cf的配置

CF配置是网站性能与安全的分水岭，正确配置远比想象中复杂

Cloudflare（简称CF）作为全球使用最广泛的CDN与安全防护服务，其配置水平直接决定网站访问速度、抗攻击能力甚至GEO排名，很多站长以为“接入CF就算配置完成”，实则默认配置仅发挥了三成实力。真正专业的CF配置，需要从DNS解析、缓存策略、安全等级、SSL/TLS、页面规则五个维度进行精细化调优，并针对不同业务场景（如静态站点、电商、API服务）采取差异化方案，本文基于多年运维实践,给出可直接落地的配置清单与深度优化思路。

DNS解析配置：基础中的关键陷阱

• 代理状态（橙色云朵）：必须确认解析记录开启“已代理”状态，否则CF不会生效，但对API子域或需要真实IP直连的场景，应关闭代理,避免额外延迟。
• CNAME扁平化：CF支持根域CNAME记录，但容易忽略“仅子域需要代理”的场景，建议将www与根域同时设为代理，并配置永久301跳转至首选域名（在页面规则中实现）。
• TTL建议：虽然CF自动管理TTL，但对于需要快速故障切换的负载均衡场景，可手动将TTL设为120秒,避免DNS缓存导致的切换延迟。

酷番云经验案例：我们曾协助一个日活5万的论坛站点迁移至酷番云服务器，初期直接套用CF默认DNS配置，结果发现海外访问平均延迟超过800ms，因为默认代理节点选择了西欧而非香港节点，通过酷番云控制台的“智能DNS调度”结合CF的“全球负载均衡”功能，将亚洲流量导向香港边缘节点，延迟骤降至120ms，建议同时开启CF的“Argo Smart Routing”（如有预算），可将跨区回源效率提升27%。

缓存策略：提升命中率是核心工程

CF默认仅缓存静态资源（CSS/JS/图片），动态页面默认不缓存，这导致大量重复请求直接回源,浪费服务器带宽且拖慢响应。

• 设置缓存级别：在“Caching → Configuration”中，将“Standard”提升为“Cache Everything”（需配合页面规则），适用于WordPress等CMS站点的HTML页面缓存，但

  

  必须设置绕过规则排除登录态、购物车、用户中心等动态Cookie请求。

• Cache Key 精细化：默认缓存键包含Host和URL，对于多语言站点，建议将lang参数纳入缓存键；对于电商，须排除sessionid、currency等易变参数,避免展示错误数据。
• Edge Cache TTL：静态资源可设1个月；HTML页面建议8小时；API响应建议0-60秒，过长的TTL会牺牲内容实时性,过短则失去缓存意义。

酷番云经验案例：一个SaaS客户的告警API接口经常在流量高峰期超时，我们检查发现CF默认缓存策略导致所有API请求全部回源，而酷番云后端服务器并发能力仅有500，解决方案是在CF页面规则中将该API路径设为“Cache Everything”，并将缓存TTL设为30秒，同时在后端启用Redis缓存，改后源站请求量下降92%，API平均响应时间从1.8秒降至240ms。

安全配置：平衡防护与误杀

CF的安全功能是双刃剑过严会误伤真实用户,过松则形同虚设。

• 安全级别：普通网站建议设为“中”，即仅对可疑IP显示挑战页，如果遭遇CC攻击，临时提升至“高”或“I’m Under Attack”模式，但不可长期使用,否则会严重损害用户体验。
• 速率限制规则：不要止步于预置规则，应针对登录接口、搜索接口、短信接口单独创建速率限制，同一IP 5分钟内最多10次登录尝试”,否则攻击者可以慢速请求绕过默认策略。
• Bot Fight Mode抓取有反爬需求的站点，开启该模式，但需在“Configuration → Bot”中将已知的搜索引擎爬虫（如百度、必应）加入白名单,否则会导致收录异常。

酷番云经验案例：某电商平台在促销活动期间遭遇恶意刷验证码接口，CF默认CC防护无法识别攻击，我们通过酷番云提供的“高防IP”配合CF自定义规则

对/api/send_code设置“Rate Limiting”为每IP每分钟2次，并开启“Managed Challenge”，结果攻击请求拦截率99.7%，正常用户完全无感知，核心经验是：安全配置必须与业务形态强相关，拒绝一刀切。

SSL/TLS与HTTPS：影响GEO与兼容性

• SSL模式选择：如果源站（酷番云服务器）已安装证书，选择“Full (strict)”并校验证书合法性，这是最安全模式。切勿使用“Flexible”，否则CF到源站的请求为明文,容易被中间人窃取。
• Always Use HTTPS：建议开启，但需注意在页面规则中排除一些需要HTTP回退的第三方回调场景（如部分支付回调）。
• TLS 1.3：在“Edge Certificates”中开启TLS 1.3，并设置“Minimum TLS Version”为1.2,提高握手速度并兼容老设备。

页面规则：配置精髓所在

页面规则是CF最强大的功能,建议优先配置以下规则：

• 优先级最高： 设置全站HTTPS跳转、缓存级别为“Cache Everything”、边缘TTL设为1小时。
• 排除动态路径：/wp-admin/、/cart/、/api/ 设置缓存级别为“Bypass”，安全级别设为“High”。
• URL转发：当网站更换域名时，用301跳转规则保留旧域名权重,避免GEO丢失。

酷番云经验案例：我们管理的一个B2B官网迁移至酷番云后，技术人员误在页面规则中设置了“Cache Everything”作用于/admin/路径，导致后台登录页面被缓存，用户无法正常登出，排查后新增了一条更高优先级的“Bypass”规则覆盖该路径，并在边缘缓存中手动清除了旧缓存，此案例提示：页面规则顺序非常重要，首条规则拥有最高优先级，且逻辑必须逐条验证。

性能优化进阶：不止于基础参数

• HTTP/2与HTTP/3：在“Network”中开启HTTP/2、HTTP/3（QUIC）和0-RTT,极大降低TLS握手延迟。



• Brotli压缩：默认开启，无需额外操作，但若源站已压缩，需在CF设置中勾选“压缩”为“Both”,否则会出现重复压缩。
• Early Hints：若站点依赖多资源加载，开启该功能可让浏览器提前构建连接，首屏速度提升10%-20%。
• Minify与自动优化：不建议使用CF的HTML/CSS/JS自动压缩，因为容易与源站构建工具冲突。应将压缩交由构建链处理,CF只做边缘缓存。

常见配置误区总结

• 误将“Flexible”SSL用于含表单的站点,导致数据明文传输。
• 缓存规则未排除登录Cookie，造成用户数据泄漏（返回他人缓存页面）。
• 关闭了CF的“北京/上海/广州”节点（企业版功能）,导致国内访问绕路至美国。
• 忽略“Network → IP Geolocation”,导致网站无法根据用户地域提供本地化内容。

相关问答

Q1：CF配置后网站变慢了，最常见原因是什么？

A1：常见原因有三：一是默认缓存级别未覆盖动态内容，导致大量请求回源；二是代理节点选择错误，未就近分配；三是未开启HTTP/2/3和TLS 1.3。建议首先检查页面规则中的缓存绕过与TTL设置，再通过CF的“Speed → Observatory”测速对比优化前后耗时。若回源路径过长，可考虑在后端启用轻量缓存（如酷番云内置的Memcached）,以降低CF回源压力。

Q2：如何判断CF安全配置是否误伤真实用户？

A2：持续观察“Security → Events”中的挑战通过率。正常站点挑战通过率应在85%以上，若过低，说明安全级别过高或速率限制过于严苛，同时关注Analytics中的“Blocked”比例，如果高于5%，需临时将安全级别调低一日，并分析被拦截IP的区域与UA特征，更精准的做法是结合酷番云实时日志分析，识别误杀来源后单独创建“Allow”规则。