我想跟進確認一下，您的問題是否已經解決。如果您還需要更多資訊，歡迎隨時回覆。 如果上述資訊對您有所幫助，歡迎點擊 「Accept Answer」，幫助社群中的其他使用者找到解決方案。謝謝！
Origin CA Auto-renew 後爆 Error 526，Cloudflare Authenticated Origin Pulls 要怎麼同步更新？
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(6.4, 40%, 10%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EYK%3C/text%3E%3C/svg%3E)
Yiplok Keung
40
信譽點數
各位哥/姐好，
我們家 Enterprise App 的 Origin 伺服器剛剛走憑證自動更新（Auto-renew）重新簽了一張 CA，結果前級 Cloudflare 直接噴 Error 526: Invalid SSL certificate。
當前排查狀況：
Cloudflare 邊界的 SSL/TLS 設定是開 Full (Strict)。
檢查過 Origin 端的 Web server（Nginx），確定全新的 Origin Certificate / Private Key 已經有給對且服務已經 Reload 過了。
懷疑是前段有啟用 Authenticated Origin Pulls (mTLS)，導致 Cloudflare 拿舊的 Client Cert 去手握（Handshake）直接被 Origin 退回，或是 Cloudflare 側的 Trust Store 沒有同步更新到。
請教一下大家，在 Cloudflare 上要怎麼正確 Update / Sync 這個 Trusted Origin Pull 設定？ 是要透過 Cloudflare API 把全新的 Origin CA Root/Intermediate 乾淨地 Upload 到 Zone-level custom CA，還是有什麼 Terraform / Dashboard 操作步驟是我漏掉的？
拜託經驗豐富的大佬指點，感謝！
Windows 商務版 | Windows 365 企業版
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(172.8, 86%, 26%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EJN%3C/text%3E%3C/svg%3E)
Jason Nguyen Tran 29,785 信譽點數 獨立顧問2026-09-23T07:26:32.9866667+00:00 您好，
根据您的描述，目前的行为显示，问题更可能与凭证信任验证（certificate trust validation）有关，而不是 Cloudflare 仍在使用旧的 Authenticated Origin Pull 客户端凭证。 在大多数情况下，Cloudflare 所提供的 Authenticated Origin Pull 凭证本身不会变更，而 Origin 服务器需要负责信任 Cloudflare 的客户端凭证链。
如果您最近更新或重新签发了 Origin CA 凭证，我建议先确认完整的凭证链（包括任何必要的中继凭证）是否已正确安装在 Origin 服务器上，并确认 Nginx 在 TLS Handshake 期间是否会提供完整的凭证链。
此外，如果您使用的是 Zone-level Authenticated Origin Pulls 搭配 Custom Origin Trust Store，请确认 Origin 端所设定的受信任 CA Bundle，仍與 Cloudflare 提供的憑證鏈相符。
一个有效的疑难排解步骤，是暂时停用受影响 Zone 的 Authenticated Origin Pulls，然后测试 Error 526 是否仍然出现。 如果停用后错误消失，则可以进一步确认问题与 mTLS 验证有关，而不是 Origin 凭证本身。
同时，我也建议在 TLS Handshake 过程中检查 Nginx Error Log，因为日志通常可以协助确认连线是否因为以下原因遭到拒绝：
- 不受信任的客户端证书
- 凭证链不完整
- 凭证验证失败
根据您目前描述的情况，只有在使用明确依赖这些凭证的自订信任设定时，才通常需要将新更新的 Origin CA Root 或 Intermediate Certificate 上传至 Cloudflare。 否则，目前应优先检查 Cloudflare 与 Origin 之间的信任关系，以及 TLS Handshake 过程中所提供的完整凭证链。
希望以上资讯能协助您进一步定位问题。 如果您觉得这个回答有帮助，请点击 「Accept Answer」，让其他社群成员也能从这个解决方案中受益。
杰森