DNS et Cloudflare

NexCMP a besoin d'un nom DNS — son domaine principal — et fonctionne selon deux modes.

Mode A: le DNS pointe directement vers le serveur

1. Créez un enregistrement A cloud.example.com → <server public IPv4> (et un enregistrement AAAA si le serveur dispose d'IPv6).
2. Facultatif, si vous les utilisez: admin.cloud.example.com et partner.cloud.example.com pointant vers la même IP.
3. Exécutez (ou réexécutez) l'installateur. Il détecte que le nom résout vers l'IP publique du serveur et obtient un certificat Let's Encrypt via le challenge HTTP-01 sur le port 80.

Mode B: le domaine passe par le proxy Cloudflare

Créez les mêmes enregistrements avec le nuage orange (Proxied). L'installateur détecte que le nom résout uniquement vers des adresses Cloudflare et bascule en mode Cloudflare:

• nginx écoute toujours sur les ports 80/443 de votre serveur;
• l'adresse IP réelle du visiteur est lue depuis l'en-tête CF-Connecting-IP — uniquement pour les connexions provenant des plages publiées par Cloudflare, évitant ainsi toute falsification ;
• le certificat est obtenu via Let's Encrypt (Cloudflare transmet le challenge à votre origine) ; si cela n'est pas encore possible, un certificat d'origine auto-signé est généré afin que le mode « Full » fonctionne, puis une réexécution ultérieure de l'installateur met à niveau vers Let's Encrypt.

Vous pouvez forcer ce mode avec --behind-cloudflare.

::: important Configurer le mode SSL/TLS dans Cloudflare Dans Cloudflare, allez dans SSL/TLS › Overview et sélectionnez Full (strict) une fois que l'installateur signale un certificat Let's Encrypt. Avec un certificat d'origine auto-signé, utilisez Full. Flexible provoquera des boucles de redirection. :::

TIP

Si « Always Use HTTPS » est activé, Cloudflare envoie la requête de validation sur le port 443 de votre origine. L'installateur gère cela en créant d'abord le certificat temporaire auto-signé, puis en réessayant Let's Encrypt.

Vérification

dig +short cloud.example.com        # A record (a Cloudflare address in mode B)
curl -I https://cloud.example.com/healthz
sudo certbot certificates           # certificate name, domains and expiry

Les certificats sont renouvelés automatiquement par le timer certbot. Le renouvellement utilise le webroot /var/www/nexcmp-acme, le port 80 doit donc rester accessible (directement ou via Cloudflare).

Problèmes fréquents

Symptôme	Cause	Solution
L'installateur indique « DNS … does not point to … (nor to Cloudflare) — skipping nginx/TLS »	Enregistrement DNS manquant, erroné ou non propagé	Corrigez l'enregistrement, attendez la propagation, puis relancez l'installateur.
Le navigateur affiche ERR_TOO_MANY_REDIRECTS derrière Cloudflare	Le mode SSL est Flexible	Définissez Full (strict) (ou Full).
Erreur Cloudflare 525/526	Certificat d'origine rejeté	Utilisez Full avec un certificat d'origine auto-signé, ou Full (strict) avec Let's Encrypt.
Les visiteurs affichent tous des IP Cloudflare dans les logs	Pas en mode Cloudflare	Relancez l'installateur avec --behind-cloudflare.

Plus d'informations dans Erreurs d'installation.