Los registros con proxy de Cloudflare (nube naranja) rompen el email: cómo solucionarlo

Qué significa

En el DNS de Cloudflare, cada registro A, AAAA y CNAME tiene un Proxy status (estado del proxy): Proxied (nube naranja) o DNS only (nube gris). Cuando un registro pasa por el proxy, Cloudflare no publica la IP real de tu servidor. Responde con las IP de Cloudflare y transmite el tráfico web (HTTP/HTTPS) a tu servidor.

El email no pasa por ese proxy. Así que, si un registro usado para el correo tiene el proxy activado, los demás servidores obtienen la dirección de Cloudflare en lugar de la de tu servidor de correo. Los síntomas:

• Nadie puede enviarte emails: el MX apunta a un host que resuelve a Cloudflare, y la conexión al puerto 25 falla o se agota.
• SPF falla: un mecanismo a o mx resuelve ahora a IP de Cloudflare, no a tu servidor.
• DKIM o la verificación del dominio fallan en SendGrid, Mailgun y herramientas similares: sus registros CNAME se añadieron con el proxy activado.
• Tus aplicaciones de correo no pueden conectarse a mail.yourdomain.com por IMAP o SMTP.

Por qué ocurre

• Traslado del DNS a Cloudflare: durante la importación, Cloudflare puede activar el proxy en los registros, incluido mail.
• Un mismo registro A para todo: la web y el servidor de correo comparten nombre de host, y alguien activó el proxy para la web.
• CNAME del proveedor de email con proxy: CNAME como em1234.yourdomain.com o s1._domainkey.yourdomain.com añadidos con la nube naranja activada.

Los registros MX y TXT no pueden pasar por el proxy; el problema siempre está en el A, AAAA o CNAME del que dependen.

Cómo comprobarlo

1. Abre el escáner de dominios y mira tus registros MX y la IP a la que resuelve cada host MX. Consulta esa IP en Whois: si pertenece a Cloudflare y no usas un producto de correo de Cloudflare para ese host, el registro tiene el proxy activado.
2. Con dig:

   dig MX yourdomain.com +short
   10 mail.yourdomain.com.
   dig A mail.yourdomain.com +short
   104.16.x.x        (Cloudflare range: wrong for a mail server)

3. Prueba un CNAME de DKIM: un CNAME con proxy no devuelve la clave TXT que hay detrás.

   dig TXT s1._domainkey.yourdomain.com +short

4. Envía un email de prueba desde tu servidor a la dirección única de la página de inicio de Delivmail (/) y lee el resultado SPF. Un fallo para la IP de tu propio servidor suele deberse a un destino a o mx con proxy.
5. En el panel de Cloudflare, abre tu dominio, ve a DNS > Records y mira la columna Proxy status.

Cómo solucionarlo

1. Pon los registros de correo en DNS only

Edita cada uno de estos registros y cambia el Proxy status a DNS only (nube gris):

• el registro A/AAAA de cada host usado en tus registros MX (por ejemplo mail, mx);
• los hosts a los que se conectan tus aplicaciones de correo por IMAP, POP y SMTP;
• cada CNAME indicado por un proveedor de email (selectores DKIM, dominios de return-path o de rebote, seguimiento de enlaces salvo que el proveedor diga lo contrario);
• cualquier host mencionado en el SPF con a:.

Type   Name       Content          Proxy status
A      @          203.0.113.80     Proxied   (website: OK)
A      mail       203.0.113.25     DNS only  (mail server)
MX     @          mail.yourdomain.com   priority 10
CNAME  s1._domainkey  s1.domainkey.u123.wl.sendgrid.net   DNS only

2. Separa la web y el host de correo

No hagas que tu MX apunte al mismo nombre que tu web con proxy. Usa un nombre dedicado como mail.yourdomain.com en DNS only. Ten en cuenta que un host de correo en DNS only publica su IP; si es la misma IP que la de tu web, revela la dirección real de tu web. Alojar el correo en otra IP o en un proveedor de email lo evita.

3. Haz que el SPF no dependa de nombres con proxy

En el SPF, mejor ip4:/ip6: o el include: de tu proveedor que a y mx:

v=spf1 ip4:203.0.113.25 include:_spf.google.com ~all

Si usas Google Workspace o Microsoft 365, tu MX apunta a sus servidores y no hay que cambiar nada del proxy ahí; revisa en cambio los CNAME de DKIM y el registro SPF. Para problemas relacionados, consulta registros de email perdidos tras trasladar tu DNS.

Comprueba que está solucionado

Los cambios de proxy se aplican rápido, pero los resolvers pueden guardar en caché las respuestas antiguas durante el TTL del registro (consulta propagación DNS y TTL). Después vuelve a ejecutar dig A mail.yourdomain.com: debe devolver la IP de tu servidor. Haz una nueva prueba en Delivmail y confirma que SPF y DKIM pasan, vuelve a verificar el dominio en tu herramienta de email y envía un email desde un buzón externo a tu dominio para confirmar la recepción.