Configurer un domaine sur Cloudflare : les pièges DNS
Le tableau de bord DNS de Cloudflare ressemble à n'importe quel autre, avec un contrôle en plus qui change ce qu'un enregistrement fait réellement : le bouton proxy. L'activer sur le mauvais enregistrement est la façon la plus courante dont une migration vers Cloudflare casse quelque chose.
Nuage orange contre nuage gris
Un enregistrement en nuage gris est du DNS pur — Cloudflare ne fait que répondre à la requête, rien de plus. Un enregistrement en proxy (nuage orange) fait transiter le trafic vers ce nom d'hôte par le réseau de Cloudflare d'abord, ce qui permet la mise en cache CDN, la protection anti-DDoS et le WAF pour lesquels Cloudflare est connu. Point essentiel : le proxy ne concerne que le trafic HTTP et HTTPS — il n'a aucun effet sur aucun autre protocole.
Pourquoi le proxy casse le courrier
Les enregistrements MX eux-mêmes ne peuvent pas être mis en proxy — le tableau de bord de Cloudflare ne propose même pas ce bouton pour eux. Le vrai piège est l'enregistrement A dont dépend la cible du MX : si votre enregistrement MX pointe vers mail.votredomaine.fr, et que l'enregistrement A de ce nom d'hôte est en nuage orange, les serveurs de messagerie entrants tentent de livrer en SMTP à l'IP proxy de Cloudflare, qui ne parle pas SMTP. Cet enregistrement A précis doit rester en nuage gris, même si d'autres enregistrements à l'apparence similaire sont en proxy pour le trafic web.
SPF et Cloudflare Email Routing
Activer le service Email Routing propre à Cloudflare ajoute automatiquement les enregistrements MX et TXT nécessaires — ajouter ensuite ses propres entrées concurrentes dans le même but, plutôt que de laisser Cloudflare les gérer, est une façon courante de se retrouver avec des includes SPF dupliqués ou contradictoires.
DNSSEC, c'est un clic, avec une étape manuelle après
Activer DNSSEC dans le tableau de bord Cloudflare se fait en un seul clic, mais la configuration n'est pas terminée tant que vous n'avez pas ajouté l'enregistrement DS généré par Cloudflare chez le registrar de votre domaine. Si cette étape est oubliée, DNSSEC reste à moitié activé, ce qui apparaît comme une erreur plutôt qu'une protection — l'activer sans jamais terminer l'étape chez le registrar est pire que ne pas l'activer du tout.
Vérifier le DNS actuel d'un domaine
Voyez la théorie en pratique — lancez Recherche DNS pour votre propre domaine.