Обычно это связано не с браузером посетителя, а с SSL-настройками на origin-сервере: сертификатом, портом 443, SNI, шифрами или конфигурацией веб-сервера. Ниже — чёткий практический разбор, как найти причину и быстро исправить ошибку.
Быстрое решение
- Проверьте, что в Cloudflare включён режим Full или Full (strict) и на origin действительно установлен SSL-сертификат.
- Убедитесь, что порт 443 открыт и origin принимает HTTPS-соединения.
- Проверьте, поддерживает ли сервер SNI.
- Убедитесь, что сертификат на origin корректно установлен и сервер отдаёт его полностью.
- Проверьте совместимость cipher suites между Cloudflare и origin.
- Посмотрите логи Apache или Nginx точно в момент появления ошибки.
- Если на origin нет нормального сертификата, установите Cloudflare Origin CA certificate.
Что означает Error 525
Error 525 появляется, когда SSL handshake между Cloudflare и origin-сервером не удаётся завершить. По документации Cloudflare, эта ошибка возникает при двух условиях одновременно: handshake с origin не проходит, а в Cloudflare для домена включён режим SSL Full или Full (strict).
Проще говоря: Cloudflare пытается установить защищённое соединение с вашим сервером по HTTPS, но сервер не может нормально подтвердить SSL/TLS-сессию.
Чем Error 525 отличается от Error 526
Это важное отличие:
- Error 525 — SSL handshake между Cloudflare и origin вообще не проходит;
- Error 526 — handshake дошёл до этапа проверки сертификата, но Cloudflare не смог подтвердить валидность сертификата на origin.
То есть 525 чаще указывает на сбой самого TLS-соединения, а 526 — уже на проблему с проверкой сертификата.
Почему возникает Error 525
На практике самые частые причины такие:
- на origin не установлен действующий SSL-сертификат;
- порт 443 закрыт или не слушается веб-сервером;
- сервер не поддерживает SNI;
- набор шифров на origin не совместим с тем, что использует Cloudflare;
- сервер сбрасывает соединение во время TLS handshake;
- ошибка в настройках Apache, Nginx, reverse proxy или панели хостинга;
- проблема плавающая и видна только под нагрузкой;
- неверно настроен сертификат после миграции сайта или смены IP.
Когда ошибка 525 появляется чаще всего
Чаще всего Error 525 возникает после подключения Cloudflare, перевода сайта на режим Full/Full (strict), замены SSL-сертификата, переезда на новый хостинг, изменения Nginx/Apache-конфига или перенастройки reverse proxy.
Также эта ошибка нередко появляется после истечения срока сертификата, кривой переустановки SSL или неправильной работы старого сервера без полноценной поддержки современных TLS-настроек.
Как исправить Error 525: пошаговая инструкция
1. Проверьте режим SSL в Cloudflare
Сначала откройте Cloudflare и посмотрите, какой режим включён в SSL/TLS.
- Flexible — Cloudflare подключается к origin по HTTP;
- Full — Cloudflare ожидает HTTPS на origin;
- Full (strict) — Cloudflare ожидает HTTPS и корректный сертификат на origin.
Ошибка 525 характерна именно для Full и Full (strict). Если HTTPS на origin не работает, сайт через такие режимы не откроется.
2. Убедитесь, что на origin установлен сертификат
Cloudflare прямо указывает, что одна из главных причин Error 525 — отсутствие валидного SSL-сертификата на origin-сервере.
Проверьте:
- есть ли сертификат вообще;
- к какому домену он выписан;
- не истёк ли его срок;
- подключён ли он в конфигурации сайта.
Если сертификата нет, установите обычный SSL или Cloudflare Origin CA certificate.
3. Проверьте порт 443
Cloudflare отдельно указывает, что порт 443 или другой кастомный secure port должен быть открыт. Если HTTPS-порт закрыт, SSL handshake просто не начнётся или оборвётся.
Проверьте:
- слушает ли сервер 443 порт;
- не режет ли его firewall;
- не закрывает ли соединение security-группа или хостинг;
- не смотрит ли домен на неправильный origin IP.
4. Проверьте поддержку SNI
Cloudflare называет отсутствие SNI support одной из типичных причин Error 525. Это особенно важно для старых серверов, старых панелей, устаревших OpenSSL-библиотек и нестандартных SSL-конфигураций.
Если сервер не поддерживает SNI, Cloudflare может не получить правильный сертификат для нужного домена, и handshake сорвётся.
5. Проверьте cipher suites
Ещё одна официально указанная причина — наборы шифров на origin не совпадают с тем, что ожидает Cloudflare. Это бывает, когда сервер слишком старый, TLS-настройки слишком жёсткие или вручную ограничены cipher suites.
Если у вас древняя конфигурация Apache/Nginx или старый OpenSSL, это очень реальный сценарий.
6. Посмотрите логи origin-сервера
Cloudflare рекомендует обязательно смотреть логи origin именно в момент появления 525. Для Apache стоит смотреть SSL-ошибки, а в Nginx TLS-проблемы обычно попадают в обычный error log, иногда с повышенным уровнем логирования.
Ищите в логах:
- SSL handshake failure;
- connection reset;
- no shared cipher;
- certificate load failure;
- SNI mismatch;
- ошибки цепочки сертификатов;
- сброс соединения на 443 порту.
7. Проверьте origin через curl
Cloudflare советует использовать проверку origin-запросов для диагностики сертификата и TLS. Это помогает быстро понять, отвечает ли origin по HTTPS и какой сертификат реально отдаёт сервер.
Если curl к origin показывает проблемы с сертификатом, TLS или соединением, причину нужно исправлять уже на сервере.
curl -Iv https://yourdomain.com --resolve yourdomain.com:443:ORIGIN_IP8. Установите Cloudflare Origin CA certificate
Если на origin нет нормального сертификата или вы хотите упростить схему, Cloudflare рекомендует установить бесплатный Origin CA certificate. Он шифрует трафик между Cloudflare и origin и хорошо подходит именно для сайтов за Cloudflare.
Это один из самых практичных способов быстро убрать Error 525, если проблема в origin SSL.
9. Проверьте сервер после миграции или смены IP
После переезда сайта Error 525 часто возникает из-за того, что сертификат остался на старом сервере, новый origin не настроен на HTTPS или DNS уже указывает на новый IP, где SSL ещё не поднят.
Если вы недавно переносили сайт, проверьте весь путь заново: DNS → origin IP → порт 443 → сертификат → Nginx/Apache → Cloudflare SSL mode.
10. Если ошибка плавающая — ищите сетевой или серверный сброс
Cloudflare отдельно отмечает, что при периодических 525-ошибках нужно смотреть логи origin в моменты сбоев. А в общих рекомендациях по troubleshooting Cloudflare указывает, что проблемы с SSL handshake, connection resets и похожие ошибки могут требовать уже более глубокого сетевого анализа, вплоть до packet capture.
Если 525 возникает не всегда, а время от времени, причина может быть не только в сертификате, но и в нестабильной сети, перегрузке сервера или внезапном сбросе TLS-сессии.
Advanced troubleshooting
- Проверьте, что origin действительно отдаёт сертификат нужному домену.
- Убедитесь, что сертификат подключён именно к нужному virtual host.
- Проверьте, не конфликтуют ли old TLS settings с современными cipher suites.
- Сравните ответ сайта напрямую и через Cloudflare.
- Проверьте, не сбрасывает ли reverse proxy TLS-соединение раньше времени.
- Если ошибка плавающая, включите более подробное логирование SSL в Apache или Nginx.
- При сложных сетевых сбоях сделайте packet capture на origin.
- Если используется балансировщик, проверьте SSL между балансировщиком и backend.
Как избежать Error 525 в будущем
- держите SSL на origin в рабочем состоянии, даже если сайт работает через Cloudflare;
- следите за сроком действия сертификатов;
- не меняйте SSL mode в Cloudflare без проверки origin;
- проверяйте 443 порт после каждой миграции или смены сервера;
- не используйте устаревшие TLS-конфигурации и старые cipher suites;
- контролируйте корректность SNI и virtual host настроек;
- после обновлений Nginx/Apache проверяйте HTTPS напрямую.
Когда нужно обращаться в поддержку
- если сертификат установлен, но 525 всё равно остаётся;
- если 443 порт открыт, но Cloudflare не проходит handshake;
- если ошибка появилась после смены хостинга или сервера;
- если проблема периодическая и в логах видны connection resets;
- если у вас нет доступа к SSL-конфигам сервера.
FAQ
Error 525 — это проблема Cloudflare или сервера?
Обычно это проблема на стороне origin-сервера: сертификат, TLS-настройки, порт 443, SNI или cipher suites.
Поможет ли Cloudflare Origin CA certificate?
Да, во многих случаях это один из самых быстрых способов исправить проблему, если причина в сертификате origin.
Может ли закрытый 443 порт вызывать Error 525?
Да. Cloudflare прямо указывает закрытый secure port как одну из типичных причин этой ошибки.
Что делать, если ошибка появляется не всегда?
Смотреть error logs точно по времени сбоя. Если проблема плавающая, может понадобиться более глубокая диагностика сети и packet capture.
Можно ли просто переключиться с Full (strict) на Full?
Это может помочь только в отдельных сценариях, но если origin HTTPS вообще сломан, ошибка обычно останется. Надёжнее исправить SSL на origin нормально.
Вывод
Error 525 — SSL Handshake Failed означает, что Cloudflare не смог завершить защищённое соединение с origin-сервером. Чаще всего причина в проблемах с SSL-сертификатом, портом 443, SNI, шифрами или TLS-конфигурацией на сервере.
Самая правильная стратегия — проверить режим SSL в Cloudflare, затем сертификат на origin, открыть 443 порт, сверить cipher suites, посмотреть логи и при необходимости установить Cloudflare Origin CA certificate. Именно так эта ошибка обычно решается быстрее всего.