如何修复IIS+Cloudflare环境下站点SSL失效返回403 Forbidden的问题

• 核心触发原因是IIS开启了Require Client Certificate选项，Cloudflare近期更新了回源所用的客户端证书/证书链，你服务器IIS的受信任证书列表未同步更新，导致IIS不认可Cloudflare回源时携带的客户端证书，直接返回403错误，完全匹配无配置改动下突发故障的特征。
• 次要验证点：可能存在源站IIS服务器证书过期、多站点SNI绑定错误的情况，导致Strict模式下Cloudflare无法验证源站证书有效性，触发回源错误。

第一步 定位具体错误（可选） #

登录VPS查看IIS站点日志，找到403错误对应的子状态码：

• 403.7：客户端未提供证书
• 403.16：客户端证书不受信任
  以上两个子码均可直接定位为客户端证书相关问题。

第二步 修复IIS配置 #

二选一即可：

• 快速修复（无额外访问控制需求推荐）：打开IIS对应站点的SSL设置，将「Require Client Certificate」修改为忽略客户端证书，保留「Require SSL」勾选。
• 保留客户端证书验证（需要源站访问控制推荐）：获取Cloudflare最新的回源客户端根证书，导入到服务器的「受信任的根证书颁发机构」存储区，重启IIS服务生效。

第三步 恢复Cloudflare配置 #

• 确认源站IIS的服务器证书未过期、域名匹配、443端口绑定正确，多站点场景需确认对应域名的SSL绑定开启了SNI。
• 将Cloudflare SSL模式改回Strict，恢复所有原有配置即可。

第四步 验证效果 #

清空本地DNS缓存，使用隐身模式访问站点，确认HTTPS访问正常，IIS日志无新的403错误即可。

内容的提问来源于stack exchange，提问作者clarence_odbody