5xx · Errores del servidor

Error 526 Invalid SSL Certificate (Cloudflare): qué significa y cómo solucionarlo

El error 526 de Cloudflare (Invalid SSL certificate) aparece con el modo SSL "Full (strict)" cuando el certificado de tu servidor de origen no es válido: ha caducado, es autofirmado, no cubre el dominio o le falta la cadena intermedia. La solución es renovar o instalar un certificado válido en el origen.

Qué significa el código 526

Full (strict) es el modo más seguro: Cloudflare exige que el origen tenga un certificado válido y firmado por una autoridad de confianza (o un certificado de origen de Cloudflare). Si no lo cumple, prefiere cortar a conectar sin garantías.

Causas habituales del error 526

Certificado caducado (la renovación de Let's Encrypt falló).
Certificado autofirmado.
El certificado no incluye el dominio o el subdominio (falta en el SAN).
Falta el certificado intermedio (fullchain).

Cómo solucionar el error 526

Comprueba la fecha y los dominios del certificado del origen.
Renueva con certbot renew y recarga nginx.
Usa fullchain.pem y no cert.pem en ssl_certificate.
O instala un certificado de origen de Cloudflare, válido 15 años y aceptado en modo strict.

Configuración y comandos

Ver caducidad y dominios del certificado del origen

bash

echo | openssl s_client -connect 203.0.113.10:443 -servername ejemplo.com 2>/dev/null \
  | openssl x509 -noout -dates -subject -ext subjectAltName

Renovar Let's Encrypt

bash

sudo certbot renew --dry-run
sudo certbot renew && sudo systemctl reload nginx

Ejemplo de respuesta

http

HTTP/2 526
server: cloudflare

Herramientas para comprobarlo

Preguntas frecuentes

¿Puedo usar un certificado autofirmado con Cloudflare?

Con el modo Full sí; con Full (strict) no. Lo recomendable es usar el certificado de origen gratuito de Cloudflare, que sí es válido en modo strict.

Códigos relacionados

Ver todos los códigos de estado HTTP