Configurar DNS no Registro.br e Cloudflare em Conjunto

Configurar DNS no Registro.br e Cloudflare em conjunto é o processo de delegar a autoridade de resolução de um domínio nacional (.br) aos servidores da Cloudflare, permitindo acelerar o tráfego web via CDN enquanto o roteamento de correio eletrônico permanece direcionado ao servidor de hospedagem. Para realizar essa integração sem interromper o recebimento de mensagens, siga estes passos:

1. Mapeie as entradas de e-mail (MX, SPF, DKIM e subdomínio mail) na zona DNS atual.
2. Crie a zona correspondente no painel da Cloudflare e importe todos os registros existentes.
3. Altere o apontamento do subdomínio de e-mail para o modo "DNS Only" (nuvem cinza).
4. Verifique e remova o registro DS do DNSSEC no Registro.br antes de trocar os nameservers.
5. Aponte os nameservers autoritativos fornecidos pela Cloudflare dentro do painel do Registro.br.
6. Valide a propagação dos registros de correio eletrônico usando ferramentas de consulta DNS.

Pré-requisitos

• Acesso administrativo com perfil de contato técnico ou titular no painel do Registro.br.
• Conta ativa no painel da Cloudflare.
• Endereço IPv4 (e IPv6 opcional) do servidor onde o serviço de e-mail e web está hospedado.
• Acesso às entradas atuais da zona DNS no cPanel, painel web ou servidor DNS de origem.
• Acesso a um terminal com utilitário dig (pacote bind-utils ou dnsutils) para auditoria de resolução.

Mapeamento da zona de e-mail e infraestrutura de apontamento

A causa primária de falhas na entrega de mensagens durante a migração para redes de entrega de conteúdo decorre da tentativa de aplicar proxy reverso em portas incompatíveis. O proxy padrão da Cloudflare trata HTTP e HTTPS apenas nas portas por ela suportadas (incluindo 80 e 443), não atendendo os protocolos e portas convencionais de e-mail. Protocolos como SMTP (porta 25, 465 ou 587), IMAP (porta 993) e POP3 (porta 995) não podem transitar pelo proxy tradicional da Cloudflare, pois a conexão TCP direta é interrompida.

Antes de alterar qualquer delegação no Registro.br, identifique os registros que sustentam o serviço de correio. Em uma instalação padrão, você precisará levantar quatro componentes essenciais:

• Registro MX: Determina o host responsável por receber os e-mails do domínio (exemplo: prioridade 10 apontando para mail.seudominio.com.br).
• Registro A do host de correio: Define o IP direto onde o serviço de e-mail roda (exemplo: mail.seudominio.com.br direcionado para 203.0.113.10).
• Registros de autenticação: As regras de SPF (v=spf1 ...) e a política DMARC (_dmarc) são normalmente registros TXT. As chaves DKIM (seletores como default._domainkey) podem ser registros TXT ou CNAME dependendo do provedor; serviços como Microsoft 365 frequentemente usam CNAME para delegar seletores DKIM. Caso queira entender a estrutura interna dessas entradas, consulte o guia de DNS do Registro.br no cPanel sem perder e-mail.
• Registros CNAME utilitários: Apontamentos como webmail, pop, smtp ou imap.

Para levantar as entradas ativas diretamente pela linha de comando antes de qualquer intervenção, execute as consultas a seguir em seu terminal local. Essas consultas cobrem os registros mais comuns, mas não substituem a exportação completa da zona pelo painel do seu provedor atual — consulte também explicitamente _dmarc, cada seletor DKIM tanto em TXT quanto em CNAME, os hosts de acesso dos clientes de e-mail (smtp, imap, pop, webmail) e eventuais registros AAAA:

dig MX seudominio.com.br +short
dig TXT seudominio.com.br +short
dig TXT _dmarc.seudominio.com.br +short
dig TXT default._domainkey.seudominio.com.br +short
dig CNAME default._domainkey.seudominio.com.br +short
dig A mail.seudominio.com.br +short
dig CNAME webmail.seudominio.com.br +short

A resposta retornará a estrutura autoritativa em operação no servidor atual:

10 mail.seudominio.com.br.
"v=spf1 a mx ip4:203.0.113.10 ~all"
203.0.113.10

Configuração das entradas DNS na Cloudflare com desativação de proxy

Com os dados catalogados, adicione o domínio na interface da Cloudflare. Durante a etapa de verificação de registros, o assistente fará uma varredura automática, mas você deve auditar manualmente cada entrada inserida na tabela DNS para evitar falhas silenciosas.

1. Crie ou confirme a entrada A com o nome @ (raiz do domínio) apontando para o IP do seu servidor web (ex: 203.0.113.10). Mantenha o status do proxy em Proxied (ícone de nuvem laranja) para que o tráfego HTTP/HTTPS passe pela CDN, aproveitando as proteções e o cache de borda.
2. Crie ou confirme a entrada CNAME com o nome www apontando para seudominio.com.br, também mantendo o proxy ativado (nuvem laranja).
3. Crie a entrada A com o nome mail apontando diretamente para o IP 203.0.113.10. Altere obrigatoriamente o status do proxy para DNS Only (nuvem cinza). Esse passo impede que as rotas de correio sejam desviadas para as faixas de IP da Cloudflare. Atenção: quando o mesmo IP é usado para o servidor web (em modo Proxied) e para o host de e-mail (em modo DNS Only), o IP de origem fica exposto publicamente pelo registro mail. Se possível, use IPs ou servidores separados para web e e-mail; caso precisem compartilhar o IP, restrinja no firewall o acesso HTTP/HTTPS direto às faixas oficiais de IP da Cloudflare, bloqueando conexões não autorizadas às portas web.
4. Adicione o registro MX com o nome @, definindo o destino como mail.seudominio.com.br e atribuindo a prioridade configurada originalmente (normalmente 10).
5. Recrie os registros de autenticação mantendo o tipo original de cada entrada: SPF e DMARC normalmente são TXT; registros DKIM podem ser TXT ou CNAME. Copie nome, tipo e valor sem conversão — converter um CNAME de seletor DKIM em TXT quebra a validação DKIM. Todos ficam com status DNS Only (registros TXT e CNAME de autenticação não recebem proxy HTTP).
6. Se os clientes de e-mail (Outlook, Thunderbird, celulares) utilizam subdomínios como smtp.seudominio.com.br ou imap.seudominio.com.br, aponte-os como CNAME para mail.seudominio.com.br ou registros A diretos com nuvem cinza.

Atenção: Nunca configure o registro MX apontando diretamente para um host com nuvem laranja ativa (como o domínio raiz com proxy ligado). A Cloudflare emitirá um alerta explícito no painel avisando que registros MX não podem apontar para nomes sob proxy, sob risco de exposição do IP de origem ou indisponibilidade total no recebimento de mensagens externas.

Delegação dos nameservers no painel do Registro.br

O Registro.br é o órgão responsável pelo gerenciamento de nomes sob o código de país (.br) e opera sob regras estritas de checagem prévia de servidores DNS. Antes de aceitar uma nova delegação, os servidores centrais do Registro.br consultam os servidores DNS de destino para validar se eles já respondem com autoridade pelo domínio em questão.

A Cloudflare atribui à zona dois nameservers autoritativos; utilize exatamente o par exibido no painel para esse domínio (por exemplo: art.ns.cloudflare.com e tina.ns.cloudflare.com). Com a zona já populada e pronta no painel da Cloudflare, faça a transição:

1. Acesse o painel oficial do Registro.br e autentique-se com sua identificação (ID) e senha.
2. Clique sobre o domínio que será configurado na listagem de domínios cadastrados.
3. Role a tela até o painel nomeado DNS e selecione o botão Alterar Servidores DNS.
4. Caso a zona estivesse em modo simplificado ("Utilizar servidores DNS do Registro.br"), selecione a opção de servidores próprios/externos.
5. Antes de salvar os novos nameservers, verifique na seção DNSSEC do Registro.br se há um registro DS publicado para o domínio. Se houver, remova-o e aguarde a expiração do TTL correspondente com a zona antiga ainda operacional. Manter um DS incompatível com a zona da Cloudflare fará com que resolvedores validadores (como 8.8.8.8 e 1.1.1.1) retornem SERVFAIL, tornando o domínio completamente inacessível. Após a delegação para a Cloudflare estar estável, você poderá habilitar DNSSEC na Cloudflare e publicar no Registro.br exatamente o novo DS fornecido por ela. Consulte também o comparativo DNSSEC Registro.br e Cloudflare em domínio Linux para o procedimento completo.
6. Preencha o primeiro campo de Servidor DNS com o primeiro nameserver da Cloudflare (exemplo: art.ns.cloudflare.com).
7. Preencha o segundo campo de Servidor DNS com o segundo nameserver da Cloudflare (exemplo: tina.ns.cloudflare.com).
8. Deixe os campos de IP vazios, pois a infraestrutura do Registro.br resolve os hostnames dos provedores DNS globais automaticamente.
9. Clique em Salvar Dados.

O Registro.br fará uma checagem em tempo real (teste de autoridade). Se a zona na Cloudflare foi configurada previamente, o sistema exibirá uma mensagem verde de confirmação informando que a alteração foi concluída com sucesso. Para entender a dinâmica dos intervalos de atualização, leia o material sobre como otimizar a propagação de DNS: por que demora e como acelerar.

Validação técnica da propagação e integridade do correio

Após salvar a alteração, o Registro.br publica a nova delegação rapidamente, mas resolvedores públicos podem continuar usando os nameservers antigos até o TTL do registro NS expirar — esse período pode ser superior a duas horas dependendo do cache de cada resolvedor. Durante todo esse período de transição, mantenha as zonas antiga e nova com registros equivalentes e operacionais. Ao final, valide a integridade técnica das rotas para assegurar que nenhum pacote de e-mail seja rejeitado por outros provedores.

Primeiro, confira se os servidores da Cloudflare já aparecem na visão do resolvedor público do Google (8.8.8.8). Note que essa consulta mostra o cache desse resolvedor; para confirmar autoridade diretamente, use dig +trace NS seudominio.com.br ou consulte cada nameserver atribuído com a flag aa:

dig NS seudominio.com.br @8.8.8.8 +short

A resposta deve conter os servidores informados no painel:

art.ns.cloudflare.com.
tina.ns.cloudflare.com.

Em seguida, verifique se a resolução do registro MX aponta corretamente para o subdomínio sem proxy e valide a entrega de IP desse subdomínio:

dig MX seudominio.com.br +short
dig A mail.seudominio.com.br +short

A saída deve revelar o IP público original do seu provedor, e não um endereço pertencente às faixas de IP da Cloudflare. Consulte a lista oficial de prefixos em cloudflare.com/ips para comparar, ou verifique diretamente no painel da Cloudflare se o registro está como DNS Only:

10 mail.seudominio.com.br.
203.0.113.10

Por fim, confirme a conectividade TCP com a porta de submissão de e-mail diretamente contra o subdomínio mail para atestar que o tráfego não está sendo filtrado. O comando abaixo testa apenas se a conexão TCP pode ser aberta — não realiza diálogo SMTP nem valida TLS:

nc -zv mail.seudominio.com.br 587

A saída esperada indica que a porta está acessível via TCP:

Connection to mail.seudominio.com.br 587 port [tcp/submission] succeeded!

Para validar a negociação SMTP com STARTTLS e conferir o certificado, utilize:

openssl s_client -starttls smtp -connect mail.seudominio.com.br:587 -servername mail.seudominio.com.br

Problemas comuns e como resolver

Sintoma: Erro 'Pesquisa não autoritativa' ao salvar DNS no Registro.br

Causa: O Registro.br realizou o teste prévio nos servidores da Cloudflare antes que a zona estivesse totalmente inicializada no painel da CDN, ou o domínio foi digitado incorretamente ao ser criado na Cloudflare.
Solução: Acesse o painel da Cloudflare, certifique-se de que o domínio está na tela com o status aguardando alteração de nameservers. Para confirmar que os nameservers atribuídos já respondem com autoridade, execute dig SOA seudominio.com.br @art.ns.cloudflare.com e verifique a presença da flag aa na resposta antes de tentar salvar novamente no Registro.br.

Sintoma: Timeout ou conexão recusada ao tentar entregar e-mail

Causa: O registro MX foi apontado para o domínio principal (com proxy ativo) ou o subdomínio mail.seudominio.com.br está com a nuvem laranja (Proxied) habilitada na tabela DNS. O proxy da Cloudflare não escuta nas portas SMTP (25, 465 ou 587), resultando em timeout ou connection refused ao tentar estabelecer conexão com o servidor de e-mail.
Solução: Acesse a aba DNS na Cloudflare, localize o registro A com nome mail, clique em editar e clique sobre o ícone da nuvem para que ele mude para cinza (DNS Only). Verifique se o registro MX aponta explicitamente para mail.seudominio.com.br.

Sintoma: Erro '550 Relay Access Denied' ao enviar e-mail

Causa: Esse erro é gerado pelo próprio servidor de e-mail quando ele aceita a conexão mas não reconhece o domínio como local, a rota de transporte está incorreta, o destinatário não existe ou há exigência de autenticação não satisfeita. Não está relacionado ao proxy da Cloudflare.
Solução: Verifique no painel de controle do servidor de e-mail (cPanel, Plesk ou similar) se o domínio está configurado como local, se as rotas de transporte estão corretas e se o cliente de e-mail está autenticando corretamente.

Sintoma: Mensagens enviadas caem na pasta de lixo eletrônico ou spam

Causa: Os registros de autenticação SPF, DKIM ou DMARC foram omitidos durante a migração da zona ou contêm sintaxe incorreta.
Solução: Consulte a zona DNS original ou o painel de controle do seu e-mail corporativo e recrie cada entrada mantendo seu tipo original: SPF e DMARC normalmente são TXT; registros DKIM podem ser TXT ou CNAME. Copie nome, tipo e valor sem conversão — converter um CNAME de seletor DKIM em TXT quebra a validação. Exemplo de SPF: v=spf1 ip4:203.0.113.10 include:... ~all.

Perguntas frequentes

Por que o e-mail para de funcionar ao ativar a Cloudflare?

O e-mail para de funcionar quando a entrada apontada pelo registro MX (geralmente o subdomínio mail) fica com o proxy da Cloudflare ativado (nuvem laranja). Como a CDN da Cloudflare faz proxy apenas de tráfego HTTP e HTTPS, as conexões de protocolos de e-mail como SMTP, IMAP e POP3 são bloqueadas se passarem pelo proxy.

O subdomínio mail deve ficar com a nuvem laranja ou cinza?

O registro mail deve permanecer obrigatoriamente com a nuvem cinza (DNS Only). Isso garante que o tráfego de e-mail seja encaminhado diretamente ao IP real do seu servidor de hospedagem, sem passar pelos nós de proxy reverso da Cloudflare.

Posso manter a zona DNS no Registro.br e usar a CDN da Cloudflare?

Não diretamente nos planos gratuitos da Cloudflare, que exigem a delegação autoritativa dos nameservers no Registro.br. Para utilizar a CDN, você deve apontar os nameservers da Cloudflare no Registro.br e gerenciar todas as entradas de DNS diretamente no painel da Cloudflare.

Quanto tempo demora a propagação da troca de nameservers no Registro.br?

O Registro.br publica a nova delegação rapidamente, mas resolvedores de internet que já tinham a delegação antiga em cache podem continuar usando os nameservers antigos até o TTL expirar, sem garantia de intervalo fixo. Mantenha as zonas antiga e nova equivalentes e operacionais durante todo esse período de transição.

Preciso recriar registros SPF, DKIM e DMARC na Cloudflare?

Sim, todos os registros de autenticação de mensagens devem ser copiados do servidor de origem para a Cloudflare mantendo o tipo original de cada entrada (TXT ou CNAME). A omissão ou configuração incorreta pode fazer as mensagens falharem na autenticação, prejudicar a reputação do domínio e aumentar a probabilidade de spam ou rejeição, conforme as políticas do remetente e do destinatário.

Conclusão

• Mantenha isoladas as rotas de correio eletrônico em modo DNS Only (nuvem cinza), garantindo que conexões SMTP, IMAP e POP3 atinjam a hospedagem sem bloqueios de borda.
• Replique todas as entradas de autenticação de remetente (SPF, DKIM e DMARC) no painel da Cloudflare mantendo o tipo original de cada registro para preservar a reputação dos envios.
• Remova o registro DS do DNSSEC no Registro.br antes de trocar os nameservers para evitar falha total de resolução por incompatibilidade de chaves.
• Acompanhe a alteração no Registro.br com ferramentas de diagnóstico antes de considerar a migração concluída e consolidada.

Leia também

• Comparativo DNSSEC Registro.br e Cloudflare em domínio Linux
• DNS Registro.br com Proxy Reverso Nginx sem queda
• Otimizar erro 522 da Cloudflare: SSL, firewall e origem

Precisa de ajuda com hospedagem e gerenciamento de domínios?

Configure a infraestrutura do seu site com servidores otimizados, painel intuitivo e suporte técnico preparado para cuidar de zonas DNS e entrega estável de e-mails corporativos.

Conhecer os planos de Hospedagem de Sites