Een domein instellen op Cloudflare: de DNS-valkuilen

Oranje cloud versus grijze cloud

Een grijze-cloud-record is puur DNS — Cloudflare beantwoordt alleen de query, meer niet. Een geproxyd (oranje-cloud) record leidt verkeer naar die hostnaam eerst door het netwerk van Cloudflare, wat de CDN-caching, DDoS-bescherming en WAF mogelijk maakt waar Cloudflare bekend om staat. Cruciaal: proxying geldt uitsluitend voor HTTP- en HTTPS-verkeer — het heeft geen enkel effect op enig ander protocol.

Waarom proxying e-mail breekt

MX-records zelf kunnen helemaal niet geproxyd worden — het Cloudflare-dashboard biedt daarvoor niet eens de schakelaar. De echte valkuil is het A-record waarvan een MX-doel afhangt: als je MX-record naar mail.jouwdomein.nl wijst, en het A-record van die hostnaam staat op oranje cloud, proberen inkomende mailservers via SMTP af te leveren bij het proxy-IP van Cloudflare, dat geen SMTP spreekt. Dat specifieke A-record moet op grijze cloud blijven staan, zelfs als andere, soortgelijk ogende records wél geproxyd zijn voor webverkeer.

SPF en Cloudflare Email Routing

Het inschakelen van Cloudflares eigen Email Routing voegt automatisch de benodigde MX- en TXT-records toe — daarna zelf conflicterende items voor hetzelfde doel toevoegen, in plaats van Cloudflare ze te laten beheren, is een veelvoorkomende manier om met dubbele of tegenstrijdige SPF-includes te eindigen.

DNSSEC is één klik, met daarna een handmatige stap

DNSSEC inschakelen in het Cloudflare-dashboard is één schakelaar, maar de configuratie is pas compleet als je het door Cloudflare gegenereerde DS-record toevoegt bij de registrar van je domein. Wordt dit overgeslagen, dan blijft DNSSEC halfweg ingeschakeld, wat zich uit als een fout in plaats van bescherming — het inschakelen en de registrarstap nooit afmaken is erger dan het helemaal niet inschakelen.

Controleer de huidige DNS van een domein