Cloudflare使用教程：免费套餐DNS、SSL、缓存一步步配到生效

Cloudflare使用教程里最容易被跳过的一步，不是加域名，是后台那个加密模式下拉框。它默认给你一个能用的选项，选错了也不报错，等访客上门才以526或者浏览器一句不安全的形式还给你。免费套餐是$0/month，把一个已经注册好的域名接进去，主干就四步：加域名、核对DNS记录、到注册商改NS、激活后再开DNSSEC。主设置（full）是Free或Pro套餐唯一可用的接入方式。配完最容易卡住的不是DNS，是SSL/TLS加密模式选错。

对做外贸独立站的人来说，域名接进Cloudflare，等于在访客和源站之间加了一层缓存和防护，源站不用直接扛所有请求。猎者出海也做英文独立站，这类接入是绕不过去的一步。这篇讲的是一个新手把域名接进Cloudflare免费套餐，从DNS、SSL/TLS、缓存到检查生效的完整流程，以及526、重定向循环这些坑怎么回查。Cloudflare在中国大陆的访问情况，以官方说明为准，本文不展开。

• 免费套餐含Unmetered DDoS、Universal SSL、Global CDN，$0/month
• 接入四步：加域名、核对DNS记录、改NS、重新开启DNSSEC
• 加密模式Cloudflare强烈建议Full或Full (strict)
• 改NS前若DNSSEC生效，必须先到注册商关闭
• 配完必查apex、www、邮件三条记录，橙云灰云逐条定

Cloudflare 免费套餐给独立站什么，值不值得接

免费套餐里到底有哪几样

Cloudflare官方定价页把免费套餐写成面向个人或爱好项目，价格$0/month，列了Unmetered DDoS、Universal SSL、Global CDN。WAF也在免费套餐的列表里。缓存功能所有套餐可用。

免费套餐不含的东西也要看清：正常运行时间SLA只有Business和Contract有；PCI DSS 4.0合规只有Contract有；图片优化只有Pro、Business、Contract有；日志最长保留24小时；支持渠道是社区论坛和Discord，没有工单。

这些限制对一个刚上线的外贸站意味着什么？缓存、证书、DDoS防护这些主干能力免费套餐都有，缺的是出问题时有人兜底和更长的日志。站点还在测试阶段，这些可以先放一放。

免费版和 Pro 差在哪，什么时候才需要升

Pro和Business是付费档，具体价格在后面的数字表里完整列一次。功能上的差别更值得先看：免费版没有正常运行时间SLA，没有图片优化，日志只留最长24小时，支持只有社区。Pro往上才有图片优化。

什么时候升，看你是不是被这几样卡住。流量小、内容还在铺、没有付费客户催着要SLA，免费套餐够用。反过来，图片多、日志要留久、出了问题必须有人接，才需要考虑付费档。

为什么它能让网站变快

缓存把图片、视频、网页的副本存到离访客更近的数据中心，源站不用每次请求都跑一遍。Cloudflare网络覆盖335+城市，在95%世界人口50ms内；缓存内容分布在330+城市；平均每秒服务5500万次HTTP请求。

这组数字说明它不是几个机房的小网络。访客从哪个国家来，大概率能连到离他近的数据中心，源站只负责回源那一段。CDN加速具体是怎么起作用的，写在 CDN加速是什么 那篇里。

接入前要准备什么，哪些情况可以跳过

要准备的只有两样：一个Cloudflare账号，一个已经注册好的域名。账号注册在Cloudflare官网完成，域名在哪家注册商买的不影响接入。

有几种情况可以跳过整套接入。通过Cloudflare Registrar买的域名，自动使用Cloudflare权威DNS，后续教程不用走。域名是由托管合作方加入Cloudflare的，DNS记录要去合作方那边管，不在Cloudflare控制台加。

还有一件事要在改NS之前确认：域名有没有开DNSSEC。如果DNSSEC生效，必须先去注册商把它关掉，再替换NS。这一步顺序反了，域名可能直接打不开。

换NS的本质是换DNS解析。DNS解析更换 那篇讲的是整套流程；用Namecheap注册的域名，改NS的路径在 Namecheap DNS设置 那篇里。

第一步：DNS 记录怎么加，橙云灰云怎么选

动作按这个顺序走：

1. 登录Cloudflare控制台，进Domains，选Onboard a domain。
2. 输入apex域名，比如example.com，选择添加DNS记录的方式。
3. 继续，选免费套餐。
4. 自动扫描或手动添加记录，记录会显示在DNS Records页面。
5. 逐条核对，重点看apex记录、www子域记录、邮件记录。
6. 每一条A、AAAA、CNAME记录，决定开橙云还是灰云。

快速扫描不保证找全现有记录，必须人工核对。这是第一步里最容易省掉、也最容易出事的地方。至少给www建一条子域记录，指向和apex相同的内容，或者做重定向，保证输入www的访客也能找到站。

橙云和灰云的区别，一张表看完：

站点主域名和www开橙云，外部验证类的CNAME开灰云，这是最省事的默认分法。开错了不会马上报错，但流量走向和你想的不一样。

出问题怎么回查：没设好记录就激活域名，访客会撞DNS_PROBE_FINISHED_NXDOMAIN。TTL控制每条记录的有效期，也决定记录更新到达用户要多久。改完记录别急着反复刷新，先看TTL。

第二步：SSL/TLS 加密模式四种怎么选，选错会怎样

动作只有一步：进控制台SSL/TLS的Overview页面，选加密模式。选错的话，后面会以526、重定向循环、浏览器标不安全这些形式表现出来。

加密模式控制两段连接：一段是访客到Cloudflare，一段是Cloudflare到源站。四种模式的区别就在这两段上。

Cloudflare强烈建议尽可能用Full或Full (strict)，防止对源站的恶意连接。Flexible只适合源站确实不支持TLS的情况，能升源站配置就升。

Full (strict)不是选了就完事，源站要满足三个条件：证书未过期；由公开受信CA或Cloudflare Origin CA签发；证书的CN或SAN匹配请求的主机名。源站还要允许443端口的HTTPS连接。少一样，访客就可能遇到526。

Off为什么不推荐：HTTPS请求会被重定向到明文HTTP，Chrome等浏览器会把站点标成not secure，官方写明会影响SEO排名。Off模式下还看不到Always Use HTTPS选项，想做HTTP到HTTPS的强制跳转都做不了。Authenticated Origin Pull在Off或Flexible下也不工作。

Automatic SSL/TLS有一个细节值得知道：它不会把设置改成更不安全的模式。源站证书过期，它也不会把Full (strict)降成Full。自动升级从1%流量开始，没问题按10%递增到100%，源站连接失败就中止并回滚。自动扫描大约每月一次。

源站还没有证书的，先按 免费SSL证书申请 那篇把证书装上，再回来开Full (strict)。顺序反了，开完就是526。

第三步：缓存怎么设，什么时候要手动清

缓存的入口有五个：Default cache behavior、Cache Rules、Tiered Cache、Cache Reserve、Purge。缓存功能所有套餐可用，免费套餐也能用。

缓存干的事不复杂：把图片、视频、网页的副本存到离访客近的数据中心，源站负载就降下来了。Default cache behavior管默认行为，Cache Rules用来指定哪些资源缓存、缓存多久，Tiered Cache和Cache Reserve是更上层的缓存策略，Purge是手动清。

改完内容不生效，先用Purge。可以清特定文件，也可以全部清，强制Cloudflare回源取新版本。清之前想清楚，全部清会让源站短时间内接一波回源请求。

有一个坑在换加密模式的时候：Flexible转Full或Strict，源站协议从HTTP变成HTTPS，缓存键会跟着变。升级后可能要先预热缓存，不然访客会感觉慢了一下。WordPress站把Cloudflare接进CDN的具体做法，写在 WordPress CDN配置 那篇里。

数字和限制：免费套餐能用到哪一步

免费套餐官方定价页没有列CDN流量上限，别按「无限流量」去规划，按自己的访问量看回源和缓存命中更实际。

买域名想比价的，域名在哪买便宜 那篇可以接着看。

配完怎么确认生效：一张检查清单

按这五条逐项过一遍，比在控制台里乱点有用。

1. 查NS。zone Overview页面会显示分配给这个域名的两条NS，拿去和注册商后台里的记录逐字比对。名称不完全一致，DNS就不会正确解析。
2. 查激活。Universal SSL是在域名激活到Cloudflare之后才签发的。域名还没激活，证书不会先出来。
3. 查记录。apex、www、邮件三条都要在。www至少有一条记录指向同站点，或者做了重定向。
4. 查加密模式。进SSL/TLS的Overview页面，确认模式不是Off。是Off的话，前面做的HTTPS全白费。
5. 查DNSSEC。域名激活后，回Cloudflare重新开启DNSSEC。改NS之前关掉的那一步，到这里补回来。

这五条里，NS和加密模式是硬条件，另外三条是容易漏的。检查顺序别倒过来，先看NS，NS不对，后面的检查都没有意义。

常见误区和排查：526、重定向循环、域名打不开

误区一：加密模式选Off图省事。结论是这样会让浏览器把站点标成不安全，还会拉低SEO。依据是Cloudflare写明Off会把HTTPS请求重定向到明文HTTP，Chrome等浏览器标not secure，影响排名。

误区二：DNSSEC还开着就去改NS。结论是域名可能直接打不开。依据是Cloudflare要求DNSSEC生效时必须在注册商先关闭，再替换NS。

误区三：NS手动敲，大小写或后缀抄错。结论是DNS不解析。依据是添加的NS名称必须和Cloudflare分配的完全一致。

误区四：快速扫描完就直接激活。结论是记录没找全，访客会撞NXDOMAIN。依据是快速扫描不保证找到所有现有记录，必须人工核对。

排查顺序按三段走：先查DNS记录，再查加密模式，最后查源站证书和443端口。Full (strict)下源站不满足要求，访客看到的就是526。重定向循环通常和源站配置有关，Cloudflare在Full (strict)页面提到可能要调设置来避免。

还有一点：域名打不开先看NS有没有生效，不要一上来就改SSL模式。NS没生效，改什么模式都没用。

AI 能帮哪几步，哪三件事必须你自己动手

AI在这件事里能帮的，是整理和判断，不是替你在后台点。

先说最省时间的那个用法：把主机商给的DNS记录清单整理成Cloudflare建记录时要填的字段表。A、CNAME、MX、TXT分清楚，哪些该开橙云、哪些该开灰云，让它标出来。

接着是判断。根据源站是否支持HTTPS、证书是否有效，让它判断该选Flexible、Full还是Full (strict)，并把每种模式的风险列出来。它给的是判断依据，最后选哪个还是你点。

出526、重定向循环、NXDOMAIN的时候，让它按「先查DNS记录、再查加密模式、再查源站证书」的顺序给你一张排查清单。你拿着清单去控制台逐项看。

三条可以直接复制的提示词，是本文给的示例，不是官方模板：

1. 「下面是我主机商给的 DNS 记录清单，请整理成表格：记录类型、名称、内容、状态（橙云/灰云）、TTL，并说明每条为什么这样设。清单如下：___」
2. 「我的源站支持 HTTPS 且证书有效，访客访问出现 525。请按 DNS 记录、SSL/TLS 加密模式、源站证书三段列出排查顺序，每段给出要看的具体设置项。」
3. 「我要把 www 和根域都指向同一站点并强制 HTTPS，请列出在 Cloudflare 控制台要改的页面路径和开关名称，不要给 API 代码。」

必须你自己动手的只有三件：在注册商后台把NS改成Cloudflare分配的那两条，逐字核对；在DNS Records页面逐条核对apex、www、邮件记录，决定每条开橙云还是灰云；在SSL/TLS Overview页面选定模式后，打开站点看有没有526或重定向循环，据此决定要不要回退。

猎者出海的AI Agent能接的是整理资料、对照官方文档这类活，后台配置动作它替不了你。

站里还有一篇讲 Cloudflare邮箱转发 的，域名接好之后设邮件会用到。

常见问题

Cloudflare 免费套餐有 CDN 吗？

有。免费套餐的功能列表里列了Global CDN，缓存功能在所有套餐可用。接进来之后，图片、网页这些静态内容会走离访客近的数据中心。

Cloudflare 免费版和收费版差别在哪？

免费版是$0，Pro和Business是付费档，具体价格看上面的数字表。功能上免费版不含正常运行时间SLA、图片优化，日志最长保留24小时，支持只有社区论坛和Discord。

Cloudflare 的 SSL 证书要另外买吗？

不用。Universal SSL默认给所有加入并激活到Cloudflare的域名签发并续期免费证书，够根域和www用。超出这个范围才需要Total TLS或高级证书。

cloudflare仅dns是什么意思？

指的是灰云DNS only状态。这种状态下Cloudflare只返回DNS记录值，流量不经过Cloudflare网络，常用来做外部服务验证域名的CNAME。

Cloudflare 免费套餐有流量上限吗？

官方定价页没有列免费套餐的CDN流量上限。规划的时候别按「无限流量」想，按自己的访问量看回源请求和缓存命中更实际。

配完这五步，域名算是真正接进Cloudflare了。