使用CloudFlare CDN是否需共享网站SSL私钥？相关机制问询

是否需要共享源站的SSL私钥？ #

不需要。CloudFlare通过双层SSL连接的机制实现CDN功能，完全不需要你提供源站的SSL私钥。

CloudFlare无需私钥就能处理HTTPS请求的原理 #

实际存在两层独立的SSL连接：

• 用户浏览器 ↔ CloudFlare节点：这层连接的SSL证书由CloudFlare提供，CloudFlare负责解密这层流量，从而获取用户请求的URL、资源路径等信息，判断是否有缓存资源。
• CloudFlare节点 ↔ 你的源站：这层连接的SSL证书用你源站的（比如Let's Encrypt颁发的），CloudFlare作为客户端和源站建立HTTPS连接，加密后传输数据。

当用户请求首页这类可缓存资源时：

1. 用户发起HTTPS请求到CloudFlare，CloudFlare解密后发现请求的首页已有缓存
2. CloudFlare直接从缓存中取出资源，加密后返回给用户，全程无需回源
3. 如果缓存中没有该资源，CloudFlare才会通过第二层SSL连接向源站发起请求，获取资源后缓存并返回给用户

这种机制下，CloudFlare不需要你的源站私钥，因为它只负责处理自己和用户之间的SSL连接，和源站的连接是正常的HTTPS请求，源站的私钥只在你自己的服务器上使用。

CloudFlare如何获取对应域名的SSL证书？ #

CloudFlare有两种方式获得你域名的SSL证书：

• 自动免费签发：当你将域名的DNS解析服务转到CloudFlare后，CloudFlare会自动为你的域名（包括主域名如www.abcabc.com、泛域名如*.abcabc.com）向合作的CA机构（如Let's Encrypt）申请SSL证书，这些证书会自动部署在CloudFlare的全球节点上，用户访问时直接从CloudFlare节点获取对应证书完成握手。
• 自定义证书上传（可选）：如果你希望使用自己已有的证书（比如自己申请的Let's Encrypt证书），可以手动将证书文件上传到CloudFlare，此时需要同时上传对应的私钥——但这是可选操作，大部分场景下用CloudFlare自动签发的证书就足够满足需求。

内容的提问来源于stack exchange，提问作者Yan