La sequenza senza sorprese:
- aggiungi il sito su Cloudflare: la scansione importa i record DNS esistenti – verificala, i record esotici sfuggono (confronta con un export della zona dal vecchio pannello)
- prima del salto: abbassa i TTL e decidi nuvoletta per nuvoletta – arancione o grigia: la posta (MX e relativi) grigia sempre
- cambia i nameserver dal registrar con la coppia assegnata; da lì comanda Cloudflare (attesa: da minuti a ore)
- subito dopo l'attivazione, i tre punti che evitano i classici guai: SSL/TLS in Full (strict) – mai Flexible, è la fabbrica dei redirect loop – con un certificato vero sull'origine; HTTPS forzato; e l'origine chiusa ai soli IP di Cloudflare, o la nuvoletta è decorativa
- attiva DNSSEC (due click + record DS al registrar)
Da lì in poi, la configurazione merita di vivere in git: zonecontrol e wafcontrol per zone e WAF, backup automatici della zona.