4-3 本社へ送る手紙の封（encryption mode）
お客さん（利用者）からの手紙に封をしても、窓口が本社へ用件を伝える手紙が封なしなら、そこで読まれてしまいます。そこで、この区間の封（暗号化）の決まりを別に決めます。
いま読んでいるこのサイト（Cloudflare Lab）は本社が Cloudflare 自身なので、この区間がありません。それでも、対外で Cloudflare を提案するときは必ず聞かれる話なので、ここで整理します。
ここでは、封の四つの決まり、公式の推奨、自動で決める仕組み、本社が無い店の順に見ます。
Learning goals
この節でできるようになること
- 四つの encryption mode を封の決まりとして言い分けられる
- 公式が勧める mode とその理由を言える
- Automatic SSL/TLS が何をするかを説明できる
- Built on Cloudflare の店でこの区間がどうなるか説明できる
1. 封の四つの決まり（encryption mode）
Section titled “1. 封の四つの決まり（encryption mode）”窓口から本社への手紙は、封をしない・封をする・封をして相手の身分証（証明書）も確かめる、と段階があります。
Cloudflare では、この区間の決まりを encryption mode と呼び、公式は次の四つを説明しています。Off はどちらの区間も封なし（すべて平文の HTTP）。Flexible はお客さん↔窓口は封あり、窓口↔本社は封なし。Full は窓口↔本社も封ありだが本社の身分証は確かめない。Full (strict) は封ありで、本社の身分証も確かめる、です。
実物では、本社が HTTPS に対応していない古いサーバーなら Flexible しか選べません。本社に正しい身分証があるなら Full (strict) にできます。
上から下へ、封の厳しさが増します。一番下だけが、本社の身分証まで確かめます。
つまり、四つの決まりは「本社との区間をどこまで守るか」の段階です。
2. 公式の推奨
Section titled “2. 公式の推奨”封をしても、相手の身分証を確かめなければ、偽の本社に手紙を渡す恐れが残ります。
公式は「可能な限り Full か Full (strict) を強く推奨する」と書いています。Full (strict) では、本社の証明書が Let’s Encrypt などの公の発行所か Cloudflare Origin CA から発行されたものであることを確かめます。
実物では、本社側に有効な証明書を置けるなら Full (strict) が最も安全です。Flexible は「本社が封に対応するまでのつなぎ」と考えます。
封をして、本社の身分証も確かめる。この二つがそろった状態が推奨です。
つまり、迷ったら Full (strict)、本社が対応できないときだけ一段下げます。
3. 自動で決める仕組み（Automatic SSL/TLS）
Section titled “3. 自動で決める仕組み（Automatic SSL/TLS）”決まりを手で選ぶのが不安なら、Cloudflare が本社の様子を見て、安全な方へ自動で切り替える仕組みがあります。
公式は、既定の Automatic SSL/TLS では SSL/TLS Recommender が最も安全な mode を自動で選ぶと書いています。Cloudflare-SSLDetector という名前でサイトを確かめ、HTTP と HTTPS の両方で内容を取って一致を見た上で、少しずつ通信を移します。より低い安全性の mode へは自動で変えません。
実物では、手で mode を固定したいときは、ダッシュボードの SSL/TLS Overview で選びます。
本社が封に対応しているかを Cloudflare が確かめ、安全な方へだけ段階を上げます。下げる方向には動きません。
つまり、Automatic SSL/TLS は「安全な方へ自動で上げる」仕組みです。
4. 本社が無い店では（Built on Cloudflare）
Section titled “4. 本社が無い店では（Built on Cloudflare）”本社が Cloudflare 自身なら、窓口から本社への手紙はそもそも外へ出ません。
第 1 章の Built on Cloudflare がこれです。Cloudflare Lab の返事は Worker と Static Assets（第 2 章）で窓口の中で完成し、本社への区間がありません。
実物では、それでもダッシュボードには encryption mode の設定が表示されます。設定自体は残っていますが、Cloudflare Lab の返事はこの区間を通らないので、この章で手を入れる必要はありません。
本社の建物が無く、窓口の中で返事が完成します。右側の区間の封の決まりは、この店には関係しません。
つまり、Built on の店では、身分証の話は edge certificate だけで完結します。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した四つの決まりが、いま読んでいる Cloudflare Lab でどう扱われるかを見ます。
Cloudflare Lab は Built on Cloudflare で、窓口と本社の区間がありません。ダッシュボードの SSL/TLS Overview に表示される mode を確認した後に、実測として記録しますが、値を変える予定はありません。対外で「既存の本社の前に Cloudflare を置く（Built with）」提案をするときに、この節の推奨を使います。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- encryption mode は窓口↔本社の区間の封の決まりで、Off → Flexible → Full → Full (strict) の順に厳しくなります。
- 公式は Full か Full (strict) を強く勧めています。
- Cloudflare Lab は Built on なので、この区間がありません。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 窓口↔本社の封の決まり encryption mode / Off 封なし / Flexible お客さん側だけ封 / Full 両方封・身分証は見ない / Full (strict) 両方封・身分証も確認 / 公式の推奨 / Built on の店は この区間が無い
次の節では、封をしていない手紙で来たお客さんに、封筒で出し直してもらう設定を見ます。
この節のチェック
© 2026 osdse