Cloudflare Origin CA: certificati gratuiti per il server di origine

La Origin CA di Cloudflare è un servizio gratuito che permette di generare certificati TLS dedicati al server di origine, con validità fino a 15 anni. Questi certificati sono firmati da una CA privata Cloudflare riconosciuta esclusivamente dai server edge della piattaforma: non sono validi sul web pubblico, ma sono perfetti per chiudere in modo sicuro il tratto tra edge e origine, abilitando la modalità Full (strict).

Perché serve un certificato sull'origine

Quando un visitatore richiede una pagina HTTPS, Cloudflare risponde con Universal SSL e contemporaneamente apre una seconda connessione verso il server di origine. Se quest'ultimo non ha un certificato valido, due cose possono accadere: la connessione viene degradata a Flexible (insicura) oppure salta con errore 525. La Origin CA risolve entrambi i problemi senza costo: il certificato dura anni, non richiede rinnovo frequente e non è soggetto a rate limit di Let's Encrypt.

Procedura passo-passo

1. Accedi al dashboard Cloudflare e seleziona il dominio.
2. Vai su SSL/TLS → Origin Server.
3. Clicca su Create Certificate.
4. Scegli se generare la CSR automaticamente (consigliato) oppure incolla una CSR esistente.
5. Inserisci gli hostname da coprire, tipicamente tuodominio.it e *.tuodominio.it.
6. Scegli il tipo di chiave: RSA 2048 per compatibilità massima o ECDSA per performance.
7. Imposta la validità: 15 anni è l'opzione standard.
8. Copia certificato e chiave privata in due file separati (es. origin.pem e origin.key).
9. Trasferisci i file sul server in /etc/ssl/ con permessi 600 sulla chiave.
10. Configura il vhost di Apache o Nginx puntando ai due file e ricarica il servizio.

Configurazione su Nginx

Su Nginx il blocco di configurazione include le direttive ssl_certificate e ssl_certificate_key. Inserisci il certificato Origin CA come ssl_certificate e la chiave generata come ssl_certificate_key. Aggiungi ssl_protocols TLSv1.2 TLSv1.3; e abilita ssl_session_cache shared:SSL:10m; per performance. Su Apache la direttiva equivalente è SSLCertificateFile e SSLCertificateKeyFile nel VirtualHost porta 443.

Authenticated Origin Pulls

Per aumentare la sicurezza puoi attivare Authenticated Origin Pulls: il server di origine accetta connessioni solo se il client (Cloudflare) presenta a sua volta un certificato firmato dalla CA Cloudflare. Questo blocca qualsiasi richiesta che bypassi Cloudflare, anche se l'IP di origine è esposto. La configurazione richiede l'aggiunta della direttiva ssl_verify_client on; e ssl_client_certificate puntato al certificato CA pubblico di Cloudflare.

Errori comuni e come risolverli

• Errore 526 dopo installazione: il certificato non corrisponde all'hostname richiesto. Verifica che SAN includa sia apex che wildcard.
• Chiave privata persa: non è recuperabile. Revoca il certificato e generane uno nuovo.
• Catena incompleta: alcuni server richiedono di concatenare il certificato Cloudflare CA. Aggiungilo in coda al file pem.
• Permessi errati: la chiave privata deve essere leggibile solo da root o dall'utente del web server. chmod 600 obbligatorio.
• Origin CA non riconosciuto da curl: è normale, non è una CA pubblica. Usa curl -k per i test diretti.

Limiti e considerazioni

I certificati Origin CA non funzionano se acceduti direttamente dal browser bypassando Cloudflare: i browser non riconoscono la CA privata. Se hai bisogno che il server di origine sia raggiungibile direttamente in HTTPS (per debug o per servizi che non passano da Cloudflare), affianca un certificato pubblico Let's Encrypt sullo stesso vhost o usa SNI per servire un certificato diverso in base all'hostname richiesto.

Domande frequenti

D: Posso revocare un certificato Origin CA?
R: Sì, dalla stessa schermata dove vengono elencati i certificati esiste l'azione Revoke. Cloudflare invalida immediatamente la fiducia.

D: Devo aggiornare il certificato ogni anno?
R: No, scegliendo la validità di 15 anni puoi dimenticartene per oltre un decennio.

D: Funziona con HAProxy o load balancer?
R: Sì, qualunque software che termini TLS standard può usare un certificato Origin CA.

D: Posso usarlo per più server dietro un load balancer?
R: Sì, lo stesso file pem/key può essere distribuito su tutti i nodi del cluster.

Considerazioni operative finali

Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.

Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.

Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.

Hai bisogno di aiuto?

Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.