---
title: DNS et Cloudflare
description: Pointez votre domaine vers le serveur NexCMP, éventuellement via Cloudflare, et obtenez un certificat valide avec le mode SSL approprié.
url: https://nexcmp.com/fr/docs/getting-started/dns-and-cloudflare/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# DNS et Cloudflare {#dns-and-cloudflare}

NexCMP a besoin d'un nom DNS — son **domaine principal** — et fonctionne selon deux modes.

## Mode A: le DNS pointe directement vers le serveur {#mode-a-dns-points-straight-at-the-server}

1. Créez un enregistrement **A** `cloud.example.com → <server public IPv4>` (et un enregistrement **AAAA** si le serveur dispose d'IPv6).
2. Facultatif, si vous les utilisez: `admin.cloud.example.com` et `partner.cloud.example.com` pointant vers la même IP.
3. Exécutez (ou réexécutez) l'[installateur](https://nexcmp.com/fr/docs/getting-started/installation/). Il détecte que le nom résout vers l'IP publique du serveur et obtient un certificat Let's Encrypt via le challenge HTTP-01 sur le port 80.

## Mode B: le domaine passe par le proxy Cloudflare {#mode-b-the-domain-is-proxied-by-cloudflare}

Créez les mêmes enregistrements avec le nuage orange (**Proxied**). L'installateur détecte que le nom résout uniquement vers des adresses Cloudflare et bascule en mode Cloudflare:

- nginx écoute toujours sur les ports 80/443 de votre serveur;
- l'adresse IP réelle du visiteur est lue depuis l'en-tête `CF-Connecting-IP` — **uniquement** pour les connexions provenant des plages publiées par Cloudflare, évitant ainsi toute falsification ;
- le certificat est obtenu via Let's Encrypt (Cloudflare transmet le challenge à votre origine) ; si cela n'est pas encore possible, un **certificat d'origine auto-signé** est généré afin que le mode « Full » fonctionne, puis une réexécution ultérieure de l'installateur met à niveau vers Let's Encrypt.

Vous pouvez forcer ce mode avec `--behind-cloudflare`.

::: important Configurer le mode SSL/TLS dans Cloudflare
Dans Cloudflare, allez dans **SSL/TLS › Overview** et sélectionnez **Full (strict)** une fois que l'installateur signale un certificat Let's Encrypt. Avec un certificat d'origine auto-signé, utilisez **Full**. **Flexible** provoquera des boucles de redirection.
:::

::: tip
Si « Always Use HTTPS » est activé, Cloudflare envoie la requête de validation sur le port 443 de votre origine. L'installateur gère cela en créant d'abord le certificat temporaire auto-signé, puis en réessayant Let's Encrypt.
:::

## Vérification {#check-it}

```bash
dig +short cloud.example.com        # A record (a Cloudflare address in mode B)
curl -I https://cloud.example.com/healthz
sudo certbot certificates           # certificate name, domains and expiry
```

Les certificats sont renouvelés automatiquement par le timer certbot. Le renouvellement utilise le webroot `/var/www/nexcmp-acme`, le port 80 doit donc rester accessible (directement ou via Cloudflare).

## Problèmes fréquents {#common-problems}

| Symptôme | Cause | Solution |
|---|---|---|
| L'installateur indique « DNS … does not point to … (nor to Cloudflare) — skipping nginx/TLS » | Enregistrement DNS manquant, erroné ou non propagé | Corrigez l'enregistrement, attendez la propagation, puis relancez l'installateur. |
| Le navigateur affiche `ERR_TOO_MANY_REDIRECTS` derrière Cloudflare | Le mode SSL est **Flexible** | Définissez **Full (strict)** (ou **Full**). |
| Erreur Cloudflare 525/526 | Certificat d'origine rejeté | Utilisez **Full** avec un certificat d'origine auto-signé, ou **Full (strict)** avec Let's Encrypt. |
| Les visiteurs affichent tous des IP Cloudflare dans les logs | Pas en mode Cloudflare | Relancez l'installateur avec `--behind-cloudflare`. |

Plus d'informations dans [Erreurs d'installation](https://nexcmp.com/fr/docs/troubleshooting/installation-errors/).