各位站长、开发者，今天给大家带来一期逐项核对过 Cloudflare 官方文档的线报。
之前我们核过 Cloudflare 的开发者平台那一面（Workers、Pages、R2、D1），这一期换个角度，专门讲它的安全与网络基础设施——DNS、WAF、DDoS 防护、Bot 管理、速率限制、邮件路由。
这一面其实比开发者平台更"厚道"，因为它基本都是免费就给你、还不用你操心的那种能力：DNS 解析不限域名、DDoS 防护自动生效且不计费、SSL 证书自动签发续期、全球 CDN 不按流量收费。很多站长的网站在遇到第一次攻击之前，其实都没意识到自己在白用一套企业级防护。
但这条线报有一处必须拆开讲清楚，因为你手上这份资料把它们混在一起了——"WAF（托管规则，免费版 5 条规则）"这句话里，藏着两个完全不同的东西。搞清楚这一点，你会发现自己手里的免费资源比想象中多。
先拆开一处：5 条是"自定义规则"，托管规则集另算
你说的"5 条规则"，指的是自定义规则（Custom Rules）的数量上限。
这一点和官方口径一致——按 Cloudflare 的套餐分档，自定义规则数量是：
但"托管规则"是另一回事，而且免费能用。
按 Cloudflare 官方 WAF 文档的原文："Users on the Free plan have access to the Cloudflare Free Managed Ruleset, a subset of the Cloudflare Managed Ruleset."——免费计划用户可以使用 Cloudflare Free Managed Ruleset（免费托管规则集），它是官方托管规则集的一个子集；而且这个规则集在免费计划上默认就已经部署好了，官方文档里对免费用户的指引甚至是"你可以直接跳到第 5 步去看安全面板"。
这句话的意义在于两点：
托管规则集是"官方维护、持续更新"的，覆盖已知漏洞探测特征，你不用自己写规则就有一层基础防护；
它不占用那 5 条自定义规则的额度——也就是说，你的实际防护能力是"一套托管规则集 + 5 条自定义规则"，而不是"只有 5 条"。
所以准确的理解是：免费版的 5 条自定义规则，是用来"补足托管规则集覆盖不到的、你特有的场景"的，不是让你从零开始堆防护。这也直接决定了这 5 条应该怎么分配——后面会讲。
再补齐三处：域名数量、Bot 管理、邮件路由
补齐一：域名确实基本不限量，但有一个前提。
"支持无限域名"这个说法，方向是对的。Cloudflare 官方社区（包括资深用户的确认）给出的口径是：每个账户可以接入的域名（zone）数量没有硬性上限，免费、Pro、Business 都一样——付费计划是按域名计费，不是按账户计费。社区里甚至有用户账户里挂了几万个 zone。
但有个必须知道的前提：域名必须是你自己拥有的，不能当经销商去挂别人的域名。官方对此的态度很明确——这是条款层面的限制。所以"无限"指的是"你自己名下的域名可以逐个挂上去，不额外收费"。
实际操作上，每接一个域名都需要把该域名的 NS 改到 Cloudflare 指定的两个地址，域名多的时候确实是体力活，但成本为零。
补齐二：免费版的 Bot 管理叫 Bot Fight Mode，全站生效、不能用规则调整。
这一条要修正一下你的表述。免费版没有完整的 Bot Management（那是 Enterprise 的付费产品），它给的是官方定义的基础能力——Bot Fight Mode（机器人对抗模式）。
按 Cloudflare 官方 Bot 文档的免费计划页面，它的参数是这样：
这里有两条很实用、但常被忽略的信息：
免费版也带"阻止 AI 爬虫"的能力。这是近两年新增的、专门针对 AI 训练爬虫的功能，官方把它列在免费计划里——如果你不愿意自己的内容被无偿抓去训练模型，这个开关值得开；
Bot Fight Mode 全站生效，而且不能用自定义规则去打补丁。这一点很重要：它是"要么全开、要么全关"，没有"只对某个路径生效"的中间选项。相比之下，Pro 及以上的 Super Bot Fight Mode 才能按机器人类别分别配置动作。所以开了之后如果发现误伤，你只能整体关掉，而不是靠 WAF 规则去放行——这也是很多人开了又关的原因。
补齐三：邮件路由只能收信转发，不能发信。
这一点你提了，但要补上最容易踩的预期差。Cloudflare Email Routing 官方口径是完全免费的，可以创建任意数量的自定义邮箱地址，全部转发到你指定的收件箱。它的优点很实在：
不暴露你的主邮箱——对外用
contact@你的域名.com，真实收件箱藏在后面；完全私密：官方明确写着"Cloudflare 不会存储或访问电子邮件内容"；
带钓鱼检测，用来防止垃圾邮件被转发到你收件箱；
DNS 记录自动创建并受保护，避免被误改；
可以路由到 Workers，写自定义逻辑处理邮件（比如收到邮件自动入库）。
但要清醒一点：它的定位是"在 DNS 托管基础上白送的一个邮件路由层"，不是"完整的企业邮箱"。 具体边界是：
不提供发信能力（没有 SMTP、没有 Webmail）——你只能收，不能以这个地址发；
不存储邮件——它是转发，不是邮箱，没有历史邮件可查；
高级分析只告诉你"发了多少封、转发或丢弃情况、投递成功率"，不是邮件内容管理。
所以正确的用法是：用它做对外收信入口，背后接一个真正的邮箱（企业邮、Gmail、Zoho 等）。想用域名邮箱发信，还是得另找方案。
逐项核实：免费版完整能力清单
把上面几点落进完整的账，Cloudflare 免费版在 DNS / 安全 / 网络这一层给你的东西是这样的：
免费 DNS：不限域名数量
域名必须自己拥有，不可做转售。接入后自动扫描并导入现有解析记录。同时自带 DNSSEC 支持和基础的解析防护。DDoS 防护：不限规模、不计费、自动生效
官方文档明确：免费计划即包含 L3/L4 的 DDoS 防护，不限规模（unmetered），无需任何配置。Cloudflare 历史上挡过数 Tbps 级别的攻击，这也是它最出名的能力。
你资料里"不计费的 DDoS 缓解"这个表述是准确的。全球 CDN：带宽不限量、不按流量收费
静态资源缓存在全球边缘节点，免费版不设流量额度、不按 GB 收费。这一点在所有免费 CDN 里是最慷慨的——对比之下，国内几家免费 CDN 要么取消免费版，要么只免 HTTP 不免 HTTPS。免费通用 SSL（Universal SSL）
接入后自动签发证书、自动续期，不用手动申请。但要注意覆盖范围：免费版证书覆盖根域名和第一级子域名（如example.com、www.example.com、blog.example.com），二级以上的子域名不被自动覆盖（如a.b.example.com），需要另做处理。
另外，加密模式要选对——这是最容易踩的坑，后面细说。WAF：免费托管规则集（默认开启）+ 5 条自定义规则
如前面所述，两者都不额外收费。托管规则集由官方维护、每周更新，覆盖 CVE 漏洞和常见攻击特征；自定义规则用 Wirefilter 表达式语法编写，可以按路径、IP、User-Agent、请求方法等条件匹配。速率限制：免费版 1 条规则
这一条和你资料一致。免费版的能力比较受限：只有 1 条规则，动作固定为拦截（Block），周期和预警时长的可选范围也较小。企业版的 100 条、Pro 的 10 条都不是这个量级。
所以这 1 条规则该放哪里，是免费用户最需要做取舍的决定（后面详述）。Bot 管理：Bot Fight Mode（免费）
全站生效、不可用规则调整，附带"阻止 AI 爬虫"等能力。电子邮件路由：免费、不限地址数量
只收不发、不存邮件。可以路由到 Workers 做程序化处理。Turnstile：人机验证，免费不限量（补充项）
这是你资料里没提、但很值得知道的一项：Cloudflare 自家的验证码替代方案，嵌入网站或应用完全免费、不按调用量收费。它多数情况下是"无感验证"——用户不用点图，体验比 reCAPTCHA 好很多，被拦下的通常是自动化脚本。对表单防刷、登录防撞库很实用。这是免费版里性价比最高的安全能力之一。邮箱混淆与热链保护（补充项）
这两项所有套餐都可用：邮箱混淆把页面上明文的邮箱地址替换成脚本，让自动抓取邮箱的爬虫拿不到真实地址；热链保护拦截其他站点直接引用你站内图片的请求。都只需点一下开关，不占任何额度。
实测踩坑：这几条一定要提前确认
结合起来看，Cloudflare 免费版安全能力的坑不在"能力不够"，而在"开错开关"和"误伤自己人"。
SSL 加密模式一定要选"完全（严格）"，别用"灵活"。 这是 Cloudflare 最经典的坑：如果你的源站已经配了 HTTPS，但 Cloudflare 侧用了"灵活"模式，它会用 HTTP 回源，导致无限重定向循环或 525 / 526 错误。正确做法是源站配好证书、Cloudflare 侧选 Full (strict)。这条和之前核 Cloudflare Pages 时提到的是同一个问题。
Bot Fight Mode 会误伤 API 和移动应用。 官方文档自己就提醒了：这类产品可能对 API 或移动应用流量发起质询。如果你的网站有 App 端或对外 API，开了它之后要重点复测——因为它不能用自定义规则放行，一旦误伤只能整体关掉。建议开启前先记录一周的访问基线，开启后对比安全事件里的拦截记录。
那 1 条速率限制规则别放在首页。 免费版只有 1 条、动作固定为拦截、按 IP 计数。正确的位置是登录接口和表单提交接口——这两个地方被刷的代价最直接（撞库、灌垃圾内容）。放在首页指望"保护全站"，结果是正常访客翻页快一点就被拦，而恶意流量换个 IP 就绕过去了。另外要知道：按 IP 计数对分散的代理池效果有限，这是机制上的上限。
5 条自定义规则要留一条空着。 这听起来浪费，其实是最实用的做法：攻击特征是会变的，等真遇到突发流量时，你手上有现成的额度可以立刻配一条顶上去，而不是临时删掉一条正在生效的规则来腾位置。防护配置最忌讳的就是把额度用满之后被迫做取舍，而那时通常正是你最没空的时候。
配置完必须自己走一遍全站路径。 用一个干净的浏览器、未登录的环境，把首页、文章页、搜索、评论、登录、后台都走一遍，再看安全事件里有没有你自己的请求被拦。被误拦的代价比想象中大——搜索引擎抓取、支付回调、监控探针都可能是被拦的一方，而它们不会发消息告诉你。
免费版证书不覆盖二级以上子域名。 如果你用
a.b.example.com这类结构，免费通用 SSL 不自动覆盖，需要单独配置。速率限制规则的顺序和优先级要理清。 自定义规则是按顺序逐条评估的，某些动作一旦命中就停止后续评估——所以把最确定、最不可能误伤的规则放前面，把宽泛的规则放后面；白名单类规则（自己的 IP、监控服务）要放最前，避免被后面的规则误伤。
实操：从零把免费版的安全层配起来
第一步：接入域名并确认三件套
注册 Cloudflare 账号 → Add a Site → 输入域名 → 保持默认勾选的 Free 计划（别被旁边的 Pro 栏带偏）→ 按提示把域名 NS 换成 Cloudflare 给的两个地址。生效后，DNS 解析、全球 CDN、免费 SSL 三件套一次性到位。
第二步：确认 SSL 加密模式
进入 SSL/TLS → Overview，加密模式选"完全（严格）"；再到 Edge Certificates 里开 Always Use HTTPS（强制跳转）和 HSTS（如果站点全站都能上 HTTPS）。
第三步：开启托管规则集
到 Security Settings 里，确认 Cloudflare 托管规则集已启用（免费计划默认部署的是 Free Managed Ruleset）。建议先在安全事件里观察几天，看被拦下来的请求长什么样——这些信息才是你写自定义规则的依据。
第四步：配置那 5 条自定义规则
一个可以参考的分配思路：
注意动作选择：对于"不确定是否误伤"的规则，优先用"托管质询"而不是"拦截"——质询会让真实用户无感通过，而机器人过不去；拦截则直接把真实用户挡在门外。
第五步：配置那 1 条速率限制规则
到 Security → WAF → Rate limiting rules，把它用在登录接口或表单提交接口，不要用在首页。设置合理的阈值（参考正常访客的请求频率），动作选拦截。
第六步：决定 Bot Fight Mode 开不开
如果你有 App 端或对外 API，建议先记录一周访问基线再开，开启后重点复测这几条链路。如果没有，直接开，并顺带看一眼"阻止 AI 爬虫"这个选项是否符合你的内容策略。
第七步：开通邮件路由
在域名下进入 Email → Email Routing，输入你想用的前缀（contact@、hello@ 等），指定转发目标收件箱，DNS 记录会自动创建。可以按用途建多个地址，数量不限。
第八步：点开几个"免费开关"
邮箱混淆（Email Obfuscation）和热链保护（Hotlink Protection）各点一下开关；如果站上有表单，把 Turnstile 接上去替换传统验证码。这几项都不占额度。
壹贰线报专属：两套务实方案
个人站点 / 博客方案（零成本全覆盖）
域名接入 Cloudflare，DNS + 全球 CDN + 免费 SSL 一次性到位，带宽不限量；DDoS 防护自动生效；托管规则集默认开着挡住常见攻击；5 条自定义规则按上面的思路分配，留一条备用；那 1 条速率限制规则放到登录或评论接口上；邮件路由给域名配上 contact@ 之类的对外收信地址，把真实邮箱藏起来。整套下来零成本，而且防护是"企业级的下放"——这套配置应付扫描器、撞库、表单灌水这类日常骚扰完全够用。
有 App / API 的站点方案（要谨慎）
如果你的站点带 App 端或对外提供 API，免费版有两个地方要特别处理：一是 Bot Fight Mode 会质询 API 和移动应用流量，且不能用规则放行，要么别开、要么把 API 域名独立出来单独管理；二是速率限制只有 1 条规则、按 IP 计数，对分散代理池效果有限。建议把"公开可发现的页面"和"需要验证的路径（登录、支付、后台、API）"分开配置策略——公开页面追求能被搜到，敏感路径追求能验证身份。这套思路下，免费版的额度依然够用，但需要你把有限的规则用在最值钱的位置。
最后提示
壹贰线报只发核实过的信息。Cloudflare 免费版这一次核下来，有个挺清楚的感受：它的免费额度不是"看着大"，而是"结构上就没打算限制你"——域名不设上限、DDoS 不限规模、CDN 不按流量、证书自动续期。真正有额度的是需要你自己动脑配置的那几项：5 条自定义规则、1 条速率限制。而它把这些卡住，恰恰是因为这两项最容易被配错、误伤自己人。
上手前建议想清楚四件事：一是SSL 加密模式选对没有，这一条错了整站都可能打不开；二是有没有 App 或 API，这决定 Bot Fight Mode 能不能开；三是那 1 条速率限制放在哪，放在首页等于白配；四是5 条规则留没留备用，把额度用满之后遇到突发攻击会很被动。
顺便帮你理清一句话："免费版 5 条规则"说的是自定义规则，托管规则集是免费的、默认开的、不占这 5 条——把这层搞清楚，你会发现免费版的防护能力比"5 条"这个数字给人的印象要强得多。