Configurar un dominio en Cloudflare: los peligros del DNS

Nube naranja frente a nube gris

Un registro en nube gris es DNS puro — Cloudflare solo responde a la consulta, nada más. Un registro con proxy (nube naranja) enruta el tráfico hacia ese nombre de host primero a través de la red de Cloudflare, lo que habilita la caché CDN, la protección contra DDoS y el WAF por los que Cloudflare es conocido. Algo fundamental: el proxy solo afecta al tráfico HTTP y HTTPS, no tiene ningún efecto sobre ningún otro protocolo.

Por qué el proxy rompe el correo

Los propios registros MX no se pueden poner en proxy — el panel de Cloudflare ni siquiera ofrece ese interruptor para ellos. La trampa real es el registro A del que depende el destino del MX: si tu registro MX apunta a mail.tudominio.com, y el registro A de ese nombre de host está en nube naranja, los servidores de correo entrantes intentan entregar por SMTP a la IP de proxy de Cloudflare, que no habla SMTP. Ese registro A concreto tiene que quedarse en nube gris, aunque otros registros de aspecto similar estén en proxy para el tráfico web.

SPF y Cloudflare Email Routing

Activar el propio Email Routing de Cloudflare añade automáticamente los registros MX y TXT que necesita — añadir después tus propias entradas en conflicto para el mismo fin, en vez de dejar que Cloudflare las gestione, es una forma común de acabar con includes de SPF duplicados o contradictorios.

DNSSEC es un clic, con un paso manual después

Activar DNSSEC en el panel de Cloudflare es un único interruptor, pero la configuración no está completa hasta que añades el registro DS que genera Cloudflare en el registrador de tu dominio. Si se omite, DNSSEC queda a medio activar, lo que se muestra como un error en vez de como protección — activarlo y no terminar nunca el paso del registrador es peor que no activarlo en absoluto.

Comprueba el DNS actual de un dominio