Si la página de Cloudflare muestra un error, empezá por el número. Esta guía cubre cuatro casos de conexión entre Cloudflare y el servidor donde está alojada la web. Si sos visitante, compartí los datos del error con quien administra el sitio. Si administrás la web, elegí el código para saber qué revisar primero.
Ir al error 521 · 522 · 525 · 526.
521 · El servidor de origen rechazó la conexión
Revisá primero si el servidor web está activo y acepta conexiones en el puerto que Cloudflare usa para llegar al origen.
- Confirmá con el hosting que el servidor web esté escuchando en el puerto configurado para el origen. Con Full o Full (strict), comprobá que el origen acepte HTTPS.
- Si el servicio está activo, pedí que revisen si el firewall o los límites de conexión están rechazando las IP oficiales de Cloudflare. Compartí la hora del fallo para que puedan contrastarla con los registros del servidor.
522 · Se agotó el tiempo de conexión al origen
Si empezó después de una migración, verificá primero que Cloudflare esté intentando llegar a la IP del servidor nuevo.
- Revisá en el panel de Cloudflare el destino del registro DNS y cualquier regla que cambie el origen. El informe DNS público ayuda a comprobar la delegación y lo que ven los visitantes. Con el proxy activo, las IP públicas suelen corresponder a Cloudflare.
- Si el destino es correcto, pedí al hosting que compruebe disponibilidad, carga y si el firewall descarta o limita conexiones de Cloudflare. Si es intermitente, anotá dos o tres horas de ejemplo para cruzarlas con los registros.
525 · Falló la negociación TLS con el origen
Pedile al hosting que pruebe HTTPS directamente contra el origen con el mismo nombre que falla, incluido www si corresponde.
- En Full o Full (strict), el proveedor debe comprobar que el puerto HTTPS responda y que el servidor pueda negociar TLS para ese nombre. Si usa alojamiento compartido, que revise el certificado que entrega al recibir el nombre de servidor (SNI).
- Si la falla es intermitente, compartí horas y nombres afectados. Los registros TLS del origen pueden mostrar en qué punto se cortó la negociación o si hay una incompatibilidad de protocolos o cifrados.
526 · Cloudflare no pudo validar el certificado del origen
Si usás Full (strict), pedile al hosting que revise la vigencia, el nombre y la cadena del certificado que entrega el origen.
- Confirmá que el certificado cubra el nombre exacto que falla, que siga vigente y que el origen entregue la cadena intermedia cuando corresponda. Cloudflare admite certificados de una autoridad pública y certificados Cloudflare Origin CA para este tramo.
- Si el certificado está vencido o corresponde a otro nombre, corregilo en el origen y repetí la prueba con Full (strict). Si hay varios orígenes, revisá el certificado en cada uno.
Qué podés comprobar desde la web pública
El verificador SSL te muestra el certificado que recibe un visitante. Si Cloudflare actúa como proxy, ese certificado corresponde al extremo público de Cloudflare. Para investigar un 525 o 526, el hosting tiene que comprobar por separado el tramo entre Cloudflare y el origen.
Si la falla empezó tras una migración, compará el dominio principal y www en el informe DNS. Si tu navegador muestra una advertencia propia de certificado, seguí la guía de conexión no privada.
Qué enviar a soporte
Copiá el código, el nombre afectado, la hora aproximada con zona horaria y el Cloudflare Ray ID que aparece en la pantalla, si está disponible. El identificador y la hora ayudan a ubicar la solicitud. Si falla una sola página, agregá su ruta pública. Si el error aparece y desaparece, indicá desde cuándo ocurre. Qué es un Ray ID.
Si la pantalla muestra 502 Bad Gateway o 403 Forbidden, seguí la guía de ese código. Para otros errores, consultá el listado de errores 5xx de Cloudflare.
Si Cloudflare muestra un 503 o un 504, consultá la guía de Service Unavailable o la guía de Gateway Timeout.