Zusammenfassung

  • Cloudflares aktueller Leitfaden bezeichnet Aufrufe der alten Origin Post-Quantum Encryption API als wirkungslos für das Schlüsselvereinbarungsverhalten der Zone.
  • Das Abschalten der automatischen Auswahl hebt festgelegte Algorithmusbeschränkungen nicht auf.
  • Daraus folgt weder ein belegter Kundenausfall noch ein gesicherter Zeitpunkt für den Wirkungsverlust der alten API.

Eine Schnittstelle kann technisch weiterbestehen, obwohl sie den benannten Vorgang nicht mehr steuert. Im aktuellen Leitfaden von Cloudflare steht genau diese Unterscheidung: Die alte Origin Post-Quantum Encryption API bleibt verfügbar, ihre Aufrufe verändern aber nicht mehr das Verhalten der Schlüsselvereinbarung.

Der Hintergrund ist Automatic Key Exchange, das Cloudflare am 8. September erläutert hat. Das System prüft die Fähigkeiten von Ursprungsservern außerhalb des normalen Anfragepfads und wählt den ersten TLS-Schlüsselaustauschwert. Damit soll seltener eine zusätzliche Anforderung des Servers per HelloRetryRequest nötig werden. Gemeint ist die Verbindung von Cloudflare zum Ursprung, nicht die vom Besucher zu Cloudflare.

Die alte Beschreibung ist kein Wirkungsnachweis

Die API-Referenz trägt den Hinweis Deprecated. Zugleich führt sie weiter preferred, supported und off auf und beschreibt eine Einstellungsänderung. Der Betriebsleitfaden verweist dagegen auf Automatic Key Exchange und Compliance requirements.

Das ist eine Aussage über die gelesenen Dokumente, kein Versuch an einer Kundenzone. Dieser Bericht hat keinen erfolgreichen API-Aufruf ohne nachfolgende Wirkung beobachtet. Auch das Datum lässt sich nicht aus dem Nebeneinander ableiten: Der 8. September ist der Tag der Veröffentlichung, nicht der nachgewiesene Umschalttag der alten API. Der Leitfaden nennt keinen Termin für die Stilllegung; die Markierung in der Referenz liefert keinen Löschtermin.

Für alte Automatisierung bleibt dennoch eine konkrete Frage: Welchen Zustand verändert sie heute noch? Eine weiterhin passende Anfrageform beantwortet das nicht.

Zwei Hebel mit unterschiedlichen Folgen

Die automatische Auswahl ordnet Präferenzen innerhalb einer zulässigen Menge. Die Compliance-Anforderungen bestimmen diese Menge. Wer die Automatik abschaltet, stoppt Scans und Neuordnung und erhält die Standardreihenfolge für die gewählten Anforderungen. Die Anforderungen selbst bleiben bestehen.

Bei einer Zone, die ausschließlich hybride Post-Quanten-Gruppen zulässt, werden ausgeschlossene klassische Gruppen dadurch nicht wieder erlaubt. Die zulässige Menge zu erweitern ist eine andere Entscheidung als die Optimierung der ersten Auswahl zu beenden. Eine pauschale Rückfallanweisung kann diesen Unterschied verdecken.

Der Anwendungsbereich ist ebenfalls begrenzt: neue TLS-1.3-Verbindungen zum Ursprung, keine wiederverwendeten Verbindungen und kein Cloudflare Tunnel. Die Präferenz gilt derzeit gemeinsam für die Ursprünge einer Zone. Eine feinere Wahl je Ursprung oder Subdomain beschreibt die Ankündigung als künftige Entwicklung. Kompatible Kryptografie muss weiterhin die Software des Ursprungsservers bereitstellen.

Die Neuerung betrifft damit auch die Verständlichkeit von Betriebsentscheidungen. Der vertraute Name einer API genügt nicht, wenn die wirksamen Einstellungen inzwischen an anderer Stelle liegen.