Configurar um domínio no Cloudflare: as armadilhas de DNS

Nuvem laranja versus nuvem cinzenta

Um registo em nuvem cinzenta é DNS puro — o Cloudflare apenas responde à consulta, nada mais. Um registo com proxy (nuvem laranja) encaminha o tráfego para esse nome de anfitrião primeiro através da rede do Cloudflare, o que ativa a cache CDN, a proteção contra DDoS e o WAF pelos quais o Cloudflare é conhecido. Fundamental: a proxy afeta apenas o tráfego HTTP e HTTPS — não tem qualquer efeito sobre qualquer outro protocolo.

Por que a proxy quebra o e-mail

Os próprios registos MX não podem ser colocados em proxy — o painel do Cloudflare nem sequer oferece esse interruptor para eles. A verdadeira armadilha é o registo A de que depende o destino do MX: se o seu registo MX aponta para mail.oseudominio.pt, e o registo A desse nome de anfitrião está em nuvem laranja, os servidores de correio recebidos tentam entregar via SMTP ao IP de proxy do Cloudflare, que não fala SMTP. Esse registo A específico tem de ficar em nuvem cinzenta, mesmo que outros registos de aspeto semelhante estejam em proxy para tráfego web.

SPF e o Cloudflare Email Routing

Ativar o próprio Email Routing do Cloudflare adiciona automaticamente os registos MX e TXT necessários — adicionar depois as suas próprias entradas conflituantes para o mesmo fim, em vez de deixar o Cloudflare geri-las, é uma forma comum de acabar com includes de SPF duplicados ou contraditórios.

O DNSSEC é um clique, com um passo manual depois

Ativar o DNSSEC no painel do Cloudflare é um único interruptor, mas a configuração só fica completa quando adiciona o registo DS gerado pelo Cloudflare no registrador do seu domínio. Se este passo for ignorado, o DNSSEC fica meio ativado, o que aparece como um erro em vez de proteção — ativá-lo e nunca terminar o passo no registrador é pior do que não o ativar de todo.

Verifique o DNS atual de um domínio