Cloudflare 免费 SSL 还是付费证书

网站流量走 Cloudflare 代理的话，大多数情况下不需要买 SSL 证书。Universal SSL 在所有套餐里都为已激活的域名免费签发公开受信任的 DV 证书，源站再装一张免费的 Origin CA 证书，回源这一段也能加密。只有三种情况值得付费：边缘要展示 OV 或 EV 身份（需 Business 或 Enterprise 套餐）；部分主机名不走代理；合同要求商业 CA。

关于 Cloudflare 的说法都来自其 2026 年 11 月的官方文档。付费证书价格于 2026 年 11 月 10 日在卖家官网核实，一切以商家结账页为准。

两段连接，两张证书

一个经过代理的请求有两段 TLS 连接：访客到 Cloudflare，Cloudflare 到你的源站。每一段用的是不同的证书。

浏览器只会看到边缘证书。主机名开着代理时，你在源站上装一张 $76.99 的 EV 证书，访客也看不到。

Universal SSL 免费给了什么

按 Cloudflare 文档，Universal SSL 为在 Cloudflare 上激活的域名免费签发并续期公开受信任的证书，Free、Pro、Business、Enterprise 套餐都有。证书是 DV，有效期 90 天，自动续期。完整 DNS 接入（NS 托管在 Cloudflare）时，覆盖主域名和一级子域名；a.b.example.com 这样的多级子域名需要 Total TLS 或付费的 Advanced Certificate Manager。签发 CA 由 Cloudflare 在 Let's Encrypt、Google Trust Services 和 SSL.com 之间选择。

和付费 DV 证书相比，Universal SSL 在访客能看到的方面没有差别：同样的锁，续期全自动。

选对加密模式

加密模式选 Full (strict)。Cloudflare 的 SSL/TLS 加密模式决定 Cloudflare 到源站这一段怎么连：

• Off： 完全不用 HTTPS。
• Flexible： 访客到 Cloudflare 用 HTTPS，Cloudflare 到源站用明文 HTTP。Cloudflare 建议尽可能升级源站配置。
• Full： 回源用 HTTPS，但不校验源站证书。
• Full (strict)： 回源用 HTTPS，并校验证书；证书可以来自公共 CA，也可以是 Cloudflare Origin CA。
• Strict (SSL-Only Origin Pull)： 不论访客用 HTTP 还是 HTTPS，Cloudflare 都用经过校验的 HTTPS 回源。

另外还有一个自动模式，会选择源站支持的最安全设置。Cloudflare 强烈推荐 Full 或 Full (strict)。和 Full 不同，Full (strict) 会校验源站证书，夹在 Cloudflare 和服务器之间的攻击者没法随便拿一张自己的证书冒充源站。有登录、表单的网站尤其不要用 Flexible，因为第二段的密码和表单数据是明文跨公网传输的。

国内很多站长用宝塔面板，开了 Cloudflare 后常见的做法是：在宝塔里给站点部署 Origin CA 证书或 Let's Encrypt 证书，再把 Cloudflare 的模式改成 Full (strict)。改模式之前先确认源站 443 端口能正常访问，否则 Cloudflare 回源会失败。

Origin CA 和源站上的公共证书怎么选

两种免费方案都能配合 Full (strict)；公共 ACME 证书的好处是绕过 Cloudflare 时网站照样能用。两种方案：

• Cloudflare Origin CA： 所有套餐免费，一张证书最多 200 个名称，默认包含主域名和一级通配符，有效期自选；Cloudflare 发布时给出的范围是 7 天到 15 年。只有 Cloudflare 信任它，一旦暂停 Cloudflare 或把主机名改成“仅 DNS”，访客就会看到证书错误。Cloudflare 也不会发到期提醒，要自己记。安装方法见 Cloudflare Origin 证书安装教程。
• 公共 ACME 证书（Let's Encrypt 等）：浏览器也信任，绕过 Cloudflare 直连时网站照样能用。证书到期前要续期，certbot 或 acme.sh 可以自动完成，通配符也能通过 Cloudflare DNS API 申请。

如果你打算以后迁出 Cloudflare，或者排查问题时经常临时暂停代理，源站用 Let's Encrypt 这类公共证书更稳妥，切换时访客不会遇到证书错误；如果源站只允许 Cloudflare 回源、从不直连，用 Origin CA 更省事。

在源站上换成付费公共证书，对这两种方案都没有额外好处，除非源站还要被一些只认商业 CA 的客户端直接访问。

什么时候还需要付费证书

用 Cloudflare 时，只有下面三种情况还需要付费证书：

1. 要让访客看到 OV 或 EV 身份。 Cloudflare 托管的证书都是 DV。自定义证书面向想用自有证书的 Business 和 Enterprise 客户，Cloudflare 文档也把需要 OV、EV 列为使用场景；Free 和 Pro 套餐不能上传。我们核实到最便宜的 OV 是 GoGetSSL 的 Sectigo InstantSSL，$32.80；最便宜的 EV 是 Namecheap EV SSL，$76.99。上传的证书要你自己上传、自己续期。
2. 部分主机名只做 DNS 解析。 没开代理的主机名，比如邮件服务器，客户端会直接连到你的服务器，看到的是你自己的证书。用免费 ACME 证书即可，只有服务本身没法自动续期时才考虑付费证书。
3. 合同或审计要求边缘证书来自指定的商业 CA。

上传到 Cloudflare 的证书同样受有效期限制：2026 年 3 月 15 日起公网 TLS 证书单张最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费买“多年期”，就意味着要多次重签、多次重新上传到 Cloudflare。详见200 天上限之后还值得买多年期证书吗。

快速决定

大多数接入 Cloudflare 的网站在证书上不用花钱：

• 个人网站、博客、小企业官网接入 Cloudflare： Universal SSL，源站装 Origin CA 或 Let's Encrypt，模式选 Full (strict)，花费为零。
• 接入 Cloudflare 的网店或 SaaS，没人要求 OV/EV： 同上。
• 边缘必须展示 OV/EV： 升级 Business 或 Enterprise 套餐并上传自有证书，或者这个主机名不走 Cloudflare 代理。
• 不用 Cloudflare 代理： Cloudflare 的证书方案都不适用，见免费证书和付费证书的区别。