Kort svar: Sæt Cloudflare til Full (strict), når serveren har et gyldigt certifikat. Flexible sender trafikken ukrypteret mellem Cloudflare og din server og giver både redirect-loops og falsk tryghed; Full krypterer, men validerer ikke serverens certifikat. Med et gratis Let’s Encrypt-certifikat eller et gratis Cloudflare Origin-certifikat på serveren koster Full (strict) ingenting. Står zonen på Cloudflares nye automatiske tilstand, så kontrollér, hvilken tilstand den reelt har valgt.
Fagligt gennemgået: 2. oktober 2026
SSL-tilstanden i Cloudflare afgør, hvordan trafikken beskyttes på anden halvdel af rejsen – fra Cloudflare til din server. Hængelåsen i browseren siger kun noget om første halvdel, fra den besøgende til Cloudflare. Det er præcis derfor, den forkerte tilstand kan se pæn ud udadtil, mens den giver loops eller sender loginoplysninger og ordredata ukrypteret gennem nettet.
Guiden forklarer tilstandene, hvorfor Flexible skaber problemer, hvordan du skifter sikkert til Full (strict), og hvordan du verificerer, at hele kæden er krypteret og valideret.
De fire klassiske tilstande forklaret
Indstillingen ligger på siden SSL/TLS → Overview i Cloudflare-dashboardet og gælder forbindelsen mellem Cloudflare og din server, også kaldet origin. Dashboardets menuer ændrer sig løbende, så led efter krypteringstilstanden (encryption mode) under SSL/TLS, hvis navnene ikke matcher helt.
| Tilstand | Cloudflare → server | Vurdering |
|---|---|---|
| Off | Ingen HTTPS overhovedet | Brug aldrig |
| Flexible | Ukrypteret HTTP | Ser sikker ud i browseren – er det ikke |
| Full | Krypteret, men certifikatet valideres ikke | Bedre – men åben for falske eller udløbne certifikater |
| Full (strict) | Krypteret med gyldigt, valideret certifikat | Standardvalget for WordPress |
Ud over de fire klassiske tilstande findes Strict (SSL-Only Origin Pull), hvor Cloudflare altid henter fra serveren over HTTPS med validering – også når den besøgende selv kom ind over HTTP. For et almindeligt WordPress-site, hvor alle besøgende alligevel sendes videre til HTTPS, giver Full (strict) samme beskyttelse.
Den automatiske tilstand: tjek, hvad den har valgt
Nyere Cloudflare-zoner står som udgangspunkt på Automatic SSL/TLS. Her undersøger Cloudflare selv din server og vælger den mest sikre tilstand, som origin kan håndtere. Alternativet er Custom, hvor du selv vælger en af tilstandene ovenfor.
Den automatiske tilstand er en god hjælp, men den kan kun vælge Full (strict), hvis serveren allerede har et gyldigt certifikat. Mangler certifikatet, eller svarer serveren kun på HTTP, ender zonen på en svagere tilstand. Åbn derfor SSL/TLS-oversigten og se, hvilken tilstand der faktisk er aktiv. Står der noget andet end Full (strict), er det et tegn på, at serveren mangler noget – ikke at Cloudflare har valgt forkert.
Hvorfor Flexible giver problemer
Med Flexible taler Cloudflare HTTP med din server. Det giver to klassiske fejlbilleder.
Det første er redirect-loopet: Serveren ser en HTTP-request og redirecter til HTTPS. Cloudflare henter igen over HTTP, serveren redirecter igen – og browseren ender i ERR_TOO_MANY_REDIRECTS. Hele mønsteret er beskrevet i guiden om for mange redirects. WordPress forstærker problemet, fordi både siteurl, home, .htaccess og sikkerhedsplugins kan stå for hver sin redirect.
Det andet er den falske tryghed: Besøgende ser en hængelås, men login, formularer og ordredata rejser ukrypteret på strækningen fra Cloudflare til serveren. Den strækning går gennem offentlige netværk, ikke gennem en privat ledning.
Flexible blev populær i en tid, hvor certifikater kostede penge og var besværlige at installere. Med gratis Let’s Encrypt-certifikater og automatisk fornyelse er den begrundelse væk.
Hvorfor Full alene ikke er nok
Full krypterer forbindelsen, men Cloudflare accepterer ethvert certifikat på serveren – også et selvsigneret, et udløbet eller et udstedt til et helt andet domæne. Krypteringen beskytter mod passiv aflytning, men ikke mod, at nogen udgiver sig for at være din server.
Full er derfor en brugbar mellemstation under et skifte, men ikke et slutmål. Bliver zonen stående på Full, skjuler den desuden udløbne certifikater på serveren: Alt ser fint ud, indtil nogen en dag slår Full (strict) til og pludselig får fejl.
Før du skifter tilstand
Før du ændrer noget: Notér den nuværende tilstand, så du kan rulle tilbage på sekunder. Skift helst uden for travle timer, og hav adgang til både Cloudflare-dashboardet og hostingens kontrolpanel klar.
Tjek tre ting, før du klikker:
- Har serveren et certifikat, der dækker både domænet og eventuelt www-varianten?
- Er certifikatet gyldigt i dag, og fornyes det automatisk?
- Er der redirect-regler både i .htaccess, et plugin og Cloudflare? Så skal du vide, hvilket lag du vil beholde.
Vejen til Full (strict)
- Sørg for et gyldigt certifikat på serveren. Hos Hostious følger gratis SSL fra Let’s Encrypt med på WordPress- og WooCommerce-hosting. Alternativt kan du bruge et Cloudflare Origin-certifikat (se næste afsnit).
- Skift tilstanden til Full (strict) på SSL/TLS-oversigten. Står zonen på Automatic, vælger du Custom og derefter Full (strict).
- Test med det samme: forside, wp-admin og én underside. Får du 526-fejl, er serverens certifikat udløbet eller udstedt til et andet navn. En 525 betyder, at TLS-håndtrykket fejler. Begge dele er beskrevet i guiden om 525 og 526.
- Slå “Always Use HTTPS” til under SSL/TLS → Edge Certificates, og fjern dobbelte redirect-regler i .htaccess eller plugins, så kun ét lag sender HTTP videre til HTTPS.
Hvis noget går galt, er tilbagerulningen enkel: Sæt tilstanden tilbage til den tidligere værdi, ret certifikatet på serveren, og prøv igen. Gå ikke tilbage til Flexible som permanent løsning.
Origin-certifikater
Kan serveren ikke få et offentligt certifikat, for eksempel fordi domænets validering kun kan ske gennem Cloudflare, udsteder Cloudflare gratis Origin-certifikater med op til 15 års levetid (under SSL/TLS → Origin Server). Full (strict) godkender dem på linje med offentlige certifikater.
Origin-certifikater er kun betroet af Cloudflare – ikke af browsere. De virker derfor udelukkende bag proxyen: Slår du den orange sky fra, ser besøgende en certifikatfejl. Har hostingen automatisk Let’s Encrypt, er det ofte det enkleste valg, fordi sitet så også virker med grå sky. Valget afhænger af, om skyen altid skal være orange; se guiden om orange og grå sky.
| Certifikat | Fornyelse | Virker med grå sky | Godt til |
|---|---|---|---|
| Let’s Encrypt på serveren | Automatisk – certifikatet gælder højst 90 dage | Ja | De fleste WordPress-sites |
| Cloudflare Origin-certifikat | Op til 15 år | Nej – kun bag proxyen | Sites, der altid kører bag Cloudflare |
Gem den private nøgle til et Origin-certifikat et sikkert sted. Cloudflare viser den kun én gang, når certifikatet oprettes.
Verifikation
Opsætningen er korrekt, når:
- tilstanden står på Full (strict) – ikke kun på Automatic uden at du har set, hvad den valgte;
- forside, undersider og wp-admin svarer uden loops eller 52x-fejl;
- http-adresser redirecter til https i ét hop – tjek med
curl -I http://ditdomæne.dk; - certifikatet på serveren fornys automatisk.
curl -I http://ditdomæne.dk
curl -I https://ditdomæne.dkDet første kald skal give én 301 eller 308 til HTTPS-adressen. Det andet skal give 200 uden yderligere redirects.
Notér datoen for skiftet. Dukker der 526 op om nogle måneder, er det næsten altid en certifikatfornyelse på serveren, der fejlede – ikke Cloudflare. Fejlfindingen står i guiden om udløbne certifikater.
Læs også
- Hub: Cloudflare-guides til WordPress
- Cloudflare 525 og 526: handshake og ugyldigt certifikat
- For mange redirects mellem Cloudflare og WordPress
- SSL-certifikatet er udløbet
- Mixed content efter SSL
- WordPress hosting hos Hostious – gratis SSL fra Let’s Encrypt og dansk support
Ofte stillede spørgsmål om SSL-tilstande
Hvorfor virker mit site fint på Flexible?
Fordi problemerne er usynlige, indtil de ikke er: Trafikken til serveren er ukrypteret, og én redirect-regel på serveren kan udløse loops. At det “virker”, er ikke det samme som, at det er sikkert.
Koster Full (strict) noget?
Nej. Let’s Encrypt på serveren er gratis, Cloudflares Origin-certifikater er gratis, og selve tilstanden er en gratis indstilling på alle Cloudflare-planer.
Hvad hvis jeg får fejl lige efter skiftet til Full (strict)?
En 526 betyder ugyldigt eller udløbet certifikat på serveren, en 525 at TLS-håndtrykket fejler. Begge er serverproblemer med præcise løsninger – og et argument for at automatisere certifikatfornyelsen, ikke for at gå tilbage til Flexible.
Kan jeg bare lade Cloudflare stå på Automatic?
Ja, hvis du har kontrolleret, at den automatiske tilstand faktisk har valgt Full (strict). Har den valgt en svagere tilstand, mangler serveren typisk et gyldigt certifikat, og det skal rettes først.
Udgivet 30. august 2026Opdateret 3. oktober 2026Fagligt gennemgået 2. oktober 2026