Utiliser Cloudflare ou un autre proxy avec Kapsule

Comment placer un proxy ou un CDN tiers devant un site KapsuleHost, y compris les deux paramètres qui cassent les sites, les enregistrements qui ne doivent jamais être proxifiés, et comment l'annuler.

Kapsule exécute ses propres serveurs de noms et son propre réseau edge mondial, donc la plupart de ce qu'un proxy tiers offre est déjà disponible ici, intégré et pris en charge. Vous pouvez toujours en placer un devant si vous le souhaitez. Cette page vous montre comment faire et à quel prix.

Ce que vous gagnez et ce que vous perdez

Se déplacer pour une fonctionnalité spécifique que vous avez testée et dont vous avez besoin est une bonne raison. Se déplacer parce qu'un post de forum l'a recommandé échange une configuration prise en charge pour une configuration non prise en charge.

Notez que la plupart des fournisseurs, Cloudflare compris, vous demandent de déléguer le domaine entier à leurs serveurs de noms sur les plans d'entrée de gamme. Vous ne pouvez pas proxifier un seul nom d'hôte et laisser le reste de votre DNS chez nous. Déplacer vos serveurs de noms déplace tout : enregistrements web, enregistrements mail, enregistrements de vérification, tout.

Les deux paramètres qui cassent tout

1. Utiliser Full (Strict) SSL, jamais Flexible

Votre site Kapsule possède un certificat réel, publiquement approuvé, et redirige le HTTP brut vers HTTPS à l'origine.

Si votre proxy est configuré sur Flexible SSL, il communique en HTTP brut avec votre origine. Votre origine le redirige vers HTTPS. Le proxy le récupère à nouveau en HTTP. Boucle infinie. Les visiteurs voient ERR_TOO_MANY_REDIRECTS et le site est inutilisable.

Réglez le mode SSL sur Full (strict). Votre certificat d'origine est valide et publiquement approuvé, donc la validation stricte passe. C'est la cause la plus courante d'un site cassé au moment où un proxy est activé.

2. Ne pas intercepter le chemin du défi de certificat

Les certificats sont émis et renouvelés en prouvant le contrôle du domaine en HTTP brut, à /.well-known/acme-challenge/. Cette requête doit atteindre l'origine Kapsule et retourner la réponse exacte. Tout au niveau du proxy qui l'intercepte casse l'émission et, trois mois plus tard, le renouvellement :

• Protection contre les bots, mode « sous attaque », ou tout défi géré servant une page interstitielle.
• Pare-feu, règles personnalisées ou de page qui correspondent au chemin ou à l'agent utilisateur, ou qui réécrivent le chemin.
• Mise en cache qui sert un 404 obsolète pour le chemin du défi.
• Forcer HTTPS sur le chemin du défi lui-même, avant qu'un certificat n'existe pour le servir avec.

Ajoutez une règle explicite excluant /.well-known/ de chacune de ces fonctionnalités.

Les certificats payants commandés via Kapsule sont validés via DNS à la place, donc le proxying ne les affecte pas. Consultez Certificats SSL.

Déplacer votre DNS vers Cloudflare

Étape 1 : Copier vos enregistrements actuels. Ouvrez l'onglet DNS pour votre site dans KPanel et notez chaque enregistrement : type, nom, valeur, priorité. N'en sautez pas que vous ne reconnaissez pas. Les enregistrements de vérification tiers et les enregistrements mail ci-dessous sont ce que les gens perdent. Les importateurs automatiques manquent régulièrement des enregistrements, donc cette liste est ce que vous vérifiez par rapport à l'importation et ce à partir duquel vous restaurez plus tard.

Étape 2 : Ajouter le domaine et vérifier l'importation. Ajoutez le domaine chez Cloudflare et laissez-le analyser votre DNS. Comparez le résultat ligne par ligne avec votre liste et ajoutez à la main tout ce qui manque. Les valeurs doivent correspondre exactement, y compris les points finaux et les guillemets sur les enregistrements TXT.

Étape 3 : Décider ce qui est proxifié. Chaque enregistrement obtient un curseur de proxy, généralement un nuage orange ou gris. Proxifié signifie que le trafic pour ce nom d'hôte passe par leur réseau ; non proxifié signifie que DNS résout directement à l'adresse réelle. Proxifiez uniquement les enregistrements qui servent le trafic du site web. La section suivante est la liste définitive.

Étape 4 : Changer les serveurs de noms. Seulement une fois que les enregistrements sont corrects, pointez le domaine sur les serveurs de noms que Cloudflare vous donne. Si le domaine est enregistré chez Kapsule, utilisez la page Nameservers, couverte dans Serveurs de noms. Sinon, utilisez le panneau de votre registraire. La délégation prend de quelques minutes à quelques heures pour être visible partout.

Quels enregistrements ne doivent jamais être proxifiés

Proxifier un enregistrement qui n'est pas du trafic web ne le protège pas. Cela remplace la réponse par l'adresse du proxy, donc le service à l'autre extrémité cesse de fonctionner.

La règle en dessous : proxifiez les noms d'hôte qui servent HTTP et HTTPS aux navigateurs, et rien d'autre.

Garder votre email fonctionnel

Le courrier est la casualité la plus courante d'un changement de serveur de noms, et il passe souvent inaperçu pendant un jour ou deux car le courrier entrant cesse simplement d'arriver plutôt que de produire une erreur visible.

Si vos boîtes aux lettres sont chez Kapsule, quatre choses doivent être vraies après :

1. L'enregistrement MX existe et n'est pas proxifié, pointant vers mail.kapsulehost.com avec priorité 10.
2. SPF est un seul enregistrement. Un domaine est autorisé à en avoir exactement un. Le nôtre ressemble à v=spf1 include:_spf.kapsulehost.com ~all. Si vous envoyez également via un autre service, leurs hôtes appartiennent à cet unique enregistrement, pas à un deuxième.
3. Chaque enregistrement DKIM est venu. Chaque domaine a ses propres clés de signature publiées comme enregistrements TXT sous _domainkey. Il y en a plus d'un, et le courrier signé avec une clé dont l'enregistrement est manquant échoue à l'authentification.
4. DMARC est venu. L'enregistrement _dmarc indique aux serveurs de réception quoi faire avec le courrier qui échoue les vérifications ci-dessus.

L'onglet Deliverability sur n'importe quelle boîte aux lettres affiche ce qui est actuellement publié et ce qui manque, avec les valeurs correctes à copier. Vérifiez-le après la propagation des serveurs de noms. SPF, DKIM et DMARC expliqués couvre ce que chaque enregistrement fait.

Le courrier est envoyé et reçu directement sur le vrai nom d'hôte mail, donc il ne passe jamais par le proxy. Les paramètres de votre client mail ne changent pas.

Ce que vous perdez : l'adresse IP client réelle

Kapsule lit l'adresse IP réelle du visiteur à partir d'un en-tête transféré, mais uniquement quand la requête arrive de notre propre réseau edge ou de la machine elle-même. Toute autre source est non fiable, délibérément, car un en-tête transféré peut être forgé par n'importe qui. Un proxy tiers n'est pas sur cette liste de confiance, et il n'existe pas de moyen pris en charge d'en ajouter un.

Donc tout ce qui dépend de l'adresse IP du visiteur voit le proxy à la place :

Il y a une version pire. La plateforme bloque automatiquement les adresses générant une rafale d'erreurs ou de connexions échouées. Derrière un proxy, cette activité semble venir du proxy, donc un seul visiteur mal comporté peut faire bloquer temporairement un centre de données de proxy entier, mettant tout le monde d'autre routé à travers hors ligne. Nous ne pouvons pas corriger cela de notre côté.

Ne pas empiler deux CDN

L'exécution de Kapsule CDN avec un proxy tiers devant ne double pas votre performance. Cela vous donne deux caches en désaccord, deux ensembles de règles de purge, et un problème très difficile à déboguer.

Il y a aussi un blocage concret : l'activation de Kapsule CDN nécessite que notre edge émette un certificat pour votre nom d'hôte, ce qui nécessite que le nom d'hôte se résolve vers notre edge. Si DNS pointe vers un proxy tiers à la place, ce certificat n'est jamais émis et le CDN ne fait silencieusement rien.

Choisissez-en un. Si vous voulez le leur, désactivez Kapsule CDN en premier, avant de déléguer vos serveurs de noms. Si vous voulez le nôtre, désactivez le proxy. L'activation normale de Kapsule CDN écrit les enregistrements edge requis pour vous, mais seulement quand votre DNS est hébergé chez nous ; sinon, publiez-les vous-même en utilisant le nom d'hôte edge sur l'onglet CDN.

Revenir à Kapsule DNS

1. Ouvrez l'onglet DNS dans KPanel et vérifiez que les enregistrements correspondent toujours à ce qui est en direct au proxy. Ajoutez tout ce que vous avez créé là-bas depuis votre départ.
2. Désactivez le curseur de proxy sur chaque enregistrement du service tiers, pour que la zone affiche les adresses réelles. Confirmez que le site se charge toujours.
3. Changez les serveurs de noms chez votre registraire revenir à ns1.kapsulecloud.com, ns2.kapsulecloud.com, ns3.kapsuledns.com et ns4.kapsuledns.com.
4. Une fois la délégation déplacée, confirmez que le site se charge en HTTPS avec un certificat valide.
5. Vérifiez l'onglet Deliverability sur une boîte aux lettres et confirmez que les enregistrements mail sont présents.
6. Réactivez Kapsule CDN si vous le souhaitez, et confirmez que le certificat est émis.

Quand cela se passe mal

• ERR_TOO_MANY_REDIRECTS : le mode SSL est Flexible. Changez-le en Full (strict).
• Certificat expiré ou invalide : le renouvellement a été bloqué. Ajoutez l'exclusion /.well-known/, puis réémettez à partir du panneau. Consultez Certificats SSL.
• Le courrier a arrêté d'arriver : l'enregistrement MX est manquant, proxifié, ou pointant vers le mauvais hôte. Consultez Email non reçu.
• Le courrier s'envoie mais arrive dans le spam : un enregistrement SPF, DKIM ou DMARC n'est pas venu. Corrigez ce que l'onglet Deliverability signale. Consultez Pourquoi mes emails vont-ils au spam ?.
• Les modifications n'apparaissent pas : deux caches. Purgez les deux, puis vérifiez dans une fenêtre privée.
• Certains visiteurs ne peuvent pas atteindre le site, d'autres le peuvent : probablement un blocage automatique sur un centre de données de proxy. Consultez Ouverture d'un ticket d'assistance.
• Le domaine a arrêté de se résoudre juste après le changement de serveur de noms : généralement un enregistrement de délégation DNSSEC obsolète. Demandez à votre registraire de le supprimer.
• Avertissements de contenu mixte : sans rapport avec le proxy, mais souvent remarqué au même moment. Consultez Correction du contenu mixte.

Guides connexes

• Activation du CDN
• Purge du cache CDN
• Serveurs de noms
• Bases du DNS
• Sécurité
• Glossaire d'hébergement