El modo SSL de Cloudflare controla cómo se cifra la conexión entre el visitante, los servidores de Cloudflare y tu servidor de origen. Elegir el modo incorrecto provoca bucles de redirección, páginas en blanco o advertencias de seguridad que ahuyentan a los usuarios.
En este artículo verás exactamente qué hace cada modo, qué errores genera cuando está mal configurado y qué opción debes elegir según tu situación.
Los cuatro modos SSL de Cloudflare explicados
Cloudflare ofrece cuatro opciones en la sección SSL/TLS > Resumen de tu panel:
| Modo | Visitante → Cloudflare | Cloudflare → Origen | ¿Requiere cert. en origen? |
|---|---|---|---|
| Off | HTTP | HTTP | No |
| Flexible | HTTPS | HTTP | No |
| Full | HTTPS | HTTPS | Sí (puede ser autofirmado) |
| Full (Strict) | HTTPS | HTTPS | Sí (debe ser de una CA válida) |
Modo Flexible
El tráfico entre el visitante y Cloudflare va cifrado, pero entre Cloudflare y tu servidor viaja en texto plano (HTTP). Tu servidor no necesita ningún certificado instalado.
Es el modo más fácil de activar, pero también el más peligroso si tienes datos sensibles, porque la última milla hasta tu servidor no está cifrada.
Modo Full
Cloudflare también cifra la conexión hacia tu servidor, pero no verifica la validez del certificado que encuentre ahí. Un certificado autofirmado, vencido o con el nombre de dominio incorrecto es aceptado sin problema.
Es una mejora real sobre Flexible, pero un atacante con acceso a la ruta entre Cloudflare y tu host podría presentar un certificado falso y no sería detectado.
Modo Full (Strict)
Igual que Full, pero Cloudflare verifica que el certificado en tu origen sea válido: emitido por una CA reconocida, vigente y con el nombre de dominio correcto. El certificado gratuito de Cloudflare Origin CA (disponible en el panel) cumple este requisito perfectamente.
Es el modo recomendado para cualquier sitio en producción.
Errores comunes y cómo resolverlos
Error 525: SSL Handshake Failed
Ocurre cuando el modo es Full o Full Strict pero tu servidor no tiene ningún certificado SSL instalado, o el certificado está caducado.
Solución:
- Instala un certificado válido en tu servidor (Let's Encrypt, Cloudflare Origin CA o el de tu proveedor de hosting).
- Si usas cPanel, activa AutoSSL para renovar automáticamente.
- Mientras tanto, puedes bajar temporalmente a Flexible, pero planifica la migración cuanto antes.
Error 526: Invalid SSL Certificate
Aparece en modo Full Strict cuando el certificado existe pero no supera la validación de Cloudflare: puede estar autofirmado, vencido o ser de un dominio diferente.
Solución:
- Genera un certificado Cloudflare Origin CA desde SSL/TLS > Origin Server en el panel, instálalo en tu servidor y usa modo Full Strict.
- Alternativamente, instala Let's Encrypt con certbot y renuévalo cada 90 días (AutoSSL en cPanel lo hace automáticamente).
- Si no puedes instalar un cert válido ahora mismo, baja a modo Full (acepta autofirmados), no a Flexible.
Bucle de redirección infinito (ERR_TOO_MANY_REDIRECTS)
Este es el error más frecuente y el más frustrante. Se produce cuando tienes Flexible activado en Cloudflare y tu servidor o CMS fuerza HTTPS.
Lo que pasa:
- Cloudflare envía la petición a tu servidor en HTTP.
- Tu servidor responde con un redirect 301 a HTTPS.
- Cloudflare vuelve a enviar en HTTP… y el ciclo no termina.
Solución inmediata: cambia el modo en Cloudflare a Full o Full Strict (si tienes un cert válido). El bucle desaparece al instante porque Cloudflare ya no envía peticiones HTTP a tu origen.
Solución alternativa si debes quedarte en Flexible: desactiva temporalmente la regla de redirect en tu servidor (.htaccess o configuración de WordPress/plugin), aunque lo ideal es solucionar la causa raíz.
Advertencia "Mixed Content"
El sitio carga con HTTPS pero algunos recursos (imágenes, scripts, CSS) se sirven desde URLs HTTP. El modo SSL de Cloudflare no lo causa, pero sí puede enmascararlo.
Activa SSL/TLS > Edge Certificates > Automatic HTTPS Rewrites en Cloudflare para que reescriba automáticamente las URLs de subrecursos a HTTPS. También revisa tus plantillas o configuración del CMS para corregir las URLs en origen.
Cómo elegir el modo correcto según tu situación
Sigue este árbol de decisión:
- ¿Tu servidor no tiene ningún certificado SSL? → Usa Flexible de forma temporal. Instala cuanto antes Let's Encrypt o un Cloudflare Origin CA y sube a Full Strict.
- ¿Tienes un certificado autofirmado o de Cloudflare Origin CA? → Usa Full o Full Strict. Cloudflare Origin CA es aceptado en Full Strict y es la mejor opción.
- ¿Tienes Let's Encrypt, Sectigo u otro cert de CA pública? → Usa Full Strict. Es el modo más seguro y no tiene coste adicional.
- ¿Tu sitio tiene formularios, login o pagos? → Full Strict siempre, sin excepción.
Para la mayoría de los sitios gestionados en un hosting compartido con cPanel, la combinación ganadora es AutoSSL activado + modo Full Strict en Cloudflare. Si tu agencia gestiona varios dominios, considera delegar la gestión a expertos: los equipos de soporte técnico especializado en hosting pueden configurar y monitorear SSL de forma proactiva.
Pasos para migrar de Flexible a Full Strict sin downtime
- Verifica que tu servidor tiene un certificado válido instalado (cPanel → SSL/TLS → Manage SSL Sites).
- Confirma la fecha de vencimiento y que el dominio en el cert coincide exactamente con el de tu zona Cloudflare.
- En el panel de Cloudflare, ve a SSL/TLS > Resumen y cambia de Flexible a Full. Espera 30 segundos y verifica que el sitio carga sin errores.
- Si todo va bien, sube a Full Strict. El cambio es instantáneo.
- Activa Always Use HTTPS en Edge Certificates para forzar HTTPS desde Cloudflare, y borra la regla duplicada en
.htaccesssi la tenías.
Revisar el modo SSL forma parte del mantenimiento preventivo de cualquier sitio. Puedes encontrar más artículos de este tipo en la sección de comparativas de hosting y herramientas web.
Conclusiones clave
- Flexible es el modo de emergencia, no el destino: el tráfico entre Cloudflare y tu servidor no va cifrado.
- Full cifra la conexión al origen pero no valida el certificado; útil con autofirmados.
- Full Strict es la única opción recomendada para producción: requiere un cert válido de CA reconocida (Let's Encrypt o Cloudflare Origin CA).
- El bucle infinito de redirecciones (ERR_TOO_MANY_REDIRECTS) casi siempre significa que tienes Flexible activado con una regla HTTPS en el servidor.
- El Error 526 aparece en Full Strict cuando el certificado de origen es autofirmado o está caducado.
- Migrar de Flexible a Full Strict tarda menos de 5 minutos si ya tienes un cert válido instalado.
¿Necesitas que alguien revise y corrija la configuración SSL de tu sitio de manera definitiva? El equipo de elenlace.com ofrece auditorías de seguridad y configuración para sitios en hosting compartido, VPS y entornos Cloudflare.
Preguntas frecuentes
¿Puedo usar el modo Flexible si mi hosting no soporta SSL?
Sí, pero solo como solución temporal. El modo Flexible protege la conexión entre el usuario y Cloudflare, pero tu servidor sigue recibiendo tráfico HTTP sin cifrar. Busca un hosting que incluya Let's Encrypt o AutoSSL, o instala el certificado gratuito de Cloudflare Origin CA en tu servidor.
¿El certificado Cloudflare Origin CA funciona fuera de Cloudflare?
No. El Origin CA de Cloudflare es reconocido exclusivamente por los servidores de Cloudflare, no por navegadores. Si accedes a tu servidor directamente (sin pasar por Cloudflare), el navegador mostrará una advertencia de certificado no confiable. Es perfecto para el uso interno Cloudflare → Origen, pero no para acceso directo.
¿Por qué sigue apareciendo el bucle de redirección después de cambiar a Full?
El navegador puede haber cacheado la cadena de redirects. Limpia la caché del navegador o abre el sitio en una pestaña de incógnito. Si el bucle persiste, revisa que no haya una regla de Page Rule en Cloudflare que fuerce HTTP, o un plugin de WordPress (como Really Simple SSL) que interfiera.
¿Con qué frecuencia debo renovar el certificado SSL en mi servidor?
Let's Encrypt expira cada 90 días. AutoSSL de cPanel lo renueva automáticamente 30 días antes del vencimiento. El Cloudflare Origin CA puede emitirse con validez de hasta 15 años. En cualquier caso, configura una alerta de monitoreo para que te avise si el certificado cae por debajo de 30 días de vigencia.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
