SSL mit Cloudflare: kostenlos für Domains und Subdomains – alle Möglichkeiten erklärt

Ein Schloss in der Adresszeile ist heute Pflicht. Ohne HTTPS warnen Browser Ihre Besucher, Google stuft die Seite ab, und Formulare sind nicht sicher. Die gute Nachricht: SSL muss nichts kosten – auch nicht für Subdomains wie shop.ihre-domain.de oder jobs.ihre-domain.de. In diesem Beitrag zeige ich, wie das mit Cloudflare funktioniert, wo die Grenzen liegen und welche Alternativen es gibt.

Wie SSL bei Cloudflare funktioniert

Cloudflare sitzt zwischen dem Besucher und Ihrem Server. Dabei gibt es zwei Verbindungen:

Besucher → Cloudflare: Hier liefert Cloudflare das Zertifikat aus (das sogenannte Edge-Zertifikat). Das ist das Schloss, das der Besucher sieht.
Cloudflare → Ihr Server: Diese Verbindung sollte ebenfalls verschlüsselt sein. Dafür bietet Cloudflare kostenlose Origin-Zertifikate an.

Was im kostenlosen Plan enthalten ist

Universal SSL für jede Domain, die Sie zu Cloudflare hinzufügen – automatisch und ohne Verlängerungsaufwand.
Abgedeckt sind die Hauptdomain (ihre-domain.de) und alle Subdomains der ersten Ebene (www., shop., jobs., app. …) – ohne Begrenzung der Anzahl.
Mehrere Domains sind möglich, jede bekommt ihr eigenes Zertifikat.
Origin-Zertifikate für Ihren Server, ebenfalls kostenlos und bis zu 15 Jahre gültig.

Nicht enthalten: Subdomains der zweiten Ebene wie api.shop.ihre-domain.de. Dafür brauchen Sie den kostenpflichtigen Advanced Certificate Manager (ca. 10 $/Monat). Einfacher und kostenlos: die Subdomain flach halten, also shop-api.ihre-domain.de.

Die wichtigste Voraussetzung

Cloudflare kann nur Zertifikate ausliefern, wenn der Datenverkehr wirklich über Cloudflare läuft. Das heißt:

Die Nameserver der gesamten Domain müssen auf Cloudflare zeigen. Nur die Domain im Cloudflare-Dashboard anzulegen reicht nicht – solange die Nameserver beim alten Anbieter liegen, passiert nichts.
Der DNS-Eintrag muss „Proxied” sein (orange Wolke). Bei grauer Wolke („DNS only”) ist Ihr eigener Server für SSL zuständig.

Nur eine einzelne Subdomain auf Cloudflare zu legen, während die Hauptdomain beim alten Anbieter bleibt, ist im kostenlosen Plan nicht möglich – das erfordert den Business-Plan.

Schritt für Schritt einrichten

Domain hinzufügen: Konto bei Cloudflare anlegen, Domain eintragen, Free-Plan wählen.
DNS-Einträge prüfen: Cloudflare übernimmt die bestehenden Einträge automatisch – aber nicht immer vollständig. Vergleichen Sie mit Ihrem bisherigen Anbieter, besonders MX- und TXT/SPF-Einträge. Fehlen sie, funktioniert Ihr E-Mail-Versand nicht mehr.
Nameserver umstellen: Beim Domain-Anbieter die beiden Cloudflare-Nameserver eintragen (oft „externe Nameserver” genannt).
Warten: Meist wenige Stunden, maximal 24. Cloudflare meldet sich per E-Mail, sobald die Domain „Active” ist.
Subdomains anlegen: A-Record (Server-IP) oder CNAME, orange Wolke an.
SSL-Modus wählen (siehe unten).
HTTPS erzwingen: Unter SSL/TLS → Edge Certificates die Option „Always Use HTTPS” aktivieren.

Die SSL-Modi verständlich erklärt

Off: Keine Verschlüsselung. Nicht verwenden.
Flexible: Besucher → Cloudflare verschlüsselt, Cloudflare → Server unverschlüsselt. Nur als Notlösung, wenn Ihr Server gar kein HTTPS kann.
Full: Beide Strecken verschlüsselt, das Server-Zertifikat wird aber nicht geprüft. Funktioniert auch mit einem selbst signierten oder „falschen” Zertifikat.
Full (strict): Beide Strecken verschlüsselt, das Server-Zertifikat muss gültig sein (z. B. Cloudflare-Origin-Zertifikat oder Let’s Encrypt). Das ist die empfohlene Einstellung.

Alle Möglichkeiten im Überblick

1. Domain komplett zu Cloudflare (kostenlos)
Die beste Lösung für die meisten Fälle: Hauptdomain und beliebig viele Subdomains mit einem Schlag abgesichert. Ihre Website und E-Mails können dabei beim bisherigen Hoster bleiben – Cloudflare übernimmt nur DNS und SSL.

2. Eigener Server oder VPS mit Let’s Encrypt (kostenlos)
Läuft Ihre Anwendung auf einem eigenen Server (z. B. mit Docker), holen Tools wie Certbot, Caddy oder Traefik automatisch ein kostenloses Let’s-Encrypt-Zertifikat für jede Subdomain. Dafür genügt ein A-Record auf die Server-IP – ganz ohne Cloudflare.

3. Statisches Hosting mit CNAME (kostenlos)
Für statische Seiten oder React-/JS-Frontends: Cloudflare Pages, Vercel, Netlify oder GitHub Pages stellen SSL automatisch bereit. Beim Domain-Anbieter wird nur die Subdomain per CNAME auf den Dienst gelegt, alles andere bleibt unverändert. Für WordPress ist das keine Option.

4. Zertifikat beim Webhoster (oft mit Aufpreis)
Viele Shared-Hosting-Pakete enthalten ein kostenloses Zertifikat – aber häufig nur für die Hauptdomain und www. Für weitere Subdomains brauchen Sie dann ein zusätzliches Zertifikat oder ein Wildcard-Zertifikat, das alle Subdomains abdeckt. Das kostet meist nur wenige Euro im Monat und ist ohne DNS-Umstellung in wenigen Klicks erledigt.

5. Unterordner statt Subdomain (kostenlos)
Wenn die Hauptdomain bereits ein gültiges Zertifikat hat: Die Seite einfach unter ihre-domain.de/jobs/ statt jobs.ihre-domain.de betreiben. Kein neues Zertifikat, keine DNS-Änderung. Einziger Nachteil: die etwas andere Adresse.

6. Tiefe Subdomains oder nur eine Subdomain auf Cloudflare (kostenpflichtig)
Für api.shop.ihre-domain.de gibt es den Advanced Certificate Manager (ca. 10 $/Monat). Wer nur eine einzelne Subdomain über Cloudflare laufen lassen will, ohne die Nameserver umzustellen, braucht den Business-Plan – für kleine Projekte meist zu teuer.

Häufige Fehler und ihre Lösung

Endlose Weiterleitung (ERR_TOO_MANY_REDIRECTS): Typisch bei Modus „Flexible”, wenn der Server selbst auch auf HTTPS umleitet. Lösung: auf „Full” umstellen oder die Weiterleitung am Server abschalten.
ERR_CERT_COMMON_NAME_INVALID: Das Zertifikat passt nicht zum Namen, z. B. ein Hauptdomain-Zertifikat auf einer Subdomain. Wichtig: Eine .htaccess-Weiterleitung auf https:// löst das nicht – der Browser prüft das Zertifikat nach der Weiterleitung trotzdem und zeigt die Warnung.
Fehler 525 / 526: Cloudflare erreicht den Server nicht per SSL (525) oder das Server-Zertifikat ist ungültig (526, bei „Full (strict)”). Lösung: Origin-Zertifikat auf dem Server installieren oder vorübergehend „Full” verwenden.
Kein SSL trotz Cloudflare-Konto: Die Nameserver zeigen noch auf den alten Anbieter, oder der DNS-Eintrag steht auf grauer Wolke.
E-Mails kommen nicht mehr an: MX- oder SPF-Eintrag wurde beim Umzug nicht übernommen.
WordPress zeigt „Nicht sicher”: Unter Einstellungen → Allgemein beide URLs auf https:// umstellen.

Checkliste

Nameserver der gesamten Domain bei Cloudflare
MX- und SPF-Einträge übernommen
Subdomains als „Proxied” (orange Wolke)
SSL-Modus „Full (strict)” mit Origin-Zertifikat
„Always Use HTTPS” aktiviert
Nur Subdomains der ersten Ebene (oder ACM gebucht)

Unterstützung gewünscht?

DNS-Umzug, SSL für Ihre Subdomains, eigener Server mit Docker und Let’s Encrypt oder ein WordPress-Umzug ohne Ausfall – ich richte das für Sie ein. Schreiben Sie mir einfach über innosynch.com.