Cómo mudar el dominio de su empresa al DNS de Cloudflare sin romper el correo ni el sitio web
Un plan paso a paso para mudar el dominio de su empresa al DNS de Cloudflare: auditar cada registro, mantener el correo, elegir proxy o solo DNS, manejar DNSSEC y verificar.
Mudar el DNS del dominio de su empresa a Cloudflare es seguro si hace tres cosas en orden. Primero, asegúrese de que todos los registros existentes, sobre todo los de correo (MX, SPF, DKIM y DMARC), estén copiados en Cloudflare y revisados. Segundo, desactive DNSSEC en su proveedor actual antes de cambiar los servidores de nombres. Tercero, decida registro por registro qué va con proxy (nube naranja) y qué debe quedarse solo DNS (nube gris). Los nombres de host de correo siempre quedan solo DNS. Si se salta alguno de estos pasos, su sitio web o su correo pueden caerse durante horas, y eso se puede evitar.
En esta guía le contamos cómo planificamos estas migraciones para empresas de Miami-Dade y el sur de la Florida, siguiendo la documentación oficial de Cloudflare.
¿Configuración completa o parcial?
Cloudflare ofrece dos maneras de poner un dominio detrás de su red.
| Configuración completa (primaria) | Configuración parcial (CNAME) | |
|---|---|---|
| Quién responde las consultas DNS | Los servidores de nombres de Cloudflare | Su proveedor DNS actual |
| Qué cambia en el registrador | Los servidores de nombres pasan a Cloudflare | Nada; usted agrega CNAME en su proveedor actual |
| Planes | Todos los planes | Solo Business y Enterprise |
| Protección DDoS de la infraestructura DNS | Sí | No (Cloudflare no es autoritativo) |
La mayoría de las pequeñas y medianas empresas usan la configuración completa: Cloudflare pasa a ser el proveedor DNS autoritativo y usted administra todos los registros en un solo panel. La configuración parcial tiene sentido solo cuando usted no puede mover el DNS autoritativo, por ejemplo cuando lo controla el departamento de TI de una casa matriz. La documentación de Cloudflare indica que la configuración parcial no está disponible para dominios registrados en Cloudflare Registrar y que, en ese modo, poner con proxy el dominio raíz depende de que su proveedor DNS admita CNAME flattening.
El resto de esta guía supone una configuración completa.
Paso 1: Haga un inventario de su DNS actual antes de tocar nada
Antes de agregar el dominio a Cloudflare, exporte o capture la zona completa en su proveedor actual (su registrador, su empresa de hosting, o Microsoft 365 o Google Workspace si ellos alojan el DNS). Necesita una foto del "antes" para comparar.
Preste especial atención a:
- Registros A y AAAA del dominio raíz y de
www. - Registros MX, que le indican al mundo dónde se entrega su correo.
- Registros TXT de SPF (
v=spf1 …) y DMARC (_dmarc), además de los registros DKIM, que pueden ser TXT o CNAME (selector._domainkey). - Registros CNAME de servicios como el autodiscover de Microsoft 365, Google Workspace o su CRM.
- Registros de verificación de Google, Microsoft, Apple, procesadores de pago y plataformas de marketing.
- Registros SRV de servicios como Microsoft Teams o centrales telefónicas VoIP.
Si la autenticación de su correo todavía no está en orden, lea primero nuestra guía sobre SPF, DKIM y DMARC. Mudar el DNS es un buen momento para corregirla, pero no cambie dos cosas a la vez.
Baje los TTL un día antes
Si piensa cambiar el valor de algún registro durante la migración, baje el TTL de esos registros en el proveedor anterior uno o dos días antes. Así los resolvedores verán los cambios más rápido. La documentación de Cloudflare explica el equilibrio: un TTL más largo aprovecha más la caché, mientras que uno más corto hace que los cambios se apliquen antes.
Paso 2: Agregue el dominio y audite los registros importados
En el panel de Cloudflare, incorpore su dominio (el dominio raíz, como example.com) y elija un plan. Cloudflare hace un escaneo rápido del DNS e importa los registros que encuentra.
La documentación de Cloudflare advierte que el escaneo puede omitir registros, así que compare la lista importada línea por línea con su inventario. Los que más se pierden son los selectores DKIM, los registros SRV y los subdominios que nadie visita desde hace años. Agregue a mano los que falten.
Paso 3: Decida qué va con proxy y qué queda solo DNS
Cada registro A, AAAA y CNAME en Cloudflare tiene un estado de proxy:
- Con proxy (nube naranja): el tráfico web pasa por Cloudflare, que oculta la dirección IP de su servidor y aplica caché, SSL y funciones de seguridad como el WAF de Cloudflare.
- Solo DNS (nube gris): Cloudflare simplemente responde con su IP real, como cualquier otro proveedor DNS.
Solo los registros A, AAAA y CNAME pueden ir con proxy. MX, TXT y los demás tipos son siempre solo DNS.
Registros que NO deben ir con proxy
- Nombres de host de correo. Si su registro MX apunta a
mail.example.com, el registro A demaildebe ser solo DNS. Cloudflare no pasa por proxy el tráfico de correo del puerto 25 (SMTP) de forma predeterminada, así que activar el proxy en ese nombre interrumpe la entrega de correo. - CNAME de verificación de propiedad del dominio. La documentación de Cloudflare indica que los registros que prueban la propiedad no deben ir con proxy.
- Servicios que no son web, como FTP, SSH, puntos de acceso VPN o VoIP en el mismo nombre de host. El proxy maneja tráfico web, así que asigne a esos servicios su propio nombre de host solo DNS.
Ponga con proxy los registros del sitio web
Su sitio web (example.com y www) normalmente va con proxy. Una advertencia: si su servidor de correo y su servidor web comparten la misma dirección IP, el registro de correo (solo DNS) revela la IP que el proxy debía ocultar. La documentación de Cloudflare menciona la configuración del correo como una de las formas en que se descubre la IP de origen. Cuando sea posible, aloje el correo por separado (Microsoft 365 o Google Workspace) o en otra dirección IP.
Los TTL dentro de Cloudflare
Los registros con proxy usan un TTL fijo Auto (300 segundos) que no se puede cambiar. En los registros solo DNS usted elige el TTL, desde 60 segundos en planes que no son Enterprise hasta un día. Auto también equivale a 300 segundos.
Paso 4: Resuelva DNSSEC antes de cambiar los servidores de nombres
Este paso es el que más caídas provoca. Si DNSSEC está activo en su dominio, un registro DS en su registrador indica a los resolvedores qué claves deben confiar. Si cambia los servidores de nombres mientras ese registro DS antiguo sigue vigente, los resolvedores que validan pueden devolver errores SERVFAIL y su dominio queda inaccesible para quienes los usan.
Esta es la secuencia que documenta Cloudflare cuando su proveedor actual no admite DNSSEC multi-firmante:
- Elimine el registro DS en su registrador (desactive DNSSEC).
- Espere a que venza el TTL del registro DS. Verifíquelo con
dig DS example.com. Cloudflare indica que suele ser de 24 a 48 horas. - Cambie los servidores de nombres a Cloudflare.
- Espere a que venza el TTL del registro NS anterior.
- Active DNSSEC en Cloudflare (configuración de DNS) y agregue en su registrador el nuevo registro DS que Cloudflare le muestra.
Si su proveedor actual le permite agregar registros DNSKEY en el dominio raíz, Cloudflare también documenta una migración multi-firmante que evita el período sin DNSSEC. Si no sabe si DNSSEC está activo, la consulta dig DS se lo dice: si no hay respuesta, no existe registro DS.
Paso 5: Cambie los servidores de nombres en su registrador
Cloudflare asigna dos servidores de nombres a su zona y los muestra en la página Overview de la zona. Usted no puede elegirlos.
- Identifique su registrador (ICANN Lookup se lo dice si nadie lo recuerda).
- Elimine los servidores de nombres actuales y escriba los dos de Cloudflare exactamente como aparecen.
- Guarde y cuente con que el registrador puede tardar hasta 24 horas en aplicar el cambio.
Algunos dominios se administran a través de un revendedor o de la cuenta de un diseñador web, así que el cambio tal vez deba hacerse allí. Averígüelo antes del día planificado.
Paso 6: Verifique todo
Su zona está en funcionamiento cuando el panel muestra el dominio como Active. Cloudflare también le envía un correo de confirmación. Luego revise esta lista:
dig ns example.com @1.1.1.1(onslookup -type=ns example.com 1.1.1.1en Windows) devuelve los servidores de nombres de Cloudflare.- El sitio carga tanto en
example.comcomo enwww, con un certificado válido y sin bucles de redirección. - Envíe y reciba un correo de prueba con una cuenta externa (Gmail u Outlook.com) en ambas direcciones.
- Revise los encabezados de un mensaje de prueba recibido: SPF, DKIM y DMARC deben pasar.
- Los centros de administración de Microsoft 365 o Google Workspace muestran el dominio en buen estado.
- Los servicios de terceros que dependían del DNS (correo del CRM, procesador de pagos, herramientas de reservas) siguen verificados.
- DNSSEC está activado de nuevo en Cloudflare y el nuevo registro DS está publicado en el registrador.
- Dos personas tienen acceso a la cuenta de Cloudflare, ambas con MFA, y el acceso está guardado en su gestor de contraseñas.
Mantenga la zona en el proveedor DNS anterior durante unos días. Le sirve de referencia y responde a los resolvedores que todavía tienen en caché los servidores de nombres antiguos.
Qué sigue
Cuando el DNS ya esté en Cloudflare y el sitio web vaya con proxy, revise el modo de cifrado SSL/TLS (debe ser Full (strict) si su servidor tiene un certificado válido) y decida qué funciones de seguridad y caché activar. Nuestros equipos de administración de hosting web y correo empresarial hacen estas migraciones con frecuencia, incluido el cambio fuera del horario laboral.
Si quiere ayuda para mudar su dominio sin perder correo ni disponibilidad, solicite una evaluación de TI gratuita. Core Florida IT atiende a empresas en todo Miami-Dade y el sur de la Florida, en español e inglés, y configuramos Cloudflare como proveedor de TI independiente.
