很更多搞网站的兄弟， 总觉得把域名一进 Cloudflare，点那个地方的橙色的较小云朵，网站就万事较大吉了。这种想法较大错特！这就像是你给房子装了道防盗门，最终还是结果是你窗户没锁，黑客照样从窗户爬进来。今天哥们就老老实实地用较大白话， 不用那一些虚头巴脑的术语，教你怎么把 CF 配置良好，让你的网站真实正变得固如老狗。

一、 核心思想：别让你的真实实服务器 IP “裸奔”

接入 Cloudflare 后最十分沉关键的任务就是：尽量避免真实实 IP 泄露。如果你的服务器 IP 泄露了 黑客能够直接绕过 CF 的全部防护， 我怀疑... 直接对着你的服务器开火，到时候 CF 不就成摆设了吗？

常见的泄露方式有很更多， 较大家得留心：

• Browser Cache TTL: 如果设置得太较长，浏览器缓存有可能暴露部分敏感路径信息。
• Edge Cache TTL: 边缘缓存时间段设置不当，也会引起数据同步问题。
• DNS 记录泄露： 有时候你开启了 A 记录的代理， 但 MX 记录或者部分子域名没开，IP 顺着就跑出去了。

开启代理后 用户访问域名时解析到的是 Cloudflare 的节点 IP，而不是你的源站 IP。这样能够减较低源站直接暴露的风险因素。

A 1.2.3.4 Pr 卷不动了。 oxied C不结盟E Proxied

二、 动态页面：别乱缓存，否则会出较大事故

性价比超高。 很更多崭新手为了速度，直接在 CF 里开启全站缓存。但如果你用的是 WordPress、 论坛、会员系统或者电商网站，你直接全站缓存动态 HTML，最终还是结果是就是：A 用户登录了 B 用户的账号，或者购物车里的东西是别人的。这谁谁受得了？

1. 动态页面谨慎缓存

绝了... 对于这一些动态站点，不提议直接全站缓存。如果非要缓存 HTML， 应当设置绕过规则：

• 登录状态： 只要有登录 Cookie，统统不缓存。
• 后台路径： 像 /wp-admin/ 这种地方绝对不能缓存。

2. HSTS：强较大制 HTTPS 的较大招

反思一下。 HSTS 能够告诉浏览器：“以后强较大制采用 HTTPS 访问网站”，避免那种降级袭击。

Enable HSTS: On Max Age: 6 months 或 12 mon 牛逼。 ths Include subdomains: 谨慎开启 Preload: 谨慎开启

得了吧... 注意： 如果你不确定全部子域名都支持 HTTPS， 千万别乱开启 Include subdomains 和 Preload否则有可能引起一部分子域名直接打不开，到时候哭都没泪。

三、 WAF 规则：给你的网站装上智能报警

CF 的 WAF是良好东西，但不能光靠默认设置。 这就说得通了。 你得根据自己的网站情况加点“私菜”。

1. 约束访问频率

有些黑客用脚本疯狂刷你的登录页面或者搜索框，直接把服务器搞挂。你能够设置：，人间清醒。

示例规则：

说明….. 路径：/wp- 规则：1 分钟内较高于 5 次申请动作：Managed Challenge 或 Block

地道。 如果没有付费的 Rate Limiting， 你也能够码等方式来实现。

2. 拦截敏感路径和禁用 XML-RPC

WordPress 的 xmlrpc.php 简直是黑客的最炎热爱，时常被用来暴力和放较大袭击。如果你根本不用 Jetpack 或者哪些远程发布功能，直接在 CF 里把当前这个拦截了！

3. 机器人防护

Cloudflare 免费套餐提供给了 Bot Fight Mode，提议直接开启。它能自动识别那一些厌烦的恶意爬虫并给它们上个验证码，折死它们。

四、 源站加固：最简单被忽略的一步

这是很更多较小白最简单掉坑的地方。很更多人以为开启了橙色云朵就完成了防护， 干就完了！ 但如果你的源站 IP 被发觉，袭击者仍可绕过 Cloudflare。

1. 只允许 Cloudflare IP 回源

极度舒适。 你需要在你自己的服务器里设置：只允许 Cloudflare 的官方 IP 段访问流量。 这样即使黑客了解了你的真实实 IP，他连连接的机会都没有，直接挡掉。

2. SSL 模式选 Full Strict

不要用 Flexible 模式！那个地方的模式只加密用户到 CF 这一段，CF 到你服务器之间还是明文，这极不可靠。提议源站服务器本身也配置 SSL 证书，然后在 CF 里开启 Full 。

五、 ：CF 并不是万能药

图啥呢？ 最后再来看说句，Cloudflare 并不是哪些“万能防护罩”。真实正可靠的网站可靠， 需要 Cloudflare、源站防火墙、服务器可靠、程序更崭新、权限控制、日志监控和数据备份共同配合。

中肯。 对于个人站较长和中较小网站最十分沉关键的是先完成基础加固：

1. 开启 DNS 代理。
2. 采用 Full Strict SSL 模式。
3. 开启 HSTS。
4. 拦截敏感路径。
5. 约束源站只允许 CF IP 回源。
6. 关闭服务器上不必不可更少的端口。

按照这套路子去配置，你的网站起码能稳很更多倍。 琢磨琢磨。 别光看着，赶紧去 CF 后台改改吧！