Configurer Cloudflare devant son site

Ce guide détaille la mise en place pas à pas. Pour savoir ce que Cloudflare apporte et ce qu'il ne fait pas, lisez d'abord Qu'est-ce que Cloudflare. Les étapes suivent la documentation de Cloudflare, relue le 14 octobre 2026 ; son interface est en anglais.

Avant de commencer

Gardez une copie de votre zone actuelle. Exportez-la ou notez chaque enregistrement chez votre fournisseur DNS. Voir Les enregistrements DNS.
Désactivez DNSSEC chez votre bureau d'enregistrement s'il est actif. Cloudflare précise qu'il doit être coupé avant le changement de serveurs de noms, faute de quoi le domaine peut devenir injoignable. Vous le réactiverez depuis Cloudflare une fois le domaine actif.
Repérez les enregistrements de la messagerie : MX, SPF, DKIM, DMARC, webmail. Ce sont ceux qu'un import oublie le plus souvent.

1. Ajouter le domaine

Connectez-vous à Cloudflare, ouvrez Domains, puis choisissez Onboard a domain.
Saisissez le domaine sans www, par exemple exemple.fr, et laissez Cloudflare rechercher les enregistrements existants.
Choisissez une offre. Le plan gratuit suffit à la plupart des sites.

2. Vérifier la zone importée

Cloudflare prévient que sa recherche automatique ne garantit pas de trouver tous les enregistrements. Comparez la liste importée avec votre copie, ligne par ligne. Pour interroger la zone actuelle depuis un terminal :

dig +short exemple.fr A
dig +short www.exemple.fr A
dig +short exemple.fr MX
dig +short exemple.fr TXT
dig +short _dmarc.exemple.fr TXT

Si votre messagerie est chez nous et que DKIM est activé pour votre domaine, ajoutez la clé publiée sous le sélecteur default :

dig +short default._domainkey.exemple.fr TXT

Ajoutez à la main tout enregistrement absent de l'import.

3. Choisir ce qui passe par le proxy

Seuls les enregistrements A, AAAA et CNAME peuvent passer par le proxy ; les MX et les TXT restent toujours en DNS seulement, selon la page de Cloudflare sur le statut du proxy. Cloudflare recommande de laisser en DNS seulement tout ce qui ne sert pas de pages web, la messagerie en premier.

Enregistrement	Statut à choisir
A du domaine et de www, vers votre hébergement	Proxied (nuage orange)
A ou CNAME du nom que désigne votre MX	DNS only (nuage gris)
webmail.exemple.fr	DNS only
MX et TXT (SPF, DKIM, DMARC)	toujours en DNS only

Le webmail reste en DNS seulement pour une raison propre à nos serveurs : il ne présente pas de certificat à votre nom, et Cloudflare en mode Full (strict) refuserait de s'y connecter.

4. Changer les serveurs de noms

Cloudflare vous attribue deux serveurs de noms. Remplacez les serveurs actuels par ces deux-là chez votre bureau d'enregistrement, sans en garder d'anciens. La méthode générale, et les erreurs à éviter, sont dans Changer les serveurs DNS d'un domaine.

Pour un domaine enregistré chez nous, modifiez les serveurs DNS depuis la fiche du domaine dans votre espace client si l'option y est proposée, sinon demandez-le-nous. La prise en compte peut demander jusqu'à 48 heures : voir La propagation DNS.

5. Régler le chiffrement

Dans Cloudflare, ouvrez SSL/TLS, puis Overview, et choisissez le mode Full (strict).
Ouvrez Edge Certificates et activez Always Use HTTPS, qui redirige toutes les requêtes en http vers https, selon la documentation de cette option.

Le mode Full (strict) chiffre aussi le trajet entre Cloudflare et votre hébergement, et vérifie le certificat de celui-ci. D'après la documentation du mode, ce certificat doit être en cours de validité, délivré par une autorité reconnue et porter le nom demandé ; sinon les visiteurs voient une erreur 526. Le certificat de Let's Encrypt posé sur nos hébergements remplit ces conditions pour le domaine et sa version www.

Avec Full (strict), la redirection de votre hébergement et Always Use HTTPS vont dans le même sens et ne créent pas de boucle ; une seule des deux suffit. Cloudflare conseille, si une boucle apparaît, de retirer la redirection du serveur ou de désactiver Always Use HTTPS, selon sa page sur les boucles de redirection.

N'utilisez pas le mode Flexible : Cloudflare joint alors votre serveur en HTTP, et la redirection vers HTTPS de l'hébergement tourne en boucle. Voir Trop de redirections WordPress.

6. Vérifier

Ouvrez le site sur plusieurs pages et vérifiez le cadenas.
Vérifiez que la réponse passe par Cloudflare :

curl -sI https://exemple.fr | grep -i '^cf-ray'

Une ligne cf-ray doit apparaître : Cloudflare l'ajoute aux réponses qu'il sert, selon sa liste des en-têtes HTTP.

Envoyez un courriel vers une de vos adresses depuis une messagerie extérieure, et répondez-y.
Testez vos formulaires de contact et le webmail.

Chez Hubspace

Nous n'hébergeons pas de zone DNS publique : votre zone est chez votre bureau d'enregistrement ou chez Cloudflare, et c'est là que se font ces réglages. Si vous préférez déléguer, notre prestation Cloudflare managé crée la zone à votre nom, reprend vos enregistrements, bascule sans coupure et écrit les règles de pare-feu.

Questions fréquentes

Mes courriels vont-ils passer par Cloudflare ?

Non. Les MX ne passent jamais par le proxy : les courriels vont directement à votre serveur de messagerie. Il faut seulement que le nom désigné par le MX reste en DNS seulement, sinon les serveurs expéditeurs joindraient Cloudflare au lieu de votre messagerie.

Le site affiche une erreur 526 : que faire ?

Cloudflare ne parvient pas à valider le certificat de votre hébergement en mode Full (strict). Vérifiez dans Plesk qu'un certificat couvre bien le nom en cause, www compris, et réémettez-le si besoin : voir « Votre connexion n'est pas privée ».

Peut-on revenir en arrière ?

Oui, en remettant les anciens serveurs de noms chez votre bureau d'enregistrement. C'est pourquoi l'ancienne zone ne se supprime qu'une fois tout vérifié. Le retour prend le même temps de propagation.