把域名托管到 Cloudflare：更换 DNS 服务器与 SSL“完全（严格）”模式设置

Cloudflare 的免费套餐提供 DNS 解析、CDN 缓存、DDoS 防护、免费 HTTPS 证书和重定向规则，很多个人站点和中小企业网站都会把域名托管到 Cloudflare。

托管只是把 DNS 解析交给 Cloudflare，域名仍然注册在原注册商，续费、转移锁、隐私保护等照常在注册商管理。

准备工作

• 记下现有解析记录：特别是邮箱的 MX、SPF、DKIM 等记录。Cloudflare 会自动扫描导入，但可能有遗漏，需要逐条核对。
• 先关闭 DNSSEC：如果域名开启了 DNSSEC，更换 DNS 服务器前请先关闭，否则域名可能无法解析。在 NameHug 控制台的域名详情 → DNS 服务器页可以查看和关闭。
• 确认源站已有 HTTPS 证书：后面要使用“完全（严格）”模式，源站需要有效证书。没有的话可以先申请 Let's Encrypt 证书，或使用 Cloudflare 签发的源服务器证书（见下文）。

第一步：在 Cloudflare 添加域名

1. 注册并登录 Cloudflare，添加站点（新版控制台为“添加域”），输入主域名，例如 example.com。
2. 选择套餐，免费套餐即可满足多数网站。
3. Cloudflare 会扫描现有解析记录并导入。请对照准备工作中记下的记录逐条检查，缺少的手动补上。

第二步：设置代理状态

每条记录旁边有一个云朵图标：

• 已代理（橙色云）：访问经过 Cloudflare，可以使用 CDN、防护和 HTTPS 证书，同时隐藏源站真实 IP。网站使用的 A、AAAA、CNAME 记录通常开启。
• 仅 DNS（灰色云）：只做解析，不经过 Cloudflare。MX 等邮件记录、SSH 和 FTP 等需要直连服务器的子域名，请设为仅 DNS。

第三步：在注册商更换 DNS 服务器

Cloudflare 会分配两个 DNS 服务器地址，形如 xxx.ns.cloudflare.com。

在 NameHug 中操作：进入控制台 → 我的域名 → 域名详情 → DNS 服务器，把这两个地址填进去并保存。

DNS 服务器的修改在全球完全生效最长需要 48 小时，通常更快。Cloudflare 检测到修改后会把站点状态改为有效（Active），并发邮件通知。

托管完成后，解析记录需要在 Cloudflare 中修改。NameHug 的 DNS 解析页不再生效；在那里保存解析会把域名切换回 NameHug 免费 DNS，请注意。

第四步：把 SSL/TLS 加密模式改为“完全（严格）”

这是托管到 Cloudflare 后很容易被忽略、但很重要的一步。路径：Cloudflare 控制台 → SSL/TLS → 概述 → 加密模式。

四种模式的区别：

• 关闭：不使用 HTTPS，不建议。
• 灵活：访问者到 Cloudflare 是 HTTPS，Cloudflare 到源站是明文 HTTP。数据在后半段没有加密；如果源站本身强制跳转 HTTPS，还会出现“重定向次数过多”。
• 完全：Cloudflare 到源站也使用 HTTPS，但不校验源站证书，过期或自签名的证书也能连上，无法防止中间人冒充源站。
• 完全（严格）：Cloudflare 到源站使用 HTTPS，并校验源站证书是否有效、是否与域名匹配。全程加密并可验证，推荐使用。

如果页面显示的是自动模式，先切换为自定义，再选择“完全（严格）”。

源站证书的两种选择

• Let's Encrypt 等公开证书：免费，浏览器也信任，有效期 90 天，需要配置自动续期。
• Cloudflare 源服务器证书：在 SSL/TLS → 源服务器 中创建，有效期最长 15 年。它只被 Cloudflare 信任，浏览器直接访问源站时会提示不安全，因此只适合所有访问都经过 Cloudflare 代理的情况。

切换后出现 525、526 错误

• 525（SSL 握手失败）：源站 443 端口没有正确配置 HTTPS。
• 526（无效的 SSL 证书）：源站证书过期、自签名，或者没有包含当前访问的域名。更换为有效证书后即可恢复。

第五步：配置边缘证书

边缘证书是访问者与 Cloudflare 之间使用的证书，由 Cloudflare 自动签发。路径：SSL/TLS → 边缘证书，建议设置：

• 始终使用 HTTPS：开启，把 HTTP 访问自动跳转到 HTTPS。
• 最低 TLS 版本：设为 TLS 1.2。
• 自动 HTTPS 重写：开启，把页面中的 http 资源链接改为 https，减少“混合内容”警告。
• HSTS：确认全站 HTTPS 稳定运行后再开启。开启后浏览器会在设定时间内只用 HTTPS 访问，出现证书问题时难以回退，请谨慎。

第六步（可选）：开启 DNSSEC

DNSSEC 用数字签名防止解析结果被篡改。在 Cloudflare 的 DNS → 设置 中开启 DNSSEC，会得到一条 DS 记录；再到 NameHug 控制台的域名详情 → DNS 服务器页，在 DNSSEC 中填入 DS 记录并保存。

常见问题

托管后邮件收不到了？
多半是 MX 记录没有导入，或者邮件相关记录开启了代理。补齐 MX、SPF、DKIM、DMARC 记录，并把邮件相关的记录设为仅 DNS。

网站提示“重定向次数过多”？
加密模式为“灵活”、源站又强制跳转 HTTPS 时会出现。改为“完全（严格）”即可。

出现 521、522 错误？
521 表示源站拒绝连接，522 表示连接源站超时。检查源站服务是否运行、防火墙是否放行 Cloudflare 的 IP 段。

想改回 NameHug 免费 DNS？
先在 Cloudflare 和 NameHug 关闭 DNSSEC，再在 NameHug 的 DNS 解析页添加解析记录并保存，域名会切换回 NameHug 免费 DNS。

配合阅读：网站用 www 还是不带 www、域名解析设置指南。