Como configurar HTTPS e Cloudflare sem loop de redirecionamento
Entenda a relação entre navegador, Cloudflare e servidor de origem para ativar HTTPS e corrigir redirecionamentos repetidos.
Entenda as duas conexões
Com o proxy da Cloudflare ativo, existem duas conexões: visitante até a Cloudflare e Cloudflare até o servidor de origem. O cadeado no navegador não garante sozinho que a segunda conexão também esteja protegida.
Escolha o modo SSL correto
Quando a origem possui certificado válido, use o modo Completo (estrito). Ele verifica o certificado do servidor e protege todo o caminho. O modo Flexível envia HTTP à origem e costuma causar loops quando a aplicação força HTTPS.
- Prefira certificado válido na origem.
- Evite Flexível em aplicações que redirecionam HTTP para HTTPS.
- Não desative a validação apenas para esconder um certificado vencido.
Defina uma única URL principal
Escolha HTTPS com ou sem www como endereço canônico. A versão secundária deve fazer apenas um redirecionamento permanente para a principal. Regras repetidas na Cloudflare, no servidor e na aplicação podem criar cadeias ou ciclos.
Respeite os cabeçalhos do proxy
A origem pode receber a conexão da Cloudflare por um protocolo diferente daquele usado pelo visitante. A aplicação deve interpretar cabeçalhos de proxy somente quando a requisição vem de uma camada confiável. Em frameworks, configure a opção de proxy confiável de acordo com a infraestrutura.
Como identificar um loop
O navegador normalmente mostra ERR_TOO_MANY_REDIRECTS. Consulte a sequência com as ferramentas de rede ou uma requisição que exiba cabeçalhos. Se a resposta alternar repetidamente entre HTTP e HTTPS ou entre www e sem www, existem regras conflitantes.
- Teste em janela anônima para evitar cookies antigos.
- Confira as regras de redirecionamento da Cloudflare.
- Revise .htaccess, configuração do servidor e URL base da aplicação.
Faça a correção em ordem
Primeiro confirme que a origem responde por HTTPS. Depois ajuste o modo SSL da Cloudflare. Em seguida mantenha uma única regra para o domínio canônico e remova redirecionamentos duplicados. Limpe o cache somente depois de validar as respostas da origem.
Validação final
Abra HTTP, HTTPS, www e a versão sem www. Todas devem chegar à URL principal, sem alertas de certificado. Teste também login, formulários e APIs, porque cookies seguros e URLs de retorno podem depender do protocolo percebido pela aplicação.
Precisa colocar isso em produção?
A NetworkVPS reúne hospedagem, domínio, banco e suporte de publicação no mesmo painel.