Le proxy Cloudflare : nuage orange, messagerie et IP réelles des visiteurs

Dans l'écran DNS de Cloudflare, chaque enregistrement possède une icône de nuage. Orange signifie que le trafic passe par le proxy Cloudflare ; gris signifie que Cloudflare répond seulement à la requête DNS et que le visiteur se connecte directement à votre serveur. Le choix des enregistrements à proxifier compte davantage qu'on ne l'imagine.

Ne proxifiez jamais la messagerie

Les enregistrements MX ne peuvent pas être proxifiés, et le nom d'hôte vers lequel pointe un enregistrement MX doit rester gris. Le proxifier envoie le courrier vers Cloudflare, qui n'héberge pas de serveur de messagerie, et la remise échoue.

Gardez ceci en gris :

• Tout ce vers quoi pointe un enregistrement MX
• mail., webmail., smtp., imap. et noms d'hôte similaires
• FTP, SSH et tout service sur un port non web

Le proxy Cloudflare ne transporte que le HTTP et le HTTPS. Un service sur tout autre port cesse de fonctionner dès que vous passez son enregistrement en orange.

Vos journaux afficheront les IP de Cloudflare

Dès qu'un enregistrement est proxifié, chaque requête atteint votre serveur depuis une adresse Cloudflare. Les journaux serveur, les statistiques et toute règle basée sur l'IP voient désormais Cloudflare au lieu du visiteur réel. L'adresse d'origine est transmise dans l'en-tête CF-Connecting-IP.

Cela comporte un piège à connaître : les outils de sécurité qui bannissent par IP peuvent bannir Cloudflare elle-même, et comme tout votre trafic provient désormais de ces quelques adresses, cela met hors ligne l'ensemble du site plutôt qu'un seul abuseur. Si vous utilisez fail2ban ou équivalent sur un VPS, configurez-le pour lire l'IP réelle dans cet en-tête avant d'activer le proxy.

Le cache, et pourquoi votre modification n'apparaît pas

Cloudflare met en cache les fichiers statiques sur son réseau. Après la mise à jour de CSS, de JavaScript ou d'images, les visiteurs peuvent continuer à recevoir l'ancienne version. Utilisez Purge Cache dans Cloudflare, et le Development Mode pendant que vous travaillez activement sur un site pour contourner temporairement le cache.

Si une modification n'apparaît toujours pas après la purge, vérifiez le cache de votre propre navigateur avant d'accuser Cloudflare — c'est le coupable le plus fréquent.

Un réglage par défaut raisonnable

Proxifiez les enregistrements du site (@ et www) et laissez tout le reste en gris. Vous obtenez ainsi la mise en cache et la protection recherchées sans mettre en péril la messagerie ni les accès d'administration. En cas de doute sur un enregistrement précis, demandez-nous depuis la Support section avant de le modifier.