Eine Domain bei Cloudflare einrichten: Die DNS-Fallstricke

Orange Cloud vs. graue Cloud

Ein grau geschalteter Eintrag ist reines DNS — Cloudflare beantwortet nur die Anfrage, nicht mehr. Ein per Proxy (orange) geschalteter Eintrag leitet Traffic zu diesem Hostnamen zuerst durch das Netzwerk von Cloudflare, was CDN-Caching, DDoS-Schutz und die WAF ermöglicht, für die Cloudflare bekannt ist. Entscheidend: Proxying betrifft ausschließlich HTTP- und HTTPS-Verkehr — auf jedes andere Protokoll hat es keine Auswirkung.

Warum Proxying E-Mail kaputtmacht

MX-Einträge selbst lassen sich gar nicht per Proxy schalten — das Cloudflare-Dashboard bietet dafür nicht einmal den Schalter an. Die eigentliche Falle ist der A-Eintrag, von dem ein MX-Ziel abhängt: Zeigt Ihr MX-Eintrag auf mail.ihredomain.de und ist der A-Eintrag dieses Hostnamens orange geschaltet, versuchen eingehende Mailserver, per SMTP an die Proxy-IP von Cloudflare zuzustellen, die kein SMTP spricht. Genau dieser A-Eintrag muss grau bleiben, selbst wenn andere, ähnlich aussehende Einträge für Web-Traffic per Proxy laufen.

SPF und Cloudflare Email Routing

Wird Cloudflares eigenes Email Routing aktiviert, fügt es die dafür nötigen MX- und TXT-Einträge automatisch hinzu — eigene, konkurrierende Einträge für denselben Zweck danach hinzuzufügen, statt Cloudflare sie verwalten zu lassen, führt häufig zu doppelten oder widersprüchlichen SPF-includes.

DNSSEC ist ein Klick, mit einem manuellen Schritt danach

DNSSEC im Cloudflare-Dashboard zu aktivieren ist ein einziger Schalter, aber die Einrichtung ist erst abgeschlossen, wenn Sie den von Cloudflare erzeugten DS-Eintrag beim Registrar Ihrer Domain hinzufügen. Wird das übersprungen, bleibt DNSSEC in einem halb aktivierten Zustand, der als Fehler statt als Schutz angezeigt wird — es zu aktivieren und den Registrar-Schritt nie abzuschließen ist schlimmer, als es gar nicht erst zu aktivieren.

Aktuelles DNS einer Domain prüfen