Mail nede efter Cloudflare: MX-records og den orange sky

Kort svar: Cloudflares almindelige proxy (den orange sky) håndterer kun webtrafik – ikke mail. Går mailen ned efter et skift til Cloudflare, står mail-relaterede DNS-records næsten altid forkert: MX må aldrig pege på et navn med orange sky, og værter som mail., smtp., imap., pop. og autodiscover. skal stå med grå sky (DNS only). Ret skyerne, vent til de gamle DNS-svar udløber – så virker mailen igen, uden at web-beskyttelsen mister noget.

Fagligt gennemgået: 2. oktober 2026

Mønsteret er klassisk: et site flyttes bag Cloudflare, alt ser fint ud – og næste morgen kan ingen sende eller modtage mail, og Outlook kan ikke forbinde. Forklaringen er næsten altid den orange sky på records, der ikke må være proxied. Mailprotokollerne SMTP, IMAP og POP3 kan ikke gå gennem Cloudflares webproxy, så når mailserverens navn opløses til en Cloudflare-adresse, løber forbindelserne dødt.

Guiden viser, hvordan du finder de forkerte records, hvordan zonen skal se ud, og hvordan du verificerer, at mailen er tilbage – uden at åbne mere op end nødvendigt.

Før du ændrer noget: Tag et screenshot eller en eksport af hele DNS-zonen i Cloudflare, før du klikker på noget. Ret kun de mail-relaterede records, og lad web-records (roddomænet og www) beholde den orange sky. Slet ingen records i panik – en manglende TXT- eller MX-record giver nye fejl oven i de gamle.

Derfor kan mail ikke proxies

Den orange sky betyder: „send trafikken gennem Cloudflares webproxy“. Proxyen taler HTTP og HTTPS – ikke SMTP på port 25, 465 og 587 eller IMAP på 143 og 993. Når et navn er proxied, svarer DNS med Cloudflares egne IP-adresser i stedet for serverens rigtige adresse. En mailklient eller en afsendende mailserver forsøger derfor at tale SMTP eller IMAP med Cloudflares kant, som ikke lytter efter mail – og forbindelsen fejler med timeout eller afvisning.

Cloudflare viser selv en advarsel i DNS-oversigten, når en MX peger på et proxied navn. Men advarslen er let at overse midt i en onboarding, og den hjælper ikke, hvis skyen tændes senere under en oprydning. Cloudflare har også produktet Spectrum, som kan proxye andre TCP-protokoller, men det er en særskilt løsning på bestemte planer og ikke noget, en almindelig zone gør af sig selv. For de fleste sites gælder reglen: mail-records står gråt.

Sådan opstår fejlen typisk

• Import ved onboarding: Cloudflare scanner den gamle zone og foreslår proxy-status for de fundne records. Står mail.-navnet som en almindelig A-record, kan det ende med orange sky sammen med web-records.
• Senere oprydning: nogen tænder den orange sky på „alt“ for at skjule serverens IP – og rammer også mail-værterne.
• CNAME til roddomænet: peger mail. eller smtp. som CNAME på roddomænet, arver det i praksis rodens proxied adresse. Mail-værter bør have deres egen A-record (og evt. AAAA) med serverens rigtige IP.
• Ny mailudbyder: MX flyttes til en ekstern udbyder, men gamle mail-værter med orange sky bliver stående, og klienter er sat op mod de gamle navne.

1. Find fejlen i DNS-oversigten

Åbn DNS-oversigten for domænet i Cloudflare (DNS → Records), og følg kæden: MX-recorden peger på et navn (fx mail.ditdomæne.dk) – og det navns A-record afgør alt. Selve MX-recorden har ingen sky; det er målnavnet, der ikke må være proxied. Udefra kan du se resultatet med dig:

De samme opslag kan du selv køre i en terminal. Erstat domænet med dit eget:

dig +short MX ditdomæne.dk
dig +short A mail.ditdomæne.dk
dig +short A smtp.ditdomæne.dk
dig +short CNAME autodiscover.ditdomæne.dk

Svarer mail.-navnet med adresser, der hører til Cloudflare, er det proxied. Det rigtige svar er mailserverens egen IP – den, din mailudbyder eller hosting har oplyst. Er du i tvivl om, hvilken IP der er den rigtige, så find den i mailudbyderens opsætningsvejledning eller kontrolpanel, ikke i et gammelt screenshot.

2. Sådan skal mail-records stå

Record	Type	Sky
ditdomæne.dk (web)	A/AAAA	Orange – proxied
www	A/CNAME	Orange – proxied
MX → mail.ditdomæne.dk	MX	Har ingen sky – men målnavnet skal være gråt
mail	A/AAAA	Grå – DNS only
webmail, smtp, imap, pop	A/CNAME	Grå – DNS only
autodiscover, autoconfig	A/CNAME/SRV	Grå – DNS only
SPF, DKIM, DMARC	TXT	Ingen sky – rene tekstopslag

Ret de forkerte skyer ved at klikke på proxy-status og vælge DNS only. Ændringen slår typisk igennem hos Cloudflare på minutter, men klienter og andre mailservere kan cache det gamle svar i op til TTL’ens længde; baggrunden står i guiden om DNS-propagering.

Bemærk trade-off’et: en grå mail-record afslører serverens IP. Ligger mail og web på samme server, er webserverens IP dermed også synlig, og en angriber kan i princippet gå uden om Cloudflare. Det er præcis derfor, mange lægger mail på en separat adresse eller hos en dedikeret mailhosting, så web kan forblive skjult bag proxyen.

3. Tjek SPF, DKIM og webmail

Selve TXT-records (SPF, DKIM og DMARC) påvirkes ikke af skyerne – de er rene tekstopslag. Men tjek dem alligevel efter en Cloudflare-migrering: ved import af zonen smutter der af og til records, især lange DKIM-nøgler, der er delt op i flere tekststrenge.

Bruger din SPF-record mekanismer som a eller mx, slår modtageren de tilsvarende navne op. Er roddomænet proxied, peger a på Cloudflare-adresser i stedet for serveren, der faktisk sender – og SPF kan fejle for mails sendt fra webserveren, fx ordremails og formularer. Brug eksplicitte include:– eller ip4:-mekanismer i stedet; se guiden om SPF, DKIM og DMARC.

Webmail på webmail.-underdomænet er teknisk set web og kan proxies. Men det følger typisk mailserverens egen opsætning og certifikat, og den enkle regel „alt mail-relateret gråt“ giver færrest overraskelser.

4. Undgå konflikt med Cloudflare Email Routing

Cloudflare tilbyder Email Routing, som modtager mail på dit domæne og videresender den til en anden adresse. Når funktionen slås til, lægger Cloudflare sine egne MX-records i zonen. Har du i forvejen rigtige postkasser hos en mailudbyder, må de to ikke blandes: MX kan kun pege ét sted hen ad gangen i praksis, og blandede MX-records giver mail, der lander tilfældigt det ene eller det andet sted.

Tjek derfor, om Email Routing er aktiveret ved en fejl, hvis MX-recorden pludselig peger på Cloudflare-værter. Bruger du almindelige postkasser med IMAP og SMTP, skal MX pege på mailudbyderens server – og Email Routing være slået fra.

5. Verificér, at mailen er tilbage

Mailen er tilbage, når alle punkterne her er opfyldt:

• mail.-navnet (og smtp./imap., hvis I bruger dem) opløses til mailserverens rigtige IP med dig +short;
• en testmail sendt udefra (fx fra en Gmail-konto) lander i indbakken;
• en testmail sendes ud uden fejl og viser spf=pass og dkim=pass i headeren hos modtageren;
• Outlook, Apple Mail og telefoner forbinder på både IMAP og SMTP;
• autodiscover/autoconfig virker, hvis I bruger det – ny opsætning af mailklienter fejler ellers stille.

Har en afsendende server opgivet at levere i mellemtiden, kommer mailen ikke af sig selv: de fleste mailservere prøver igen i en periode (typisk op til et par dage) og sender derefter en bounce til afsenderen. Bed derfor vigtige afsendere om at sende igen, hvis nedbruddet har varet længe.

Skriv til sidst én linje i jeres driftsdokumentation om, hvilke records der skal være grå. Så overlever reglen næste omgang DNS-oprydning. Er du i tvivl om jeres konkrete opsætning, kan du kontakte Hostious’ danske support og få hjælp til at gennemgå DNS-zonen.

Læs også

• Hub: Cloudflare til WordPress
• Cloudflare DNS proxy: hvornår skal skyen være orange eller grå?
• Kan ikke sende mail, men godt modtage
• SPF, DKIM og DMARC forklaret for virksomheder
• Email hosting hos Hostious – postkasser med IMAP, POP3, SMTP og webmail samt spam- og virusfilter

Ofte stillede spørgsmål om mail bag Cloudflare

Hvorfor virkede mailen i flere dage efter skiftet?

Fordi afsendende mailservere og klienter cacher DNS-svar. Mailen dør først, når de gamle opslag udløber – derfor kommer nedbruddet typisk forskudt og rammer gradvist flere.

Mister jeg beskyttelse ved at sætte mail-records på grå sky?

Web-beskyttelsen er intakt – web-records forbliver orange. Prisen er, at mailserverens IP er synlig; ligger web på samme IP, kan angribere gå uden om proxyen. Løsningen er separat mail-IP eller dedikeret mailhosting, ikke en orange sky på mail-værterne.

Kan Cloudflare slet ikke bruges til mail?

Jo, Cloudflare kan hoste dine mail-records i DNS og tilbyder Email Routing til videresendelse af indgående mail. Men den almindelige proxy håndterer ikke SMTP og IMAP, så din mailserver skal kunne nås direkte via grå records. Kun Cloudflares særskilte Spectrum-produkt kan proxye andre TCP-protokoller.

Hvor hurtigt virker mailen igen, når skyerne er rettet?

Hos Cloudflare slår ændringen typisk igennem på minutter. Andre mailservere og klienter kan dog have det gamle svar i cache, indtil TTL’en udløber, så nogle afsendere kan opleve fejl lidt endnu.