525 is een Cloudflare-specifieke code. De SSL/TLS-handshake tussen Cloudflare en de oorspronkelijke webserver is mislukt. Dat gebeurt als de SSL/TLS-versleutelingsmodus van de zone op “Full” of “Full (strict)” staat, zodat Cloudflare via HTTPS verbinding maakt met de oorspronkelijke server.
De verbinding van de bezoeker met Cloudflare is in orde; het probleem zit in de verbinding van Cloudflare naar de oorspronkelijke server. Veelvoorkomende redenen zijn dat er op de server geen certificaat voor de hostnaam is geïnstalleerd, dat poort 443 dicht is of geen TLS spreekt, dat de server geen SNI ondersteunt, of dat Cloudflare en de server geen gemeenschappelijke TLS-versie of cipher suite hebben.
Voorbeeldresponse
HTTP/1.1 525 SSL Handshake Failed
Date: Fri, 06 Nov 2026 10:15:32 GMT
Content-Type: text/html; charset=UTF-8
Connection: close
X-Frame-Options: SAMEORIGIN
Referrer-Policy: same-origin
Cache-Control: private, max-age=0, no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Expires: Thu, 01 Jan 1970 00:00:01 GMT
Server: cloudflare
CF-RAY: 8f3a1b2c4d5e6f75-SINSEO en redirects controleren
Voor crawlers is een 525 een serverfout die de site via HTTPS onbereikbaar maakt. De fout duikt vaak op direct na het overschakelen naar de SSL-modus “Full” of na een serververhuizing. Herstel de TLS-configuratie van de oorspronkelijke server, in plaats van over te stappen op de modus “Flexible”: die laat de verbinding met de server onversleuteld en veroorzaakt redirectloops als de server zelf HTTP naar HTTPS doorstuurt.
Veelvoorkomende oorzaken en toepassingen
- Er is op de oorspronkelijke server geen geldig certificaat voor de hostnaam geïnstalleerd.
- De oorspronkelijke server luistert niet op poort 443, of daar antwoordt een andere dienst.
- De TLS-configuratie van de oorspronkelijke server heeft geen protocolversies of cipher suites gemeen met Cloudflare.
- De oorspronkelijke server heeft SNI nodig, en de configuratie dekt deze hostnaam niet.