路线 D：Cloudflare 免费 SSL 完整教程（没有服务器权限也能做）

这一页解决什么问题

你没有服务器权限——网站是建站公司做的、或者放在 SaaS 平台上，你手里只有一个域名账号。或者你想顺手拿到免费的 CDN 加速和基础防护。这两种情况，都可以走 Cloudflare 这条路线：

• 把域名的解析（NS）搬到 Cloudflare 免费版；
• Cloudflare 自动给访客端签发免费证书，自动续期；
• 你全程不用碰服务器，只需要在域名注册商那里改一次 NS。

用时： 大约 30 分钟操作 + 等待 NS 生效（几分钟到 24 小时）。难度： ★★。

一张表看懂：Cloudflare 路线要做什么

第 1 步：把域名接入 Cloudflare

1. 1. 打开 https://dash.cloudflare.com/sign-up 注册账号。用公司邮箱，开启两步验证。
2. 2. 登录后，点 添加域 / Add a domain（按钮名称随版本变化，也可能叫 Onboard a domain），输入你的根域名（不带 www），继续。
3. 3. 选择 Free（免费） 计划。
4. 4. Cloudflare 会自动扫描你现有的 DNS 记录。逐条核对：网站的 A 记录 / CNAME（@ 和 www）要在；邮箱相关的 MX、TXT（SPF/DKIM）记录一条都不能少，否则企业邮箱会收不到信。网站记录保持「已代理」（橙色云朵图标）——只有橙色云，访客才会用到 Cloudflare 的免费证书。
5. 5. Cloudflare 会给你两个名称服务器（Nameserver），形如 xxxx.ns.cloudflare.com、yyyy.ns.cloudflare.com（每个账号不同，以页面显示为准）。先把注册商那边原来的 NS 抄下来备用（回滚时要用）。

第 2 步：到域名注册商修改 NS

NS 就是「这个域名的解析由谁负责」。这一步相当于把域名的 DNS 搬家到 Cloudflare。

各家入口大致是（菜单名以实际为准）：

操作步骤：

1. 1. 登录你买域名的地方。
2. 2. 找到域名的 DNS 服务器 / 修改 DNS / Nameservers 设置。
3. 3. 改之前，先把原来的 NS 抄下来（回滚用）。
4. 4. 如果域名开着 DNSSEC，先在注册商那里关掉。Cloudflare 官方明确提醒：开着 DNSSEC 改 NS，域名可能直接打不开；等生效后可以在 Cloudflare 里重新开。
5. 5. 选「自定义 DNS」，把原来的两个替换成 Cloudflare 给的两个，一个字母都别抄错，保存。

第 3 步：等状态变成 Active

回到 Cloudflare，点「检查名称服务器 / Check nameservers」。

• 一般几分钟到几小时生效，官方说最多等 24 小时。
• 生效后你会收到 Cloudflare 的邮件，域名状态变成 Active（有效）。
• 之后 Cloudflare 会自动签发免费的访客端证书（Universal SSL），官方说法是激活后 15 分钟到 24 小时内到位。

想自己确认，可以在电脑上运行：

nslookup -type=ns 你的域名 1.1.1.1

看到以 ns.cloudflare.com 结尾的，就说明搬家成功了。

第 4 步：选对加密模式（最关键）

记住那句话：有两段路。在 Cloudflare 后台：选域名 → 左侧 SSL/TLS → 概述（Overview）。

1. 1. 较新的账号默认是 Automatic SSL/TLS（自动）：Cloudflare 会扫描你的源站，自动选它能支持的最安全模式（官方文档说明它不会自动降级）。如果你想自己指定，选 Custom SSL/TLS（自定义）。
2. 2. 选 Full (strict)——前提是源站已经装好有效证书（下一节）。如果源站暂时还没有证书，可以先选 Full，装好后再改成 Full (strict)。

第 5 步：给源站装证书（二选一）

想用 Full (strict)，源站必须有一张有效证书。两个办法选一个：

方式一：源站自己装 Let's Encrypt。 在服务器 / 宝塔 / cPanel 上按对应路线装好即可（Cloudflare 代理状态下 HTTP 验证一般也能通过）。优点是：万一以后不用 Cloudflare，网站照样是 https。

方式二：用 Cloudflare 源证书（Origin CA）。 免费、最长 15 年，只给「Cloudflare ↔ 源站」这一段用。

1. 1. SSL/TLS → 源服务器（Origin Server） → 创建证书（Create Certificate）。
2. 2. 选「使用 Cloudflare 生成私钥和 CSR」，私钥类型 RSA（兼容性最好）或 ECC。
3. 3. 主机名默认已包含 你的域名 和 *.你的域名，保持即可。
4. 4. 有效期选 15 年（或更短）。点 创建。
5. 5. 页面显示两段文本：源证书和私钥。分别复制，保存为 origin.pem 和 origin.key 两个文本文件。私钥离开这个页面后再也看不到。

1. 6. 安装到源站：

• 宝塔：站点设置 → SSL → 当前证书，左边粘贴私钥（KEY），右边粘贴证书（PEM），保存；
• cPanel：Security → SSL/TLS → Install and Manage SSL for your site，粘贴证书和私钥；
• Nginx：把两个文件放到 /etc/ssl/cloudflare/，配置中写：

server {
    listen 443 ssl;
    server_name 你的域名 www.你的域名;
    ssl_certificate     /etc/ssl/cloudflare/origin.pem;
    ssl_certificate_key /etc/ssl/cloudflare/origin.key;
    root /var/www/你的域名;
}

逐行解释：listen 443 ssl 监听 https 端口；server_name 写你的域名；ssl_certificate 指向证书文件；ssl_certificate_key 指向私钥文件；root 是网站文件目录。改完运行 sudo nginx -t，通过后 sudo systemctl reload nginx。

第 6 步：开启「始终使用 HTTPS」

1. 1. SSL/TLS → 边缘证书（Edge Certificates）。
2. 2. 确认最上方「边缘证书」状态为 有效（Active）——这是 Cloudflare 免费发给访客端的证书，自动续期。
3. 3. 打开 始终使用 HTTPS（Always Use HTTPS）：所有 http 访问都 301 跳到 https。
4. 4. 建议同时打开 自动 HTTPS 重写（Automatic HTTPS Rewrites）：能自动修复一部分混合内容。

验收：四步确认

1. 1. 用 Chrome 打开你的网站，点地址栏左边的图标，看到「连接是安全的」，再点进去看到「证书有效」。（新版 Chrome 用「调节」图标代替了小锁，不代表不安全。）
2. 2. 在地址栏输入 http://你的域名，应该自动跳到 https。
3. 3. 电脑、手机都试；带 www、不带 www 都试。
4. 4. 打开 ssllabs.com/ssltest 测一次，目标 A 或 A+。

会用命令的，可以再跑两行：

curl -sI http://你的域名
curl -sI https://你的域名

第 1 行应该返回 301 跳转到 https；第 2 行能正常返回，并看到 server: cloudflare。

四个必踩的坑（照这条逐条避）

这四条是实际切换时最容易出事的地方，一条一条对照检查：

还有两个常见错误码，一并记下：

一张排查表：症状 → 原因 → 解法

切换过程中遇到问题，先在下表里对号入座，再往下深挖：

上线后建议顺手做的两件事

1. 1. 更新 Google Search Console：在 GSC 里添加或确认 https 版本的站点，重新提交 https 的 sitemap，让搜索引擎尽快收录新地址。
2. 2. 记下关键日期：源证书的到期日（如果你用了 Cloudflare 源证书，它不发提醒）、以及是否重新开启了 DNSSEC。

高级：用 API 自动化（给技术人员或 AI 智能体）

如果让技术人员或 AI 智能体用脚本完成，请创建一个权限最小的 API 令牌：Cloudflare 后台右上角头像 → 我的个人资料（My Profile） → API 令牌（API Tokens） → 创建令牌 → 自定义令牌。权限只给这三项：

• Zone → SSL and Certificates → Edit（创建源证书）
• Zone → Zone Settings → Edit（修改加密模式、始终使用 HTTPS）
• Zone → DNS → Read（检查解析记录）

区域资源选「包括 → 特定区域 → 你的域名」，并设置令牌有效期。对应的接口大致是：

# 设置加密模式为 Full (strict)
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/settings/ssl" \
  -H "Authorization: Bearer $CF_API_TOKEN" -H "Content-Type: application/json" \
  -d '{"value":"strict"}'

# 打开 Always Use HTTPS
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/settings/always_use_https" \
  -H "Authorization: Bearer $CF_API_TOKEN" -H "Content-Type: application/json" \
  -d '{"value":"on"}'

# 创建源证书（Origin CA）
curl -X POST "https://api.cloudflare.com/client/v4/certificates" \
  -H "Authorization: Bearer $CF_API_TOKEN" -H "Content-Type: application/json" \
  -d '{"hostnames":["你的域名","*.你的域名"],"requested_validity":5475,"request_type":"origin-rsa"}'

令牌放在环境变量里（例如 CF_API_TOKEN），不要贴进对话、群聊或截图；用完记得在同一页面撤销令牌。ZONE_ID 可以在域名的 Overview 页面找到。

常见问题（Cloudflare 专属）

Q：接入 Cloudflare 之后，还需要在服务器上装证书吗？ 第一段（访客 ↔ Cloudflare）的证书由 Cloudflare 免费提供，不用管。第二段（Cloudflare ↔ 源站）如果要开 Full (strict)，源站需要一张有效证书（Let's Encrypt 或 Cloudflare 源证书）。只想用 Flexible 也可以，但强烈不建议。

Q：为什么开了 Always Use HTTPS，网站反而报无限重定向？ 因为加密模式是 Flexible，而源站又在把 http 跳到 https，两边互相推。把模式改成 Full 或 Full (strict)，并把源站那一处跳转去掉。

Q：源证书多久换一次？Cloudflare 会提醒我吗？ 源证书可选 7 天到 15 年，免费。Cloudflare 不会发源证书的到期提醒，自己在日历里记下到期日，或选 15 年有效期省心。

Q：改 NS 会不会影响我原来的邮箱？ 只要在切换前把 MX、TXT 记录完整搬过来就不会。这也是「先备份 DNS 记录」这一步必须做的原因。

Q：NS 改了但一直不生效怎么办？ 先确认注册商那边保存成功、NS 没抄错；再确认 DNSSEC 已关闭。DNS 传播最长 24 小时，可以在 Cloudflare 页面点「检查名称服务器」重试。

下一步

• 想弄清证书为什么免费、免费和付费到底差在哪：看网站 SSL 证书免费部署完全指南（小白版）。
• 网站放在虚拟主机、后台是 cPanel：看路线 C：cPanel 虚拟主机 AutoSSL 教程。
• 想确认部署前该查什么：看免费部署专题首页里的预检清单与常见错误表。