Cloudflare 520・522・524・525・526エラーの原因と対処法｜切り分け手順を解説
Cloudflare経由のサイトで5xxエラーが出ると、『Cloudflareが落ちている』と判断しがちです。しかし、520、522、524、525、526は、Cloudflareとオリジンサーバーの間で起きた異なる問題を示します。コードの意味を分けると、ネットワーク、アプリ、TLSのどこを調べるべきか絞れます。
障害対応では、何度も再読み込みするだけでなく、発生時刻、URL、Ray ID、Cloudflareイベント、オリジンログ、負荷、証明書を同じ時間軸で確認します。一時的に復旧しても、原因と再発条件が残れば完了ではありません。
520はオリジンから予期しない応答、522はCloudflareからオリジンへの接続確立タイムアウト、524は接続後に応答を待ち切れない状態、525はTLSハンドシェイク失敗、526は証明書検証失敗として、該当層のログと設定を確認します。
本記事のポイント
- 520は予期しないオリジン応答、522は接続タイムアウト、524は接続後の応答待ち、525・526はTLS関連として切り分けます。
- エラー画面、発生時刻、URL、Ray ID、Cloudflareイベント、オリジンアクセス・エラーログを同じ時刻で照合します。
- Cloudflareを無効化して終わらせず、オリジン負荷、ファイアウォール、証明書、長時間処理を修正し、再発監視を追加します。
この記事で分かること
| 確認対象 | 見る内容 | 判断のポイント |
|---|---|---|
| 520 | 予期しない・空・不正なオリジン応答 | Webサーバー・アプリ・ヘッダー・ログ |
| 522 | オリジンへの接続タイムアウト | 到達性・FW・負荷・Cloudflare IP許可 |
| 524 | 接続後の応答タイムアウト | 長時間処理・DB・外部API・非同期化 |
| 525 | TLSハンドシェイク失敗 | 443・暗号設定・SNI・オリジンTLS |
| 526 | オリジン証明書を検証できない | 期限・ホスト名・チェーン・Full strict |
最初の10分で共通証拠を集める
エラーコード、発生時刻、完全なURL、利用者のネットワーク、Ray ID、再現条件を記録します。複数ページ・地域・端末で発生するかを確認し、Cloudflareのステータスとイベント、直近のDNS・WAF・証明書・デプロイ変更も確認します。
同時刻のオリジンアクセスログとエラーログ、CPU、メモリ、接続数、ディスク、DB、外部APIを確認します。アクセスログに記録がなければ接続前、記録後に応答がないならアプリ処理側など、層を絞れます。
520：予期しないオリジン応答を調べる
520は、Cloudflareがオリジンから期待どおりのHTTP応答を受け取れない場合に現れます。Webサーバーやアプリのクラッシュ、空の応答、不正なヘッダー、過大なヘッダー、接続リセットなどを確認します。
該当URLをオリジンへ直接、正しいHostヘッダーとTLS条件で再現し、Webサーバー・アプリ・プロキシのログを確認します。CloudflareをDNSのみにして一時回避した場合も、原因が消えたとは判断しません。
522と524：接続前後を分ける
522はCloudflareがオリジンへ接続を確立できない状態です。オリジン停止、過負荷、ネットワーク障害、ファイアウォールがCloudflareの送信元を拒否、誤ったIP、接続枯渇などを確認します。
524は接続自体はできたものの、オリジンの応答が時間内に返らない状態です。重いDBクエリ、同期バッチ、巨大ファイル生成、外部API待ちなどを調べます。長時間処理はキューへ移し、受付と完了取得を分ける設計を検討します。
525と526：TLSハンドシェイクと証明書検証を分ける
525はCloudflareとオリジンのTLSハンドシェイクが成立しない場合です。443番ポート、SNI、対応暗号・プロトコル、オリジンのTLS設定、接続拒否を確認します。
526はFull (strict)などでオリジン証明書を検証できない場合です。期限切れ、対象ホスト名不一致、信頼されない発行元、証明書チェーン不足を確認します。暫定的に検証を弱めたまま放置せず、証明書を修正してFull (strict)へ戻します。
復旧確認と再発防止
エラーが消えたら、トップページだけでなく、問題URL、フォーム、ログイン、API、画像、複数地域から確認します。Cloudflareキャッシュに成功応答が残って見えているだけでないかも確認します。
オリジン監視、証明書期限、接続数、遅い処理、DBクエリ、外部API、ファイアウォール変更を監視対象へ追加します。障害記録には原因、影響、回避、恒久対応、再発検知、所有者を残します。
本番導入で必要な変更管理と評価方法
Cloudflareの設定は通信経路の手前で効くため、小さな変更でも複数ページや外部連携へ影響します。開発・検証環境で再現できるものは先に試し、本番では対象ホスト、パス、利用者、時間帯を限定して段階反映します。変更票には目的、変更前後、実施者、承認者、確認URL、期待結果、切り戻し条件を残します。
確認は「画面が開くか」だけで終えません。HTTPステータス、レスポンスヘッダー、認証、フォームやAPIの完了、オリジンログ、Cloudflareイベントを同じ時刻で照合します。正常系だけでなく、権限なし、期限切れ、過剰アクセス、外部API停止、再送などの異常系も試し、利用者へ返すエラーと運用担当者が見る証拠を分けます。
導入効果は、表示速度やブロック件数など一つの数値だけで評価しません。可用性、正常完了率、オリジン負荷、エラー率、誤検知、サポート問い合わせ、変更作業時間、月額・従量費を導入前後で比較します。性能が上がっても問い合わせやログインの失敗が増えていれば、事業成果としては改善していません。
料金と上限は利用プランや使用量で変わります。無料枠や小規模検証の結果をそのまま本番へ外挿せず、ピーク時のリクエスト、保存・操作、ログ量、利用者数、サポート、監査要件を公式料金ページと契約条件で確認します。上限へ近づいたときの通知と、機能を縮退させる順序も決めます。
設定の所有者と定期レビュー日を決め、不要なルール、トークン、例外、接続先を残しません。Cloudflare画面だけでなく、設定のエクスポート、コード、変更履歴、復旧手順をチームで参照できる場所へ保管します。担当者の退職や委託先変更があっても、誰が承認し、どこまで戻せるか分かる状態を維持します。
公開後は一週間程度の観測期間を設け、導入前と同じ時間帯・同じURL・同じ業務操作で比較します。異常がなくても、例外が増え続けていないか、想定外の回避策が現場で使われていないかを確認します。問題が見つかった場合は、影響を受けた利用者とデータを特定し、暫定回避と恒久修正を分けて記録します。
また、Cloudflare以外の構成要素を含む依存関係図を残します。DNS、レジストラ、オリジン、IdP、メール、外部API、監視、CI/CDのどこで設定が重複し、どこが単一障害点になるかを明示します。障害時に別サービスの担当者へ連絡すべき条件も決めておくと、Cloudflare側だけを調べ続ける時間を減らせます。
本番の設定変更は、可能ならAPIやInfrastructure as Codeで再現可能にし、画面で行った緊急変更も後から正本へ戻します。秘密情報は設定ファイルへ直接書かず、環境ごとのSecret管理へ分離します。手作業とコードの状態がずれると、次回デプロイで緊急修正が消えるため、復旧後の同期までをインシデント対応に含めます。
公開・変更前チェックリスト
- コード・時刻・URL・Ray IDを記録した
- Cloudflareと直近変更を確認した
- オリジンのアクセス・エラーログを照合した
- 520は応答・ヘッダー・アプリを確認した
- 522は到達性・FW・負荷を確認した
- 524は長時間処理を確認した
- 525・526はTLSと証明書を分けて確認した
- 復旧後に監視と恒久対応を追加した
よくある質問
Cloudflareを一時的にDNSのみにすれば直りますか？
症状が回避される場合はありますが、防御・キャッシュが外れ、原因も残ります。影響と承認を確認し、診断目的の暫定対応として扱います。
522と524の違いは？
522はオリジンとの接続確立段階、524は接続後に応答を待つ段階のタイムアウトです。
526はCloudflare証明書の問題ですか？
主にCloudflareがオリジン証明書を検証できない問題です。利用者向けEdge証明書とオリジン証明書を分けて確認します。
Ray IDは何に使いますか？
Cloudflare側のイベントと特定リクエストを照合する手掛かりです。発生時刻、URL、利用者情報と一緒に記録します。
関連ページと関連記事
仕様確認に使った公式情報
Cloudflareの機能、プラン、上限、画面構成は更新されます。実装時は利用する機能の最新公式ドキュメントも確認してください。
まとめ
Cloudflare 5xxエラーを、Cloudflare側・ネットワーク・オリジン・アプリ・TLSの層へ分けて調査する障害対応ガイドです。 設定を有効にしただけで完了とせず、正常系・異常系・切り戻しを同じ手順で確認することが、安全な運用につながります。
