Cloudflare porządkuje warstwę DNS tak, żeby domena szybciej trafiała do właściwego serwera, a przy okazji dawała większą kontrolę nad ruchem, certyfikatami i bezpieczeństwem. W praktyce to ważne zarówno przy zwykłej stronie firmowej, jak i przy sklepie, który zmienia hosting, albo przy projekcie, w którym poczta i WWW działają na różnych usługach. Poniżej rozbijam temat na części, które naprawdę mają znaczenie przy wdrożeniu.
Najważniejsze informacje o DNS w Cloudflare
- Cloudflare może obsługiwać twoją domenę jako authoritative DNS, a nie tylko jako publiczny resolver 1.1.1.1.
- Pełne uruchomienie zwykle oznacza zmianę nameserverów u rejestratora domeny, ale hosting może zostać bez zmian.
- Proxy działa tylko dla rekordów A, AAAA i CNAME; rekordy MX, TXT i inne pozostają DNS-only.
- Cloudflare oferuje darmową obsługę DNS na wszystkich planach, a limity rekordów zależą od planu.
- DNSSEC warto włączyć, jeśli zależy ci na dodatkowej ochronie przed podszyciem się pod domenę.
- Najczęstszy błąd to wrzucenie poczty i weryfikacji domeny do proxied, choć powinny zostać poza proxy.
Czym różni się DNS w Cloudflare od publicznego resolvera
Najczęściej myli się tu dwie rzeczy, a to później komplikuje konfigurację. Authoritative DNS przechowuje rekordy twojej domeny i odpowiada za to, dokąd ma trafić ruch. Publiczny resolver, taki jak 1.1.1.1, tylko pyta w twoim imieniu inne serwery o odpowiedź, więc poprawia wygodę i prywatność po stronie użytkownika, ale nie zastępuje konfiguracji domeny.
| Usługa | Co robi | Dlaczego to ma znaczenie |
|---|---|---|
| Authoritative DNS w Cloudflare | Przechowuje rekordy domeny i odpowiada na zapytania o nie | Decyduje, gdzie trafi WWW, poczta i subdomeny |
| 1.1.1.1 | Rozwiązuje nazwy domen dla urządzenia użytkownika | Pomaga przy codziennym przeglądaniu, ale nie zmienia twoich rekordów |
Jeśli celem jest domena i hosting, pracujesz przede wszystkim z authoritative DNS. Ja traktuję 1.1.1.1 jako osobny temat, przydatny bardziej po stronie odwiedzającego niż administratora strony. To prowadzi wprost do pytania, jak wygląda samo wdrożenie domeny w praktyce.
Jak wygląda konfiguracja domeny krok po kroku
Przy typowej stronie firmowej lub sklepie internetowym pełne podłączenie Cloudflare sprowadza się do kilku konkretnych kroków. Na Free i Pro dostępny jest przede wszystkim primary setup, czyli pełne przejęcie obsługi DNS przez Cloudflare. Jeśli domena została kupiona gdzie indziej, hosting zostaje tam, gdzie jest, a zmieniasz tylko to, kto odpowiada za rekordy DNS.
- Dodaj domenę do panelu Cloudflare.
- Sprawdź, jakie rekordy zostały zaimportowane automatycznie, i nie ufaj im bezkrytycznie.
- U rejestratora domeny podmień nameserwery na te z Cloudflare.
- Poczekaj na propagację zmian, która zwykle trwa od kilku minut do 24 godzin.
- Dokończ konfigurację SSL/TLS, żeby ruch WWW od razu działał poprawnie.
Przed przełączeniem warto zrobić prosty backup rekordów albo chociaż zrzut ekranu obecnej strefy. Ja robię to zawsze, bo szybki import rekordów bywa dobry, ale nie jest nieomylny, zwłaszcza gdy w grę wchodzą nietypowe subdomeny, poczta albo weryfikacje usług zewnętrznych. Gdy nameserwery już wskazują na Cloudflare, zaczyna się druga ważna decyzja: co ma przechodzić przez proxy, a co powinno zostać zwykłym DNS.
Kiedy włączyć proxy, a kiedy zostawić rekordy DNS-only
To jest moment, w którym wiele wdrożeń wywraca się na drobiazgach. Cloudflare pozwala proxy'ować tylko rekordy używane do rozwiązywania adresów IP, czyli A, AAAA i CNAME. Wszystko inne, w tym MX i TXT, zostaje jako DNS-only. Cloudflare sam zaleca proxy dla rekordów obsługujących ruch WWW, ale nie dla tych, które służą do potwierdzania własności domeny albo obsługi poczty.
| Typ rekordu | Proxy możliwe | Jak używać w praktyce |
|---|---|---|
| A | Tak | Dla głównej strony i subdomen wskazujących na adres IPv4 serwera |
| AAAA | Tak | Dla serwerów udostępniających ruch po IPv6 |
| CNAME | Tak | Dla subdomen typu www, api lub przy platformach SaaS |
| MX | Nie | Zawsze dla poczty, bez proxy |
| TXT | Nie | SPF, DKIM, DMARC i weryfikacje usług zewnętrznych |
Prosta reguła, którą stosuję w projektach: ruch WWW proxy'uj, pocztę i weryfikacje zostaw jako DNS-only. To nie jest elegancki slogan, tylko praktyka, która ratuje czas przy migracjach. Jeśli rekord ma obsługiwać ruch do strony, Cloudflare może go osłonić i przyspieszyć. Jeśli rekord ma tylko potwierdzać usługę lub wskazywać serwer poczty, nie ma powodu przepuszczać go przez warstwę proxy. Z tej reguły wynika już tylko jedno: które rekordy trzeba ustawić od razu po migracji domeny.
Jakie rekordy dodać od razu po migracji domeny
Po przejściu na Cloudflare nie kończy się na samym nameserverze. Dobra konfiguracja DNS to nie tylko strona główna, ale też subdomeny, poczta i integracje z narzędziami zewnętrznymi. Najczęściej od razu sprawdzam pięć grup rekordów.
-
A i AAAA dla domeny głównej, jeśli serwer ma stały adres IP. To podstawa dla
example.pl. -
CNAME dla
www, jeśli ma wskazywać na domenę główną albo na hostname od hostingu, platformy sklepowej czy CMS-a. - MX dla poczty, żeby skrzynki w ogóle działały po zmianie DNS.
- TXT dla SPF, DKIM i DMARC, czyli rekordów, które porządkują wysyłkę i ograniczają podszywanie się pod domenę.
- CAA, jeśli chcesz kontrolować, które centra certyfikacji mogą wystawiać certyfikaty dla twojej domeny.
Przy migracji lub większej zmianie hostingu ustawiam też TTL na poziomie około 300 sekund na 24 do 48 godzin przed przełączeniem. TTL, czyli czas życia rekordu, decyduje o tym, jak długo odpowiedzi DNS mogą być trzymane w pamięci podręcznej. Krótszy TTL nie sprawi cudów, ale realnie przyspiesza rozchodzenie się zmian. Warto też pamiętać, że Cloudflare ma limity liczby rekordów: na planie Free strefy utworzone od 1 września 2024 r. mają limit 200 rekordów, starsze 1000, a na planach płatnych 3500. Dla małej strony to zwykle nie ma znaczenia, ale przy rozbudowanym sklepie albo wielu subdomenach już tak. Skoro rekordy są ustawione, zostaje warstwa bezpieczeństwa i ograniczeń, którą wiele osób pomija.
Bezpieczeństwo i ograniczenia, o których lepiej wiedzieć wcześniej
Cloudflare nie jest tylko szybszym DNS-em. To również warstwa, która może utrudnić przechwycenie ruchu i uporządkować architekturę domeny. Najważniejsze narzędzie w tym obszarze to DNSSEC, czyli podpisy kryptograficzne dla rekordów DNS. W praktyce utrudnia to podstawienie fałszywej odpowiedzi i kierowanie ruchu na obcy serwer. Jeśli domena działa na standardowej konfiguracji, włączenie DNSSEC ma sens prawie zawsze, o ile rejestrator poprawnie obsługuje aktualizację odpowiednich danych przy delegacji strefy.
| Model | Kiedy ma sens | Ograniczenia |
|---|---|---|
| Primary setup | Dla większości stron, blogów i sklepów | Trzeba zmienić nameserwery u rejestratora |
| Partial setup | Gdy nie możesz ruszyć głównego DNS, ale chcesz proxy dla wybranych subdomen | Dostępny tylko na planach Business i Enterprise |
Warto też pamiętać, że Cloudflare ma różne tryby wdrożenia, ale na Free i Pro pełna strefa jest po prostu najprostsza i najczęściej wystarczająca. Partial setup przydaje się tylko wtedy, gdy organizacja ma twarde ograniczenia po stronie dostawcy DNS. Z kolei w środowiskach z dużą liczbą rekordów lub z bardziej złożoną infrastrukturą trzeba już pilnować, czy wyczerpujesz limity i czy nie próbujesz proxy'ować tego, czego proxy'ować się nie powinno. Na końcu i tak liczy się to, czy konfiguracja jest przewidywalna, a nie efektowna.
Jak bym to ustawił w typowym projekcie
Gdybym miał ustawić Cloudflare dla standardowej strony firmowej, zrobiłbym to bez kombinowania: pełna strefa DNS, nameserwery przeniesione do Cloudflare, rekordy WWW w proxy, poczta i weryfikacje jako DNS-only, a do tego DNSSEC, jeśli rejestrator nie robi problemów. W sklepie internetowym dorzuciłbym jeszcze prostą dokumentację rekordów i checklistę przed każdą zmianą hostingu, bo tam bałagan w DNS kosztuje najwięcej czasu i nerwów.- WWW i subdomeny ruchowe ustaw jako proxied.
- Rekordy pocztowe, TXT i weryfikacje zostaw jako DNS-only.
- Przed migracją obniż TTL i spisz obecne rekordy.
- Jeśli nie możesz zmienić nameserverów, sprawdź, czy wystarczy tryb partial.
To zwykle wystarcza, żeby Cloudflare był nie tylko szybszym DNS-em, ale też sensowną warstwą porządkującą cały adresowy bałagan wokół domeny.
