---
title: DNS e Cloudflare
description: Aponte seu domínio para o servidor NexCMP, opcionalmente através do Cloudflare, e obtenha um certificado válido com o modo SSL correto.
url: https://nexcmp.com/pt/docs/getting-started/dns-and-cloudflare/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# DNS e Cloudflare {#dns-and-cloudflare}

O NexCMP precisa de um nome DNS — seu **domínio principal** — e funciona em dois modos.

## Modo A: O DNS aponta diretamente para o servidor {#mode-a-dns-points-straight-at-the-server}

1. Crie um registro **A** `cloud.example.com → <server public IPv4>` (e um registro **AAAA** se o servidor tiver IPv6).
2. Opcional, se você os utilizar: `admin.cloud.example.com` e `partner.cloud.example.com` apontando para o mesmo IP.
3. Execute (ou reexecute) o [installer](https://nexcmp.com/pt/docs/getting-started/installation/). Ele verifica que o nome resolve para o IP público do próprio servidor e obtém um certificado Let's Encrypt por meio do desafio HTTP-01 na porta 80.

## Modo B: O domínio é proxied pelo Cloudflare {#mode-b-the-domain-is-proxied-by-cloudflare}

Crie os mesmos registros com a nuvem laranja (**Proxied**). O instalador detecta que o nome resolve apenas para endereços da Cloudflare e muda para o modo Cloudflare:

- o nginx ainda escuta nas portas 80/443 no seu servidor;
- o IP real do visitante é lido a partir do cabeçalho `CF-Connecting-IP` — **apenas** para conexões vindas das faixas publicadas da Cloudflare, para que não possa ser forjado por mais ninguém;
- o certificado é obtido através do Let's Encrypt (a Cloudflare encaminha o desafio para sua origem); se isso ainda não for possível, um **certificado de origem autoassinado** é criado para que o modo "Full" funcione, e uma execução posterior do instalador faz o upgrade para o Let's Encrypt.

Você pode forçar este modo com `--behind-cloudflare`.

::: important Definir o modo SSL/TLS na Cloudflare
Na Cloudflare, vá em **SSL/TLS › Overview** e selecione **Full (strict)** assim que o instalador reportar um certificado Let's Encrypt. Com um certificado de origem autoassinado, use **Full**. **Flexible** causará loops de redirecionamento.
:::

::: tip
Se "Always Use HTTPS" estiver ativado, a Cloudflare envia a solicitação de validação para a porta 443 da sua origem. O instalador lida com isso criando primeiro o certificado autoassinado temporário e, em seguida, tentando novamente o Let's Encrypt.
:::

## Verifique {#check-it}

```bash
dig +short cloud.example.com        # A record (a Cloudflare address in mode B)
curl -I https://cloud.example.com/healthz
sudo certbot certificates           # certificate name, domains and expiry
```

Os certificados são renovados automaticamente com o timer do certbot. A renovação usa o webroot `/var/www/nexcmp-acme`, portanto a porta 80 deve permanecer acessível (diretamente ou através da Cloudflare).

## Problemas comuns {#common-problems}

| Sintoma | Causa | Correção |
|---|---|---|
| Instalador diz "DNS … does not point to … (nor to Cloudflare) — skipping nginx/TLS" | Registro DNS ausente, incorreto ou não propagado | Corrija o registro, aguarde a propagação e execute o instalador novamente. |
| O navegador mostra `ERR_TOO_MANY_REDIRECTS` atrás da Cloudflare | O modo SSL é **Flexible** | Defina **Full (strict)** (ou **Full**). |
| Erro 525/526 da Cloudflare | Certificado de origem rejeitado | Use **Full** com um certificado de origem autoassinado, ou **Full (strict)** com o Let's Encrypt. |
| Os visitantes mostram todos IPs da Cloudflare nos logs | Não está no modo Cloudflare | Execute o instalador novamente com `--behind-cloudflare`. |

Mais informações em [Installation errors](https://nexcmp.com/pt/docs/troubleshooting/installation-errors/).