Cloudflare 使用指南 2026：接入、免费版必开设置与 Pages / R2 / Tunnel 进阶
大多数人接触 Cloudflare，是从「把域名 NS 改过去」开始的，然后就停在了 DNS 解析这一层——控制台里几十个菜单再也没点开过。这不怪用户：Cloudflare 的产品线横跨解析、加速、安全、存储、托管、穿透，官方文档是按产品组织的，而真实需求从来不是按产品来的。
所以本文换一个顺序：先对号入座找到你的需求，再做接入，然后照着一份有优先级的清单把免费版设置一次配对，最后才讲 Pages、Workers、R2、Tunnel 这些进阶件各自该在什么时候用、什么时候别用。
一、先分清：你用 Cloudflare 到底图什么
个人站长和自建玩家用 Cloudflare，无非四类需求。先定位自己属于哪一类，能省掉一半摸索时间：
| 你的需求 | 真正起作用的功能 | 不必折腾的 |
|---|---|---|
| 网站打开慢、访客分布广 | CDN 缓存 + 橙云代理 + HTTP/3 | Workers、Zero Trust |
| 怕被扫、被打、源站 IP 不想暴露 | 橙云代理隐藏源站 + WAF 托管规则 + 限速 | R2、Pages |
| 家里或内网的服务想从外网访问 | Tunnel（cloudflared）+ Zero Trust 登录门 | 改端口、买公网 IP |
| 不想再为博客和图片付服务器钱 | Pages 托管静态站 + R2 存图 | 单独买对象存储和 CDN |
四类需求可以叠加，本站就是四样全占。但要注意先后：接入和基础设置没做对，进阶功能玩得越多，翻车时越难排查。下面按这个顺序来。
二、接入第一步：改 NS 之前先做三件事
接入方式选 NS 改派（把域名服务器整体交给 Cloudflare），不要用 CNAME 接入——后者功能残缺，根域还用不了。改派本身只有三步：在 Cloudflare 添加站点、拿到两条 NS、去注册商后台替换。但真正决定成败的是改之前的准备：
第一，把旧解析记录全量抄下来。 Cloudflare 会自动扫描并导入现有记录，但扫描经常漏掉不常见的记录，尤其是 MX、TXT（SPF、DKIM、各种域名验证）和二级子域的记录。改派前先把注册商或原 DNS 后台的记录逐条截图或导出，改完后对照补齐。这一步省掉，是「改完 NS 邮箱就收不到信」的最大来源。
第二，确认哪些记录绝对不能开代理。 邮件相关的 MX、SPF、DKIM 记录，以及某些验证用的 TXT，必须保持灰云（仅解析）。代理只对 HTTP/HTTPS 流量有意义，给邮件记录开橙云轻则不生效、重则收发异常。
第三，先在源站把 HTTPS 备好。 顺序应该是：源站先能用 HTTPS 正常访问 → 再改 NS → 最后在 Cloudflare 把加密模式调到 Full (Strict)。反过来先改 NS 再慢慢折腾证书，中间这段时间站点就是裸奔或报错状态。
橙云还是灰云：一张取舍表
每条 A/AAAA/CNAME 记录后面有个云朵开关，这是 Cloudflare 最核心的一个决策：
| 流量路径 | 先过 Cloudflare 边缘再回源 | 直连源站 |
|---|---|---|
| 源站 IP | 隐藏 | 暴露 |
| CDN 缓存与 WAF | 生效 | 不生效 |
| 适用 | 网站、API、图床等 HTTP 服务 | 邮件、游戏服、SSH、非 HTTP 协议、需要真实访客 IP 的场景 |
经验法则：走 HTTP 的服务默认橙云；不是 HTTP 的、或者必须拿到访客真实 IP 的，保持灰云。拿不准时先想清楚「这个服务被 Cloudflare 挡在中间会不会出问题」——比如某些支付回调、WebSocket 长连接、超大文件直传，都值得先小流量验证再全量切橙云。
生效时间不用等满 24–48 小时，那是注册商页面的保守说法，多数域名几小时内就完成全球切换，期间新旧解析并存属于正常现象。
三、免费版真正值得开的设置清单（按优先级）
控制台功能虽多，但对个人站点来说，下面六项做完，免费版的价值就吃到了八成。按重要性排序，前两项是安全底线，跳过会出事；后四项是体验优化，有空再逐项调。
1. SSL 加密模式改 Full (Strict)，并给源站装 Origin 证书（必做）
加密模式在 SSL/TLS → 概述里，四档的区别只看两件事：Cloudflare 到源站这一段加不加密、验不验源站证书。
- Off / Flexible 不要用：Flexible 是「访客到 Cloudflare 加密、Cloudflare 到源站明文」，看着有小锁，实际后半段裸奔；更常见的坑是源站又配了强制 HTTPS 跳转，和 Flexible 组合出无限重定向（第五节细说）。
- Full (Strict) 是唯一推荐档：前提是源站有一张 Cloudflare 认可的证书。最省事的是 Origin Certificate：在 SSL/TLS → 源站服务器里免费签发，有效期最长可选 15 年，只受 Cloudflare 信任、正好只给回源用。装到源站的 Nginx/Caddy 上，再把模式切到 Strict，整条链路才算闭环。
- 顺手打开「始终使用 HTTPS」和 TLS 1.3；HSTS 则要谨慎，等确认全站 HTTPS 稳定运行一段时间后再开，开早了回滚很麻烦。
2. 缓存规则：只给该缓存的路径开（必做）
Cloudflare 默认只缓存图片、CSS、JS 等静态后缀，HTML 默认不进缓存——这个默认其实是对的，别一上来就「缓存一切」。需要动手的是两类规则：
- 静态站整站缓存：纯静态博客（VitePress、Hugo 这类）可以对全站设边缘缓存，TTL 给 1 天上下，更新时手动清缓存即可，源站压力和全球延迟都明显下降。
- 动态路径明确绕过：凡是带登录态的路径——后台、
/api/、购物车、用户中心——必须写规则绕过缓存（Bypass）。顺序上绕过规则要排在缓存规则前面。为什么这条放在「必做」里，第五节的翻车案例就是答案。
改样式改脚本后页面还是旧的，先开开发模式（Development Mode，临时绕过缓存 3 小时）验证，确认是缓存问题再调规则，别急着清全站缓存掩盖问题。
3. WAF 免费托管规则 + 一条限速规则（建议）
安全 → WAF 里打开 Cloudflare 托管规则集，免费版能用的部分足够拦下常见的扫描器、已知漏洞利用和恶意 UA。再到速率限制里给登录接口和搜索接口各加一条基础限速（比如同一 IP 短时间高频请求就拦），这是免费版里性价比最高的一条自定义规则——爆破和 CC 攻击大多死在这里。Bot 管理类功能免费版较弱，不必纠结，真正的应用层攻击靠源站自身的鉴权兜底。
4. Brotli 与 HTTP/3（顺手开）
速度 → 优化里打开 Brotli 压缩，文本资源通常比 gzip 再小一截；网络设置里确认 HTTP/3 (QUIC) 开启，弱网和移动网络下连接建立更快。这两项无副作用，看到没开就开。至于自动压缩 HTML/CSS/JS 的 Auto Minify，现代构建工具出厂已经压缩过，再叠一层偶尔会改坏内联脚本，建议保持关闭。
5. DNSSEC（一分钟）
DNS → 设置里开启 DNSSEC，再按提示去注册商处添加一条 DS 记录。防的是解析被劫持篡改，对访客无感，配一次管终身，没有理由不开。
6. 转换规则里关掉邮箱混淆之类的小项（可选）
页面里留了联系邮箱的话，Scrape Shield 的邮箱地址混淆会改写 HTML，和某些静态站的构建产物或校验工具打架；遇到过页面校验异常再回来关它即可，不必预先处理。
四、进阶四件套：各解决什么问题，边界在哪
DNS、缓存、SSL 是地基，下面四个产品是往上盖的房间。它们的共性是免费额度对个人项目相当宽裕（具体数字以官网为准），但每个都有明确的「不该用」边界，用错地方比不用还麻烦。
Pages：静态站托管
解决的问题：静态站不想再维护服务器。连上 Git 仓库后每次 push 自动构建部署，自带全球分发和 HTTPS，框架预设覆盖 VitePress、Hugo、Astro、Next.js 等主流选择。本站就是 Pages 部署的，构建命令与输出目录在仓库设置里对应填好即可，细节见 VitePress 用 Cloudflare 部署实战。
- 该用：博客、文档站、落地页、任何构建产物是纯静态文件的站点。
- 不该用：需要服务端渲染且逻辑复杂的动态应用硬塞进来，会和它的函数计费与运行时限制反复较劲；构建特别慢的大型仓库也要先评估构建时长上限。
Workers：补在边缘的轻逻辑
解决的问题：有些事不值得惊动源站——改写响应头、做 A/B 分流、给静态站加一层简单的访问校验、把几个 API 聚合成一个。Workers 就是跑在边缘节点上的 JavaScript/TypeScript 函数，按请求触发。
- 该用：无状态、短耗时、逻辑轻的请求层处理；和 R2、KV、D1 组合做小型全栈应用也成立。
- 不该用：长耗时任务、重计算、需要常驻进程的活。它的心智模型是「每个请求进来处理一下就走」，不是一台小服务器。
R2：对象存储，尤其适合当图床
解决的问题：图片和静态文件放在哪最便宜。R2 兼容 S3 API，但不收出口流量费——这是它和 S3 拉开差距的地方：图床、安装包、备份文件这类「存得不多、下载很多」的场景，账单几乎只剩存储和请求费用。用法上建好存储桶后，绑一个自定义子域（如 img.你的域名）走 Cloudflare 分发，再配合上传工具把文章图片直传上去，写作流程和本地插图没有区别。本站的图床方案见 本站图床搭建记录，图床的通用搭建思路也可参考。
- 该用：图床、静态资源分发、冷备份、给 Pages/Workers 当文件后端。
- 不该用：需要频繁随机读写的小文件数据库式用法；公开桶的访问控制要提前想清楚，别把不该公开的文件放进开了公共访问的桶。
Tunnel：内网服务的安全出口
解决的问题：家里的 NAS、内网的监控面板、公司内网的测试服务，想从外网访问，但没有公网 IP、也不想在路由器上开端口。cloudflared 在内网机器上主动向 Cloudflare 建立出站隧道，流量从边缘反向进来：零开放端口、源站不暴露、自带 HTTPS，再叠一层 Zero Trust 的登录校验（免费版可覆盖小团队规模的用户数），连服务本身没有登录页也能先过 Cloudflare 这一关。完整部署步骤（含守护进程配置）见站内单篇 Cloudflare Tunnel 内网穿透完整教程。
- 该用：个人和小团队的内网 Web 服务、面板类后台（本站的 Prometheus/Grafana 监控就是这么暴露的，见 监控系统搭建实战）。
- 不该用：对延迟极度敏感或需要跑非 HTTP 大流量协议的场景要逐个验证；另外要接受一个事实——链路依赖 Cloudflare，它的可用性就是你的可用性，核心生产服务该留备用入口。
四件套的搭配关系一句话总结：Pages 管站，R2 管文件，Workers 管逻辑，Tunnel 管内网。本站的组合是 VitePress 构建后交给 Pages、图片进 R2、内网监控走 Tunnel，源站服务器只剩构建和少数动态服务，月成本基本只剩域名钱。
五、常见翻车：按这个顺序排查
Cloudflare 相关的故障有个特点：十有八九不是它坏了，而是某个设置和源站配置互相打架。按下面顺序查，比对着报错谷歌快得多。
| 现象 | 最常见的原因 | 处理 |
|---|---|---|
| 无限重定向、ERR_TOO_MANY_REDIRECTS | 加密模式是 Flexible，源站又强制跳 HTTPS，两边互相踢皮球 | 源站备好证书，模式改 Full (Strict)，问题立刻消失 |
| 别人打开你的站，看到的是你的登录后页面（或反之） | 缓存规则把带 Cookie 的动态页也缓存了，第一个访客的页面被发给所有人 | 立即给该路径加 Bypass 规则并清缓存；这是安全事故，处理完要复盘规则 |
| 改了内容前台纹丝不动 | 边缘缓存或浏览器缓存未过期 | 先开开发模式验证，再决定改规则还是清缓存 |
| 改完 NS 邮箱收不到信 | MX/TXT 记录漏迁或误开代理 | 对照改派前的记录清单逐条补，邮件记录全部灰云 |
| 间歇性 502/522 | 源站防火墙拦了 Cloudflare 的回源 IP 段，或源站本身不稳定 | 源站放行 Cloudflare 官方 IP 段；用灰云直连测试区分是源站问题还是链路问题 |
| 国内访问忽快忽慢甚至打不开 | 免费版在国内的节点调度不受你控制，属已知特性 | 先确认不是自身配置问题；对国内访客占比高的站，这一点要在选型阶段就想清楚，别指望靠设置调好 |
排查的通用心法是二分法：把出问题的记录临时改灰云直连源站——直连正常，问题在 Cloudflare 侧的设置；直连也不正常，先修源站，别在控制台里乱翻。VPS 本身的安全基线另见 VPS 安全加固实战指南，和 Cloudflare 侧的防护是两层，不要互相替代。
六、和本站其他工具的搭配
- 图床：R2 + 自定义子域是本站的最终方案，之前折腾过的其他图床路径和迁移过程记在 图床搭建一文 里，选型纠结的可以先看那篇再决定。
- 短链与跳转：站点自带的短链需求本站用 Pages 的
_redirects文件解决，几十条规模完全够用；只有当跳转规则需要动态逻辑（比如带统计、带条件）时，才值得升级到 Workers，不要一上来就上代码。 - 部署流水线：Pages 连 Git 仓库自动构建后，本地只管写和推。SEO 与性能层面的站点设置另见 VitePress 博客 SEO 优化与性能提升指南。
- 如果你还在选服务器或机场这类上游资源，先看 优质机场推荐与选购指南 和 VPS 相关专题，把地基选对再谈加速。
七、FAQ
免费版到底够不够用，什么时候才需要升 Pro？ 个人博客、文档站、小型自建服务，免费版足够。出现这些信号再考虑升级：需要更细的 WAF 自定义规则和 Bot 对抗、图片优化要托管在 Cloudflare 做、或者页面规则数量不够用。在此之前付费买到的多半是心理安慰。
橙云开了之后，访客 IP 在源站日志里全是 Cloudflare 的地址，怎么办？ 这是代理的必然结果。需要在源站的 Nginx/Caddy 里配置信任 Cloudflare 的 IP 段并读取 CF-Connecting-IP 头，才能在日志和应用里拿到真实访客 IP。安全上反过来说：源站最好只接受 Cloudflare 段的回源请求，再叠一层，别人绕过边缘直打源站就进不来——注意这一步要先把记录全切橙云再收紧防火墙，顺序反了会把自己锁在外面。
R2 的免费额度真的能覆盖一个博客图床吗？ 以官网公布的免费层为准（额度会调整，本文不写死数字），一个文字为主的博客把图片压成 WebP 后，存储量通常离上限还很远；真正要留意的是别把原图相机照片不加压缩地往上堆。请求费用方面，正常访问量同样很难触顶。
Tunnel 和 frp 这类传统内网穿透怎么选？ 已经有稳定公网 VPS、且穿透的是各种非 HTTP 协议，frp 更自由；穿透的是 Web 服务、又不想暴露端口和源站，Tunnel 省心得多，尤其是不用再单独操心证书和登录门。两者不冲突，按服务逐个选即可。
为什么我开了 CDN，测速分数反而更难看了？ 先分清测的是什么：首次访问的冷缓存命中率低、回源距离远，都会让单次测速数字难看，但真实访客的二次访问和静态资源命中才是 CDN 的主场。另外检查 HTML 是否被过度缓存导致测速工具拿到旧页面、以及 Auto Minify 这类功能有没有和构建产物冲突。测速是参考，别为了分数把第三节的清单推翻。
域名在别的注册商，能只用 Cloudflare 的 DNS 不迁注册商吗？ 完全可以。NS 改派只换解析服务商，域名注册和续费仍在原注册商；Cloudflare 自家的注册服务是另一件事，不要混为一谈，迁移注册商之前先确认价格和转入规则。
延伸阅读
免责声明
本文仅供技术交流和学习参考。涉及第三方服务的链接可能包含 sponsored 标记，请自行核实服务条款、价格和可用性，并遵守当地法律法规。