Cloudflare 开 Full strict 报 526 怎么修

现象#

SSL/TLS 模式从 Full 改成 Full (strict) 后，所有页面变成 526 Invalid SSL certificate，而源站解析指向的是 Shopify。

原因#

• 526 表示 Cloudflare 握手成功但不信任回源证书，严格模式会校验证书链与主机名。
• 回源请求的 SNI 是 Cloudflare 边缘的主机名，Shopify 返回的证书未必覆盖该名字。
• Shopify 不允许上传自定义证书，无法用 Origin CA 去满足 Cloudflare 的信任要求。
• 代理层改写了 Host 头，回源落到默认站点，证书与请求域名不匹配。

处理步骤#

1. 先确认 dig +short example.com 返回 Shopify 地址。
2. 把该记录的代理关掉改为 DNS only，这是 Shopify 官方支持的接入方式。
3. 必须保留 Cloudflare 时只当纯 DNS 用，不要再让流量经它的边缘回源。
4. 清理 Cloudflare 缓存并重载页面，确认不再返回 526。
5. 用 curl -I https://example.com 验证直连后的状态码与响应头。

验收标准#

页面返回 200，响应头含 x-shopid，Cloudflare 的分析面板里不再出现 526。