Türkei (Türkisch)
Germany (German)
Worldwide (English)
Cloudflare 525 tritt auf, wenn der SSL/TLS-Handshake zwischen Cloudflare und Origin-Webserver fehlschlägt.
Halkali Merkez Viertel Fatih Str. Ozgur Apt. No. 46, Kucukcekmece, Istanbul, 34303, TR
Cloudflare 525: Origin-Zertifikat, Port 443, SNI, TLS/Cipher, Webserver-VHost und sporadische Handshake-Fehler diagnostizieren.
Cloudflare 525 tritt auf, wenn der SSL/TLS-Handshake zwischen Cloudflare und Origin-Webserver fehlschlägt.
Cloudflare dokumentiert diesen Fehler für die Modi Full und Full (Strict).
Dokumentierte Ursachen sind fehlendes gültiges Origin-Zertifikat, geschlossener TLS-Port, fehlendes SNI und Cipher-Mismatch.
Bei proxied HTTPS gibt es zwei TLS-Verbindungen: Besucher zu Cloudflare Edge und Cloudflare zum Origin. 525 entsteht auf der zweiten Strecke. Ein Austausch des Browser-/Edge-Zertifikats allein behebt den Fehler nicht.
Das trennt 525 von Edge-Zertifikatsfehlern wie ERR_SSL_VERSION_OR_CIPHER_MISMATCH. Bei 525 muss der Origin TLS sprechen, das richtige SNI-Zertifikat liefern und kompatible TLS-/Cipher-Einstellungen besitzen.
Prüfen, welcher Prozess am Origin auf Port 443 lauscht. Nginx/Apache kann gestoppt sein, ein Container-Port nicht veröffentlicht oder der Reverse Proxy nur auf Port 80 aktiv sein.
Eine offene Firewall-Regel hilft nicht, wenn kein Dienst lauscht. Umgekehrt kann eine Firewall Cloudflare-Quellnetze blockieren, obwohl der Dienst auf 443 aktiv ist.
ss -lntp | grep ':443'curl -vk https://127.0.0.1/SNI ist wichtig, wenn mehrere HTTPS-VHosts eine IP teilen. Mit `openssl s_client -connect ORIGIN_IP:443 -servername example.com` das Zertifikat für den richtigen Host prüfen. Ohne SNI kann das Default-VHost-Zertifikat erscheinen.
Nicht nur das Vorhandensein des Zertifikats zählt; Private-Key-Match, Intermediate Chain und VHost-Auswahl sind wichtig. Falsches server_name oder Zertifikatspfad kann den Handshake stören.
openssl s_client -connect ORIGIN_IP:443 -servername example.com -showcertsFull verschlüsselt die Cloudflare-Origin-Strecke, prüft das Zertifikat aber weniger streng als Full (Strict). Full (Strict) erwartet ein gültiges, zum Hostnamen passendes Zertifikat. Für Produktion sollte Full (Strict) das Ziel sein.
525 ist ein Handshake-Fehler; 526 hängt stärker mit der Zertifikatsvalidierung unter Full (Strict) zusammen. Die richtige Code-Trennung verhindert unnötige Zertifikatswechsel.
Ist der Origin auf veraltete TLS-/Cipher-Sets oder eine extrem enge Liste beschränkt, kann keine gemeinsame Handshake-Konfiguration übrig bleiben. Auch ein TLS-Inspection-Appliance kann vor dem Webserver scheitern.
Webserver-TLS-Konfiguration und OpenSSL-Ausgabe gemeinsam prüfen. Nicht wegen 525 pauschal die Cipher-Policy schwächen; zuerst die echte Inkompatibilität messen.
nginx -T 2>&1 | grep -E 'ssl_protocols|ssl_ciphers|server_name|ssl_certificate'apachectl -SCloudflare empfiehlt bei sporadischem 525 Origin-SSL-Logs und Origin Analytics. Scheitert nur ein Teil der Anfragen, sind TLS-Terminator-Kapazität, Load-Balancer-Nodes oder Backend-Unterschiede wahrscheinlicher.
Nginx-, Apache-, HAProxy- oder Traefik-Logs mit der Cloudflare-Fehlerzeit korrelieren. Handshake timeout, no shared cipher, bad key share oder connection reset weisen auf unterschiedliche Ursachen.
tail -n 200 /var/log/nginx/error.logStatt Cloudflare global abzuschalten, gezielt testen. `curl --resolve example.com:443:ORIGIN_IP https://example.com/ -vk` umgeht DNS, behält aber Hostname/SNI und prüft damit den echten Origin-VHost.
Schlägt auch dieser Test fehl, liegt der Verdacht stark auf Origin-TLS. Funktioniert er direkt, Cloudflare liefert aber 525, Cloudflare-Quellzugriff, SNI/Cipher und Zwischenkomponenten prüfen.
curl --resolve example.com:443:ORIGIN_IP https://example.com/ -vk| Befund | Priorität |
|---|---|
| Port 443 lauscht nicht | Nginx/Apache/Container-Port |
| OpenSSL liefert falsches Zertifikat | SNI/VHost/server_name |
| Direkter Origin funktioniert, Cloudflare 525 | Firewall, Cloudflare-Quellzugriff, TLS-Policy |
| Nur einige Anfragen 525 | Load-Balancer/TLS-Terminator-Kapazität und Node-Unterschiede |
Vor Änderungen in Produktion Kontext, Backup und Rückfallplan prüfen. Bei DNS, TLS, Recovery, Docker oder WordPress nicht mehrere Variablen gleichzeitig ändern, da sonst die Ursache schwerer zu isolieren ist.
525 ist ein TLS-Handshake-Fehler; 526 betrifft die Zertifikatsvalidierung des Origins unter Full (Strict).
Der Fehler kann verschwinden, weil Cloudflare per HTTP zum Origin verbindet; die Origin-Verschlüsselung entfällt und es ist keine sichere Dauerlösung.
Ein Zertifikat allein reicht nicht; falscher SNI/VHost, geschlossener Port 443, Key-/Chain- oder TLS/Cipher-Probleme können den Handshake brechen.
Wenn das Problem in Hosting-, VPS-, Docker-, Cloudflare-, Windows- oder WordPress-Infrastruktur weiter besteht, können Sie mit Fehlerausgabe und Architektur einen technischen Supportfall erstellen.