare.

• 522 — Indicação inicial: A Cloudflare excedeu o tempo esperando conectar à origem ou receber confirmação. — Primeiro ponto de investigação: IP de origem, carga/estado do servidor, perda de pacotes, firewall e logs do host.

• 526 — Indicação inicial: Full (strict) não conseguiu validar o certificado de origem. — Primeiro ponto de investigação: Validade, revogação, cadeia, hostname e HTTPS na origem.

• 1033 — Indicação inicial: A Cloudflare não encontrou um conector saudável para o Cloudflare Tunnel. — Primeiro ponto de investigação: Estado do Tunnel, serviço `cloudflared`, logs e destino DNS configurado.

Registre evidências antes de alterar algo

Anote URL, caminho, código, horário e fuso, Ray ID e se o erro acontece sempre ou de forma intermitente. Identifique se o domínio aponta a um VPS por DNS proxied, a um Worker/Pages ou a um Tunnel. Não publique tokens, senhas, chaves privadas ou dados de clientes.

Se o código for 521 ou 522

1. Confirme com o host se a máquina e o servidor web estão ativos e atendendo nas portas esperadas pelo modo SSL/TLS.

2. Compare o endereço configurado no DNS com o endereço atual informado pelo provedor.

3. Consulte logs do servidor e do firewall no mesmo horário do erro.

4. Se a origem usa allowlist, confira se os intervalos oficiais atuais da Cloudflare estão permitidos nas portas web necessárias. Não desative o firewall inteiro para “testar”.

5. Considere carga alta, serviço travado, limite de conexões e perda de pacotes; o código sozinho não seleciona uma dessas causas.

521 descreve uma recusa de conexão. 522 pode ocorrer em fases diferentes da comunicação, por isso logs e horário ajudam a separar falha de conexão de demora da origem em responder. Se o host administra o VPS, envie a ele os detalhes e peça que confira os registros da origem.

Se o código for 526

526 está ligado à validação do certificado quando Full (strict) está ativo. Confira se o certificado não expirou nem foi revogado, se cobre o hostname solicitado, se a cadeia está completa e se o serviço HTTPS responde na porta 443. A Cloudflare aceita certificado público ou Origin CA que atenda aos requisitos; Origin CA não é confiável para acesso direto de navegadores à origem.

Evite trocar para Flexible como solução permanente: essa opção não cifra o trecho Cloudflare → origem. Se não administra o VPS, solicite ao provedor a correção do certificado e mantenha o modo mais seguro que a origem suporta.

Se o código for 1033

1033 é específico do Cloudflare Tunnel: a rede não encontra um cloudflared saudável para receber o tráfego. Confira o estado do Tunnel, o processo/serviço e os logs do conector, a rede de saída e se o DNS aponta para o hostname correto do Tunnel.

Um Tunnel marcado como Healthy confirma conexões do conector à rede Cloudflare, mas ainda não comprova que a aplicação local configurada na rota está respondendo. Se o túnel estiver saudável e a resposta falhar entre cloudflared e a aplicação, investigue essa comunicação separadamente; outro erro, como 502, pode aparecer nesse trecho.

O que enviar ao suporte

Compartilhe com seu provedor, por canal privado, o código completo, horário/fuso, URL, Ray ID e trechos de log relevantes. Não envie senha, token do Tunnel, chave privada ou arquivo .env; remova dados de clientes dos registros antes de anexá-los.

Perguntas frequentes

A Cloudflare está fora do ar quando aparece 521?

Não necessariamente. 521 indica que a origem recusou a conexão ou não estava disponível para a Cloudflare; verifique serviço, porta, firewall e logs do host.

Limpar o cache corrige 522 ou 526?

Em geral, isso não corrige uma falha de conexão com a origem nem um certificado inválido. Identifique a camada indicada pelo código antes de alterar cache ou DNS.

O 1033 é o mesmo que um erro da aplicação dentro do Tunnel?

Não. 1033 indica que a Cloudflare não encontrou um conector Tunnel saudável. Um erro entre o conector e a aplicação local é um trecho diferente e precisa de diagnóstico próprio.