Gestión automatizada de certificados SSL

Cómo desplegar automáticamente certificados SSL en un bucket de Cloudflare R2.

Descripción general

AutoSSL puede cargar automáticamente los archivos del certificado SSL en un bucket de Cloudflare R2. Cada certificado se archiva en una ruta versionada y también se actualiza en una ruta latest/, para que los consumidores posteriores (por ejemplo, Nginx, Caddy o scripts personalizados que obtienen certificados de R2) lo encuentren con facilidad.

Cloudflare R2 es compatible con S3 y no cobra tarifas de salida, por lo que resulta una alternativa económica para almacenar y distribuir certificados.

Para gestionar y ejecutar este despliegue, consulte la sección Gestión de despliegues.

Parámetros de configuración

Al añadir o editar este destino de despliegue en la consola de AutoSSL, configure estos parámetros:

Parámetro	Descripción	Ejemplo
ID de cuenta	ID de su cuenta de Cloudflare. Aparece en la URL del panel de Cloudflare o en la página de descripción general de Workers & Pages.	`a1b2c3d4e5f6...`
Nombre del bucket	Nombre del bucket de R2 en el que se cargarán los archivos del certificado.	`my-ssl-certs`
Prefijo de la clave de objeto	(Opcional) Prefijo para organizar los archivos del certificado en el bucket. Si se indica, los archivos se cargan bajo ese prefijo. La barra final es opcional.	`certs/example.com/`

Cómo funciona

Cuando AutoSSL despliega un certificado en un bucket de Cloudflare R2 (por ejemplo, my-ssl-certs con el prefijo certs/example.com/), realiza estos pasos:

Preparación del certificado:
- Divide la cadena completa del certificado en archivos PEM individuales: cert.pem (certificado hoja), privkey.pem (clave privada, codificada en PKCS#8), chain.pem (cadena intermedia) y fullchain.pem (cadena completa).
- Genera un archivo README.md con los metadatos del certificado y un enlace a https://autossl.dev para la trazabilidad.
- Lee la fecha notBefore y la huella SHA1 del certificado para generar el nombre del directorio de archivo (formato: YYYY-MM-DD_<first 8 chars of SHA1>).
Carga de archivos:
- Carga los archivos del certificado (cuatro archivos PEM y README.md) en dos rutas del bucket:
  - Ruta de archivo — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (y privkey.pem, chain.pem, fullchain.pem, README.md). Esta ruta es única para cada emisión y nunca se sobrescribe.
  - Ruta latest — certs/example.com/latest/cert.pem (y privkey.pem, chain.pem, fullchain.pem, README.md). Esta ruta siempre refleja el certificado cargado más recientemente.

La ruta latest/ permite que los servicios posteriores obtengan siempre el certificado actual desde una clave de R2 fija. Los certificados anteriores siguen disponibles en sus directorios de archivo versionados.

Ejemplo de estructura del bucket

Después de varias renovaciones, la estructura del bucket tendrá este aspecto:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Formato de clave privada

privkey.pem está codificado en formato PKCS#8 (-----BEGIN PRIVATE KEY-----). Los servidores y las herramientas modernos (Nginx, Caddy, Traefik, OpenSSL 1.1+, etc.) admiten ampliamente este formato.

Si su entorno exige el formato PKCS#1 (por ejemplo, -----BEGIN RSA PRIVATE KEY----- para claves RSA), conviértalo en local antes de usarlo:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Requisitos de la clave de acceso

Para usar la API de Cloudflare R2, este proveedor requiere una clave de acceso de Cloudflare R2.

Permisos necesarios

El token de API de R2 debe tener el permiso Object Read & Write en el bucket de destino.

Para crear un token de API específico de R2 con los permisos correctos:

Vaya al panel de Cloudflare → R2 Object Storage → Manage R2 API Tokens.
Haga clic en Create API token.
Establezca Permissions en Object Read & Write.
(Opcional) Limite el token a un bucket concreto: establezca Specify bucket(s) con el nombre del bucket de destino.
Haga clic en Create API Token y copie el Access Key ID y la Secret Access Key.

Para más información, consulte la documentación de tokens de API de Cloudflare R2.

Cloudflare R2