Cloudflareさんから、お前Authenticated Origin Pullsの設定してるのにサーバで確認してないやんけって言われたので設定をした。Cloudflareを通していないドメインもあるので、ssl_verify_client optionalにしたんだけど、これはこれで微妙だな。