Cloudflare の SSL/TLS の暗号化モードの違いと、最低の TLS のバージョンの選び方

公開日：2026年10月11日

Cloudflare の SSL/TLS の設定には、Flexible・Full・Full (strict) という暗号化モードと、最低の TLS のバージョンという設定があります。
どれを選べばよいか分からず、初期の値のまま使われていることが多い設定です。
本記事では、暗号化モードの違いと選び方、最低の TLS のバージョンの選び方を、弊社の実測とともに説明いたします。

暗号化は2つの区間に分かれる

Cloudflare を通したサイトの通信は、次の2つの区間に分かれます。

1. 訪れた人のブラウザーから Cloudflare まで
2. Cloudflare から裏側のサーバーまで

ブラウザーの鍵マークが表すのは、1. の区間だけです。
暗号化モードは、2. の区間をどう扱うかを決める設定です。

暗号化モードの違い

Cloudflare の公式の文書も、可能であれば Full か Full (strict) を使うよう強く勧めています。
Flexible では Cloudflare からサーバーまでの通信が暗号化されず、WordPress が「HTTP で来た」と判断して転送を繰り返す原因にもなります。詳しくは「「リダイレクトが繰り返されました」で WordPress が開けなくなる理由」で説明しています。

Full (strict) では、サーバーの証明書が切れるとサイトにエラーが表示されます。
Cloudflare は、証明書が切れても自動で Full へ下げることはしません。期限の管理は「裏側のサーバーの SSL 証明書が期限切れになると何が起きるか」で説明しています。

最低の TLS のバージョン

最低の TLS のバージョンは、ブラウザーから Cloudflare までの区間で、どの版の TLS 以上を受け付けるかの設定です。
たとえば 1.2 を選ぶと、TLS 1.0・1.1 で接続しようとした人は拒否され、1.2・1.3 の人だけが接続できます。

2026年10月11日に弊社が手元で確認した、最低の TLS のバージョンを変えていないサイトでは、TLS 1.0・1.1・1.2・1.3 のすべてで接続でき、応答は200でした。
初期の値のままでは、古いバージョンでも接続できる状態です。

どの版を選ぶか

決済の仕組みや取引先のシステムがサイトへ接続している場合は、変える前に、その接続が TLS 1.2 以上に対応していることを確認します。

見直しの手順

1. サーバーに有効な証明書が入っているかを確認する（Let’s Encrypt・サーバーの会社の無料の証明書・Cloudflare の Origin CA 証明書のどれでも構いません）
2. 暗号化モードを Full (strict) にし、ページ・管理画面・フォームが開けることを確認する
3. 最低の TLS のバージョンを 1.2 にする
4. TLS 1.1 で接続しようとすると拒否されることを確認する

出典

• Cloudflare「Encryption modes」 https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/（2026年10月11日 確認）
• Cloudflare「Minimum TLS Version」 https://developers.cloudflare.com/ssl/edge-certificates/additional-options/minimum-tls/（2026年10月11日 確認）
• IETF「RFC 8996 Deprecating TLS 1.0 and TLS 1.1」 https://www.rfc-editor.org/rfc/rfc8996（2026年10月11日 確認）