Cloudflare 显示 525 或 526，应该先检查什么？

先区分两个错误

Cloudflare 的525 说明将它定义为 Cloudflare 与源站的 SSL 握手失败；526 说明则表示在 Full strict 下无法验证源站证书。记录错误代码、URL、时间、受影响主机名和是否间歇发生，再联系持有源站权限的人。

按源站 TLS 链路检查

检查源站证书是否未过期、覆盖请求的域名或子域名、证书链是否完整，服务器是否监听 443 并支持需要的 SNI 与加密套件；同时查看同一时间的 Web 服务器 SSL 错误日志。若根域正常但 www 或某个子域出错，尤其要核对该主机名是否在证书范围内。

修复后保持严格校验再测试

不要把长期从 Full strict 降为更弱模式当作最终修复，它会掩盖源站证书问题。证书或服务器配置修好后，分别测试根域、常用子域、公开页面和关键表单；有负载均衡、缓存或多台源站时，每个实际源站都应验证。