国内 CDN 回源 Shopify 报 525 SSL 握手失败

现象#

阿里云或腾讯云 CDN 控制台诊断显示回源失败 525，用户访问加速域名看到 SSL handshake failed，直连源站却完全正常。

原因#

• 525 表示 CDN 与源站 TLS 握手没完成，常见于回源端口填 80 但协议选了 HTTPS。
• 回源未开启 SNI，Shopify 边缘收到空 SNI，无法选出对应证书。
• 回源 Host 与加速域名不一致，证书校验落在别的主机名上。
• CDN 侧又加了强制 HTTPS 跳转，与 Shopify 的 301 叠加成循环。

处理步骤#

1. 把回源协议设为 HTTPS、端口 443，不要用 80 端口配 HTTPS。
2. 开启 SNI 并填写加速域名本身，不要留空或填源站 IP。
3. 回源 Host 与加速域名保持一致，避免请求落到默认站点。
4. 本地用 openssl s_client -servername 验证证书返回。
5. 关闭 CDN 的强制跳转，只保留 Shopify 侧的 301。

验收标准#

CDN 诊断显示回源 200，经加速域名访问响应头含 x-shopid，无 525 与重定向循环。