Cloudflare DNS può indicare tre servizi diversi
Il nome viene usato per prodotti che lavorano in punti distinti della rete. Cloudflare DNS autorevole conserva i record del tuo dominio e risponde con l’indirizzo corretto quando qualcuno cerca il sito. 1.1.1.1 è invece un resolver pubblico: un dispositivo gli chiede dove si trovano i domini che vuole visitare. WARP è un’app che, secondo la modalità scelta, protegge solo le richieste DNS oppure instrada anche il traffico del dispositivo nella rete Cloudflare.
La differenza non è accademica. Cambiare i nameserver al registrar modifica chi gestisce la zona DNS del dominio. Impostare 1.1.1.1 sul telefono o sul router non sposta alcun record. Attivare WARP, infine, non rende anonimi e non serve a far apparire la connessione da un altro Paese.
DNS autorevole, resolver e WARP a confronto
| Componente | Che cosa fa | Quando serve |
|---|---|---|
| Cloudflare DNS autorevole | Pubblica A, AAAA, CNAME, MX, TXT e gli altri record del dominio | Quando vuoi amministrare la zona e, per il web, usare anche il proxy Cloudflare |
| Resolver 1.1.1.1 | Traduce i domini richiesti dal dispositivo in indirizzi IP | Quando vuoi sostituire il resolver dell’operatore |
| WARP | Protegge il DNS o il traffico del dispositivo, secondo la modalità | Quando vuoi un client facile da attivare, soprattutto su mobile |
Questa guida si concentra soprattutto sul primo caso, perché un errore nella zona può rendere irraggiungibili sito ed email. Se cerchi invece un confronto tra 1.1.1.1 e altri servizi, consulta la guida ai DNS migliori per privacy, filtri e semplicità.
Come funziona una query: resolver, root nameserver e indirizzo IP
Quando un visitatore digita un indirizzo, il dispositivo interroga un resolver ricorsivo. Se la risposta non è già in cache, il resolver segue la delega: parte dai root nameserver, individua i server dell’estensione come .com e arriva ai nameserver autorevoli del dominio. Questi ultimi restituiscono il record richiesto. Il resolver conserva la risposta per il tempo indicato dal TTL e la consegna al dispositivo.
Cloudflare può comparire in due punti di questo percorso. Può essere il resolver scelto dal visitatore, tramite 1.1.1.1, e può essere il DNS autorevole scelto dal proprietario del dominio. Le due decisioni sono indipendenti: il tuo sito può usare Cloudflare come DNS anche se i visitatori interrogano Google, Quad9 o il resolver del proprio operatore.
Configurare il server DNS autorevole Cloudflare
Nel setup completo, aggiungi il dominio a Cloudflare, controlli la zona importata e sostituisci presso il registrar i nameserver esistenti con la coppia assegnata. La procedura ufficiale di full setup avverte che la scansione iniziale può non trovare ogni record. Non trattarla quindi come una copia certificata della configurazione precedente.
Prima del cambio prepara un inventario della zona attuale. Oltre al record principale e a www, verifica sottodomini, servizi esterni, record di convalida e tutte le voci relative alla posta. Per l’email sono particolarmente importanti MX, SPF, DKIM e DMARC: i valori corretti arrivano dal fornitore della posta e non esiste un modello universale da copiare.
Una sequenza prudente è questa:
- salva la zona e annota nameserver e stato DNSSEC attuali;
- aggiungi il dominio e confronta uno per uno i record importati;
- decidi quali record web saranno Proxied e quali resteranno DNS only;
- gestisci l’eventuale vecchio record DS prima del cambio dei nameserver;
- pubblica al registrar esclusivamente i nameserver assegnati da Cloudflare;
- attendi che la zona risulti attiva e verifica web, email e sottodomini;
- abilita DNSSEC in Cloudflare e pubblica il nuovo DS al registrar.
Conserva l’esportazione precedente anche dopo l’attivazione. Un rollback non è sempre immediato, perché nameserver, record DS e risposte già in cache hanno tempi propri.
Record A, AAAA, CNAME, MX e TXT: cosa controllare
Un record A collega un nome a un indirizzo IPv4; AAAA fa lo stesso per IPv6. Un CNAME crea un alias verso un altro nome. Gli MX indicano i server della posta, mentre i TXT ospitano spesso verifiche e criteri come SPF o DMARC.
Controlla prima i percorsi indispensabili: dominio nudo, www, host della posta e applicazioni di terze parti. Se il sito cambia piattaforma, aggiorna solo i record indicati dal nuovo host e lascia intatti quelli della posta. Una migrazione web non richiede automaticamente di sostituire MX, DKIM o altri record già funzionanti.
Cloudflare applica il CNAME flattening al dominio principale e, in altri casi, ai record previsti dalla configurazione. È utile quando un provider richiede un CNAME all’apice, ma può interferire con alcune verifiche che si aspettano di vedere il CNAME originale. Se un servizio non convalida il dominio, controlla anche questo aspetto invece di aggiungere record duplicati.
Proxied o DNS only?
La nuvola arancione non è un interruttore “più sicurezza” da applicare ovunque. Secondo la documentazione sullo stato proxy, possono essere proxati soltanto record A, AAAA e CNAME usati per la risoluzione IP. In modalità Proxied, il DNS restituisce indirizzi anycast Cloudflare e il traffico web compatibile passa dalla sua rete. In modalità DNS only, il resolver riceve il valore dell’origine.
| Tipo di host | Impostazione normalmente adatta | Motivo |
|---|---|---|
| Sito HTTP/HTTPS | Proxied, se compatibile con il servizio | Abilita le funzioni Cloudflare davanti all’origine |
| Server di posta | DNS only | SMTP, IMAP e POP non vanno dietro il normale proxy web |
| MX e TXT | Sempre DNS only | Questi tipi di record non sono proxyabili |
| Verifica di un servizio | DNS only, salvo istruzioni diverse | Il fornitore può dover leggere il valore originale |
| Servizio non HTTP | DNS only, a meno di un prodotto specifico | Il proxy standard è pensato per il traffico web supportato |
Un errore comune è proxare il nome usato dal server di posta: il risultato può essere il malfunzionamento di invio o ricezione. Se sito ed email condividono lo stesso hostname, separare i ruoli rende la configurazione più chiara.
TTL, cache e tempi di aggiornamento
Il TTL dice ai resolver quanto possono conservare una risposta. Un valore breve facilita le modifiche, ma non cancella all’istante ciò che è già in cache. Anche il registrar e il registro dell’estensione pubblicano informazioni di delega con tempi propri. Per questo “la propagazione dura sempre 24 ore” è una promessa poco affidabile.
Sui record proxati Cloudflare usa il TTL automatico, documentato in genere come 300 secondi; sui record DNS only il valore configurabile dipende dal piano. Dopo una modifica, verifica il risultato da più resolver e controlla il record preciso, non soltanto l’apertura della homepage nel browser.
Attivare DNSSEC senza causare SERVFAIL
DNSSEC consente al resolver di verificare che una risposta firmata appartenga davvero alla zona e non sia stata alterata. Non cifra la richiesta e non sostituisce DoH o DoT. Durante una migrazione, però, un vecchio record DS rimasto nel dominio padre può far fallire la convalida quando i nuovi nameserver non possiedono ancora le chiavi corrispondenti.
Per il percorso ordinario, rimuovi il vecchio DS, attendi che il suo TTL sia trascorso, cambia la delega, abilita DNSSEC nella nuova zona e inserisci al registrar il DS fornito da Cloudflare. La guida Cloudflare a DNSSEC indica che i TTL dei DS sono spesso lunghi, ma non garantisce un tempo uguale per ogni estensione o registrar. Se la continuità è critica, pianifica e verifica il passaggio con chi gestisce il dominio.
Configurare il resolver DNS Cloudflare 1.1.1.1
Per usare il resolver pubblico standard, gli indirizzi IPv4 sono 1.1.1.1 e 1.0.0.1. Cloudflare offre anche varianti Families: una dedicata al blocco di domini associati a malware e una che aggiunge il filtro dei contenuti per adulti. Sono filtri basati sul DNS, quindi possono produrre falsi positivi e non sostituiscono antivirus o controllo genitori completo.
DNS over HTTPS e DNS over TLS cifrano il tratto tra dispositivo e resolver. Il primo usa HTTPS; il secondo usa normalmente la porta 853. In entrambi i casi il resolver deve comunque elaborare la domanda. La cifratura riduce l’osservabilità sulla rete locale o da parte dell’operatore, ma non equivale ad anonimato e non nasconde ai siti l’indirizzo della connessione.
Su Windows e macOS puoi sostituire gli indirizzi del server DNS nelle impostazioni della connessione; su Linux il punto esatto dipende dal gestore di rete. Android offre il DNS privato per un hostname DoT, mentre su iPhone e iPad la via più semplice è un profilo o l’app del fornitore. Sul router, 1.1.1.1 e 1.0.0.1 estendono il resolver DNS pubblico ai dispositivi che ricevono la configurazione dalla rete.
Conserva i valori precedenti, scegli due indirizzi IP della stessa modalità e verifica quale resolver risulta davvero attivo. Browser, VPN, profili aziendali e app di sicurezza possono ignorare o sovrascrivere l’impostazione di sistema. Se un servizio interno smette di funzionare, ripristina il DNS automatico prima di cambiare altri parametri.
Privacy, sicurezza e prestazioni del DNS Cloudflare
Cloudflare dichiara che i log del resolver pubblico e gli indirizzi troncati interessati vengono eliminati entro 25 ore, con eccezioni operative descritte nella propria policy. È più accurato di dire che “non registra nulla”. DoH e DoT proteggono la query fino al resolver; DNSSEC verifica l’integrità delle risposte firmate; nessuna delle due funzioni garantisce anonimato.
La velocità di 1.1.1.1 dipende da rete, percorso anycast, cache e posizione. Un risultato globale non prova quale server DNS sia più veloce per una specifica connessione italiana. Per valutare le prestazioni servono richieste DNS ripetute sulla rete reale e un confronto omogeneo, non un singolo ping.
WARP non è soltanto “il DNS 1.1.1.1”
L’app WARP prevede modalità differenti. In DNS only protegge le richieste DNS senza creare un tunnel per il restante traffico. In Traffic and DNS instrada invece il traffico supportato nella rete Cloudflare. Questa seconda modalità può cambiare percorso e comportamento delle applicazioni, ma non è un servizio progettato per scegliere un Paese di uscita o garantire anonimato.
In un ambiente aziendale, WARP e un resolver pubblico non dovrebbero essere introdotti aggirando le regole della rete. Nomi interni, VPN, filtri e accessi condizionati possono dipendere dal DNS gestito dall’organizzazione.
Problemi comuni da verificare
- Zona ancora in attesa: confronta la coppia di nameserver assegnata con quella pubblicata dal registrar e rimuovi deleghe aggiuntive.
- Sito attivo ma posta interrotta: controlla MX, record di autenticazione e host della posta; quest’ultimo deve normalmente essere DNS only.
- Errore SERVFAIL dopo il cambio: verifica la presenza di un vecchio DS e la catena DNSSEC.
- Dominio non convalidato da un servizio: controlla valore, tipo, nome, proxy e CNAME flattening.
- Risposta diversa da quella attesa: considera TTL e cache, poi interroga direttamente più resolver.
Se il progetto è ospitato su un servizio esterno, segui i valori esatti forniti dall’host. La recensione di Keliweb mostra perché DNS, hosting ed email vanno valutati come componenti collegate ma separate.
Quale componente Cloudflare ti serve davvero?
Scegli Cloudflare DNS autorevole se vuoi amministrare la zona del tuo dominio e usare il proxy sui record web compatibili. Scegli 1.1.1.1 se vuoi semplicemente cambiare il resolver del dispositivo o della rete. Usa WARP quando desideri il client Cloudflare e hai verificato che la modalità scelta sia compatibile con le applicazioni e le regole della rete.
La configurazione corretta parte quindi da una domanda semplice: stai spostando i record di un dominio, cambiando il resolver con cui navighi o attivando un tunnel sul dispositivo? Una volta separati questi obiettivi, diventa molto più difficile modificare il record sbagliato o aspettarsi da un prodotto ciò che fa un altro.