Como gerenciar conflitos entre AutoSSL e certificados Cloudflare no cPanel

Quem usa cPanel integrado com a Cloudflare já deve ter notado um comportamento chato do painel: você instala manualmente um certificado Origin CA da Cloudflare em subdomínios web, mas na execução seguinte do cron do AutoSSL, o cPanel identifica o certificado como divergente e força a substituição por um certificado novo do Let's Encrypt ou Sectigo.

Essa substituição automática pode quebrar a cadeia de confiança, gerar erros de handshake TLS ou causar alertas de segurança para os visitantes. Ao mesmo tempo, você não pode simplesmente desligar o AutoSSL da conta inteira, porque serviços como mail e webmail dependem dele para continuar renovando seus certificados normalmente.

Recentemente precisei resolver essa convivência em uma conta com vários subdomínios. Abaixo mostro como separei os serviços e usei a UAPI do cPanel via terminal para definir regras de exclusão permanentes.

1. O conflito de sobrescrita entre AutoSSL e Cloudflare origin CA#

O cPanel tem como rotina padrão garantir que todos os domínios e subdomínios da conta possuam certificados válidos emitidos pelo provedor configurado no servidor (como Let's Encrypt ou cPanel/Sectigo).

Quando você utiliza o proxy da Cloudflare (nuvem laranja ativada) e instala um certificado Origin CA no Apache/cPanel:

1. O certificado da Cloudflare é válido apenas entre os servidores da Cloudflare e a sua hospedagem de origem.
2. O AutoSSL tenta rodar verificações de renovação via HTTP DCV (Domain Control Validation) ou DNS.
3. Se o validador do AutoSSL enxergar o certificado Origin CA como não reconhecido pela autoridade local, ele programa uma substituição forçada.
4. Na próxima madrugada, o cron sobrescreve o certificado da Cloudflare pelo certificado do AutoSSL, causando inconsistências na cadeia de ponta a ponta.

A saída ideal é segregar os domínios:

• Subdomínios web com proxy Cloudflare: devem ser excluídos da verificação do AutoSSL para manter o certificado Origin CA intacto.
• Subdomínios de e-mail (mail e webmail): devem continuar no AutoSSL, já que o proxy gratuito da Cloudflare não faz roteamento de portas de e-mail (IMAP, POP3 e SMTP).

2. Diagnóstico do estado de exclusão com cPanel UAPI#

A melhor forma de inspecionar e gerenciar as exclusões do AutoSSL é através da ferramenta de linha de comando uapi. Ela altera diretamente o estado do cPanel sem o risco de corromper arquivos de configuração manuais em formato YAML.

Para consultar quais domínios da conta já estão sendo ignorados pelo AutoSSL, execute:

uapi --user=usuario SSL get_autossl_excluded_domains

Se a lista vier vazia ou contiver subdomínios incorretos (como mail ou webmail excluídos por engano), você precisará ajustar o mapeamento.

3. Passo a passo para definir exclusões via terminal#

Passo 1: Limpar exclusões indevidas nos serviços de e-mail#

Se os subdomínios de e-mail estiverem na lista de exclusão, remova-os para que o AutoSSL volte a renovar seus certificados automaticamente:

uapi --user=usuario SSL delete_autossl_excluded_domains domains=mail.meudominio.com.br,webmail.meudominio.com.br

Passo 2: Aplicar a lista definitiva de subdomínios web para a Cloudflare#

Utilize a função set_autossl_excluded_domains. Ela substitui a lista de exclusões anterior pela nova relação de domínios informada; com isso, o AutoSSL nunca tenta emitir certificados para eles:

uapi --user=usuario SSL set_autossl_excluded_domains domains=app.meudominio.com.br,loja.meudominio.com.br,portal.meudominio.com.br,institucional.meudominio.com.br,pix.meudominio.com.br,hub.meudominio.com.br,totem.meudominio.com.br

4. Validação da consistência e verificação do retorno#

Após rodar o comando, valide se o cPanel gravou a lista corretamente executando novamente a consulta:

uapi --user=usuario SSL get_autossl_excluded_domains

O retorno estruturado confirmará o resultado:

---
apiversion: 3
func: get_autossl_excluded_domains
module: SSL
result:
  data:
    - excluded_domain: app.meudominio.com.br
    - excluded_domain: hub.meudominio.com.br
    - excluded_domain: institucional.meudominio.com.br
    - excluded_domain: loja.meudominio.com.br
    - excluded_domain: pix.meudominio.com.br
    - excluded_domain: portal.meudominio.com.br
    - excluded_domain: totem.meudominio.com.br
  status: 1

Com o status 1 e apenas os subdomínios web listados, a configuração está protegida contra as execuções automáticas do cron.

5. Boas práticas e validação de logs do AutoSSL#

Depois de definir as exclusões via UAPI, o ambiente passa a operar de forma híbrida e previsível: a Cloudflare cuida dos subdomínios de aplicação web, e o AutoSSL continua zelando pelas portas de e-mail da conta.

Alguns cuidados para o dia a dia:

1. Acompanhe o log do AutoSSL: Se suspeitar que algum domínio excluído ainda está sofrendo tentativas de validação, confira o arquivo de log mais recente em /var/cpanel/logs/autossl/. O log registra cada domínio ignorado com a indicação explícita de exclusão manual pelo usuário.
2. Novos subdomínios: Sempre que criar um novo subdomínio que usará certificado Origin CA da Cloudflare, lembre-se de rodar o set_autossl_excluded_domains adicionando o novo nome à lista para evitar sobrescritas surpresa.
3. Preferência pela CLI sobre a interface web: Embora o cPanel tenha botões de exclusão de SSL na interface do usuário, usar a UAPI via terminal garante aplicação em lote imediata, sem erros de clique ou páginas desatualizadas em cache.

Veja também

Servidores Como renovei o certificado SSL expirado do hostname no cPanel/WHM (interface e terminal)

Servidores Guia Completo de Zonas DNS no cPanel e WHM: Correção do Erro 'DNS Entry Already Exists', killdns e Templates Avançados

Servidores Cifras em servidores web: da confusão conceitual com ransomware ao hardening real de SSL/TLS

Este post está licenciado sob CC BY-NC.