Configurare un dominio su Cloudflare: le insidie del DNS

Nuvola arancione contro nuvola grigia

Un record con nuvola grigia è puro DNS — Cloudflare risponde solo alla query, nient'altro. Un record con proxy (nuvola arancione) instrada prima il traffico verso quell'hostname attraverso la rete di Cloudflare, il che abilita la cache CDN, la protezione DDoS e il WAF per cui Cloudflare è noto. Fondamentale: il proxy riguarda solo il traffico HTTP e HTTPS — non ha alcun effetto su nessun altro protocollo.

Perché il proxy rompe la posta

I record MX stessi non possono essere messi in proxy — il pannello di Cloudflare non offre nemmeno quell'interruttore per loro. La vera trappola è il record A da cui dipende la destinazione dell'MX: se il tuo record MX punta a mail.tuodominio.it, e il record A di quell'hostname è con nuvola arancione, i server di posta in arrivo cercano di consegnare via SMTP all'IP proxy di Cloudflare, che non parla SMTP. Quel record A specifico deve restare con nuvola grigia, anche se altri record dall'aspetto simile sono in proxy per il traffico web.

SPF e Cloudflare Email Routing

Attivare l'Email Routing proprio di Cloudflare aggiunge automaticamente i record MX e TXT necessari — aggiungere poi voci proprie in conflitto per lo stesso scopo, invece di lasciare che sia Cloudflare a gestirle, è un modo comune per finire con include SPF duplicati o contraddittori.

Il DNSSEC è un clic, con un passaggio manuale dopo

Attivare il DNSSEC nel pannello Cloudflare è un unico interruttore, ma la configurazione non è completa finché non aggiungi il record DS generato da Cloudflare presso il registrar del tuo dominio. Se saltato, questo lascia il DNSSEC a metà attivato, il che appare come un errore invece che come protezione — attivarlo e non completare mai il passaggio presso il registrar è peggio che non attivarlo affatto.

Controlla il DNS attuale di un dominio