このページでは、DNS レコードをプロキシするときに想定される制限を説明します。プロキシの詳細は、Cloudflare DNS の仕組み を参照してください。
レコードをプロキシする場合と DNS only にする場合の指針は、ユースケース を参照してください。
HTTP または HTTPS トラフィックを扱う A、AAAA、CNAME レコードだけをプロキシできます。ほかの DNS レコードタイプはプロキシできません。
プロキシできない CNAME レコード に出会うことがあります。多くの場合、別の CDN プロバイダーに関連しています。そのレコードをプロキシすると、接続エラーが発生します。誤設定から保護するため、Cloudflare はそのレコードのプロキシを意図的に防いでいます。
プロキシできないターゲット
- 完全一致:
dkim2.mcsv.net（Mailchimp のドキュメント ↗）dkim3.mcsv.net（Mailchimp のドキュメント ↗）zmverify.zoho.com（Zoho のドキュメント ↗）dkim.infusionmail.com（Keap のドキュメント ↗）
- 完全一致またはそのサブドメイン:
dkim.amazonses.com（Amazon SES のドキュメント ↗）
- 次のサブドメイン:
onmicrosoft.com（Microsoft のドキュメント ↗）dkim.intercom.io（Intercom のドキュメント ↗）acm-validations.aws（AWS Certificate Manager のドキュメント ↗）
Cloudflare を セカンダリ DNS プロバイダー として使い、Secondary DNS Overrides でレコードをプロキシに設定している場合、Pre-signed DNSSEC を選ぶと、Cloudflare はそのレコードを DNS-only として扱います。
標準以外のポート で HTTP/HTTPS トラフィックをプロキシする場合や、TCP または UDP ベースのアプリケーションをプロキシする場合は、Cloudflare Spectrum を使います。
Cloudflare に ドメインを追加 すると、所有権を確認できるまで Cloudflare の保護は pending 状態 になります。完了まで最大 24 時間かかることがあります。
つまり、DNS レコードは、Cloudflare 経由でトラフィックをプロキシする 設定であっても、ゾーンが有効になるまで DNS-only になります。その DNS レコードへのリクエストは、オリジンサーバーの IP アドレスを返します。
この警告が 24 時間経過しても表示される場合は、トラブルシューティング を参照してください。
セキュリティを高めるため、ゾーンが有効になったあと、ホスティングプロバイダー側でオリジン IP アドレスをローテーションすることをおすすめします。オンボーディング中にオリジン IP が漏えいするのを防げます。
Microsoft Integrated Windows Authentication、NTLM、Kerberos は HTTP/1.1 の仕様に反するため、プロキシされた DNS レコードとは互換がありません。NTLM は TCP 接続レベル（レイヤー 4）で認証します。Cloudflare は、同一クライアントからの連続リクエストが、オリジンへの同じ TCP 接続を再利用することを保証しません。そのため、認証プロンプトが繰り返されたり、認証ループが発生したりすることがあります。