把域名接入 Cloudflare 完整指南（含四个必踩的坑）

这条路适合谁

• 没有服务器权限：网站是建站公司做的、或者放在 SaaS 平台上，你手里只有一个域名账号；
• 想顺手拿免费 CDN 与基础防护：接入后访客先连 Cloudflare，海外访问通常更快；
• 想把域名、解析、证书的控制权收回到自己手里：接入一次，之后证书自动签发与续期。

要提前知道一件事：Cloudflare 免费计划的节点在中国大陆境外，国内访问可能变慢；外贸站以海外客户为主一般影响不大，如果国内访问同样重要，先小范围测试再全量切。

全流程总览：六步 + 等待

约 30 分钟操作，加上等待 NS 生效（几分钟到 24 小时）。

第 1 步：把域名添加到 Cloudflare

1. 1. 打开 dash.cloudflare.com 注册账号，用公司邮箱，开启两步验证；
2. 2. 点 添加域 / Add a domain，输入根域名（不带 www），选择 Free 计划；
3. 3. Cloudflare 自动扫描现有 DNS 记录——逐条核对：网站的 A 记录 / CNAME（@ 和 www）要在；邮箱相关的 MX、TXT（SPF/DKIM）记录一条都不能少，否则企业邮箱会收不到信；
4. 4. 网站记录保持「已代理」（橙色云朵）——只有橙色云，访客才会用到 Cloudflare 的免费证书；
5. 5. 记下 Cloudflare 给出的两个名称服务器地址（形如 xxxx.ns.cloudflare.com），并先把注册商那边原来的 NS 抄下来（回滚用）。

第 2 步：到域名注册商修改 NS

各家入口不同（阿里云：域名 → 管理 → DNS 管理 → 修改 DNS；腾讯云：域名注册 → 管理 → 修改域名 DNS；GoDaddy：My Products → DNS → Nameservers → Change；Namecheap：Domain List → Manage → Nameservers → Custom DNS），20 家的逐步操作在 注册商 NS 切换指南合集 里按编号查。

操作要点：

1. 1. 先备份现有解析记录（截图），再抄录原 NS 地址；
2. 2. 如果域名开着 DNSSEC，先在注册商那里关掉——开着 DNSSEC 改 NS，域名可能直接打不开；
3. 3. 选「自定义 DNS」，把原来的两个换成 Cloudflare 给的两个，一个字母都别抄错，保存。

第 3 步：等状态变成 Active

回到 Cloudflare，点「检查名称服务器」：

• 一般几分钟到几小时生效，官方说最多等 24 小时；
• 生效后你会收到 Cloudflare 的邮件，域名状态变成 Active；
• 之后 Cloudflare 会自动签发免费的访客端证书（边缘证书），激活后一般几分钟到 24 小时内到位。

自己确认 NS 是否生效：

nslookup -type=ns 你的域名 1.1.1.1

看到以 ns.cloudflare.com 结尾的地址，就说明搬家成功了。

第 4 步：选对加密模式（最关键）

记住一句话：有两段路。访客 ↔ Cloudflare 是第一段，Cloudflare ↔ 你的服务器（源站）是第二段。

在 SSL/TLS → Overview（概述） 里选择。部分账号会看到默认的「Automatic SSL/TLS（自动）」——它会自动选最安全的可用模式；想手动指定就选 Custom SSL/TLS。

第 5 步（可选）：给源站装证书

想用 Full (strict)，源站必须有一张有效证书。两个办法选一个：

• 办法一：源站自己装 Let's Encrypt（宝塔、cPanel 里一般都有免费证书按钮）。好处是哪天不用 Cloudflare，网站照样是 https。见 免费部署 专题。
• 办法二：用 Cloudflare 免费的 Origin CA（源证书）：有效期最长 15 年，专门给「Cloudflare ↔ 源站」这一段用。

Origin CA 步骤：SSL/TLS → Origin Server（源服务器）→ Create Certificate（创建证书），选「由 Cloudflare 生成私钥和 CSR」，主机名默认包含根域名与 *.根域名；创建后页面显示源证书与私钥两段文字，分别保存为 origin.pem 和 origin.key——私钥离开这个页面就再也看不到了。

装到源站（Nginx 示例）：

server {
    listen 443 ssl;
    server_name example.com www.example.com;
    ssl_certificate     /etc/ssl/cloudflare/origin.pem;
    ssl_certificate_key /etc/ssl/cloudflare/origin.key;
}

改完先 sudo nginx -t 检查，通过后再 sudo systemctl reload nginx；然后回到 Overview 把模式改成 Full (strict)。

第 6 步：打开「始终使用 HTTPS」

1. 1. SSL/TLS → Edge Certificates（边缘证书），确认最上面的边缘证书状态是 Active；
2. 2. 打开 Always Use HTTPS（始终使用 HTTPS）：所有 http 访问自动跳到 https；
3. 3. 顺手打开 Automatic HTTPS Rewrites（自动 HTTPS 重写），自动修掉一部分混合内容。

注意：加密模式是 Off 时这个开关不会出现；开了它，源站就别再重复做跳转。HSTS 这个选项先别急着开，等全站 https 稳定几周再说。

验收清单

1. 1. 用 Chrome 打开网站，点地址栏左边的图标，看到「连接是安全的」，再点进去看到「证书有效」（新版 Chrome 用「调节」图标代替小锁，不代表不安全）；
2. 2. 在地址栏输入 http://你的域名，应自动跳到 https；
3. 3. 电脑、手机都试；带 www、不带 www 都试；
4. 4. 打开 ssllabs.com/ssltest 测一次，目标 A 或 A+；
5. 5. 发一封测试邮件，确认企业邮箱收发正常（验证 MX 记录没漏）；
6. 6. 到 SSL 体检工具 输入域名，确认证书签发者是 Cloudflare（边缘证书）。

会用命令的可以再跑两行：

curl -sI http://你的域名
curl -sI https://你的域名

第一行应返回 301 跳转到 https；第二行能正常返回，并看到 server: cloudflare。

四个必踩的坑

安全提醒：令牌只给最小权限

如果让技术人员或 AI 智能体通过 Cloudflare API 操作，请创建权限最小的令牌：权限只勾需要的几项（例如 SSL and Certificates 编辑、Zone Settings 编辑、DNS 读取），只授权你这一个域名，设好过期时间，用完立刻撤销。令牌、密码、私钥永远不要贴到公开群聊、评论区或截图里。

小结

• 六步走完 + 一次验收；重点是第 1 步的邮箱记录核对和第 4 步的模式选择。
• 四个坑的预防口诀：两段都要加密、邮箱记录不少、源站证书有效、网站记录橙云。
• 接入之后证书自动续期，但别忘了给域名和证书设到期监控——域名到期与源证书到期都不在自动续期范围内。