# Cloudflare 免费 SSL 和付费证书怎么选

> Cloudflare 的 Universal SSL 免费且够大多数网站用。访客看到的是哪张证书、各加密模式怎么选、Origin CA 是什么，以及什么时候还要买付费 OV/EV。

Source: https://ssl.sh/zh/compare/cloudflare-ssl-vs-paid-certificate/
Last updated: 2026-11-10

网站流量走 Cloudflare 代理的话，大多数情况下**不需要买 SSL 证书**。Universal SSL 在所有套餐里都为已激活的域名免费签发公开受信任的 DV 证书，源站再装一张免费的 Origin CA 证书，回源这一段也能加密。只有三种情况值得付费：边缘要展示 OV 或 EV 身份（需 Business 或 Enterprise 套餐）；部分主机名不走代理；合同要求商业 CA。

关于 Cloudflare 的说法都来自其 2026 年 11 月的官方文档。付费证书价格于 2026 年 11 月 10 日在卖家官网核实，一切以商家结账页为准。

## 两段连接，两张证书

一个经过代理的请求有两段 TLS 连接：访客到 Cloudflare，Cloudflare 到你的源站。每一段用的是不同的证书。

| 连接 | 谁出示证书 | 免费方案 | 付费方案 |
|---|---|---|---|
| 访客 → Cloudflare | Cloudflare 边缘 | Universal SSL（所有套餐） | Advanced Certificate Manager 附加服务，或上传自有证书（Business/Enterprise） |
| Cloudflare → 源站 | 你的服务器 | Cloudflare Origin CA，或任意 ACME 证书 | 任意公共 CA 的证书 |

浏览器只会看到边缘证书。主机名开着代理时，你在源站上装一张 $76.99 的 EV 证书，访客也看不到。

## Universal SSL 免费给了什么

按 Cloudflare 文档，Universal SSL 为在 Cloudflare 上激活的域名免费签发并续期公开受信任的证书，Free、Pro、Business、Enterprise 套餐都有。证书是 DV，有效期 90 天，自动续期。完整 DNS 接入（NS 托管在 Cloudflare）时，覆盖主域名和一级子域名；`a.b.example.com` 这样的多级子域名需要 Total TLS 或付费的 Advanced Certificate Manager。签发 CA 由 Cloudflare 在 Let's Encrypt、Google Trust Services 和 SSL.com 之间选择。

和付费 DV 证书相比，Universal SSL 在访客能看到的方面没有差别：同样的锁，续期全自动。

## 选对加密模式

加密模式选 Full (strict)。Cloudflare 的 SSL/TLS 加密模式决定 Cloudflare 到源站这一段怎么连：

- **Off：** 完全不用 HTTPS。
- **Flexible：** 访客到 Cloudflare 用 HTTPS，Cloudflare 到源站用明文 HTTP。Cloudflare 建议尽可能升级源站配置。
- **Full：** 回源用 HTTPS，但不校验源站证书。
- **Full (strict)：** 回源用 HTTPS，并校验证书；证书可以来自公共 CA，也可以是 Cloudflare Origin CA。
- **Strict (SSL-Only Origin Pull)：** 不论访客用 HTTP 还是 HTTPS，Cloudflare 都用经过校验的 HTTPS 回源。

另外还有一个自动模式，会选择源站支持的最安全设置。Cloudflare 强烈推荐 Full 或 Full (strict)。和 Full 不同，Full (strict) 会校验源站证书，夹在 Cloudflare 和服务器之间的攻击者没法随便拿一张自己的证书冒充源站。有登录、表单的网站尤其不要用 Flexible，因为第二段的密码和表单数据是明文跨公网传输的。

国内很多站长用宝塔面板，开了 Cloudflare 后常见的做法是：在宝塔里给站点部署 Origin CA 证书或 Let's Encrypt 证书，再把 Cloudflare 的模式改成 Full (strict)。改模式之前先确认源站 443 端口能正常访问，否则 Cloudflare 回源会失败。

## Origin CA 和源站上的公共证书怎么选

两种免费方案都能配合 Full (strict)；公共 ACME 证书的好处是绕过 Cloudflare 时网站照样能用。两种方案：

- **Cloudflare Origin CA：** 所有套餐免费，一张证书最多 200 个名称，默认包含主域名和一级通配符，有效期自选；Cloudflare 发布时给出的范围是 7 天到 15 年。只有 Cloudflare 信任它，一旦暂停 Cloudflare 或把主机名改成“仅 DNS”，访客就会看到证书错误。Cloudflare 也不会发到期提醒，要自己记。安装方法见 [Cloudflare Origin 证书安装教程](https://ssl.sh/zh/guides/cloudflare-origin-certificate/)。
- **公共 ACME 证书**（Let's Encrypt 等）：浏览器也信任，绕过 Cloudflare 直连时网站照样能用。证书到期前要续期，certbot 或 acme.sh 可以自动完成，通配符也能通过 [Cloudflare DNS API](https://ssl.sh/zh/guides/certbot-dns-cloudflare-wildcard/) 申请。

如果你打算以后迁出 Cloudflare，或者排查问题时经常临时暂停代理，源站用 Let's Encrypt 这类公共证书更稳妥，切换时访客不会遇到证书错误；如果源站只允许 Cloudflare 回源、从不直连，用 Origin CA 更省事。

在源站上换成付费公共证书，对这两种方案都没有额外好处，除非源站还要被一些只认商业 CA 的客户端直接访问。

## 什么时候还需要付费证书

用 Cloudflare 时，只有下面三种情况还需要付费证书：

1. **要让访客看到 OV 或 EV 身份。** Cloudflare 托管的证书都是 DV。自定义证书面向想用自有证书的 Business 和 Enterprise 客户，Cloudflare 文档也把需要 OV、EV 列为使用场景；Free 和 Pro 套餐不能上传。我们核实到最便宜的 OV 是 GoGetSSL 的 [Sectigo InstantSSL](https://ssl.sh/zh/certificates/instantssl/)，$32.80；最便宜的 EV 是 [Namecheap EV SSL](https://ssl.sh/zh/certificates/namecheap-ev-ssl/)，$76.99。上传的证书要你自己上传、自己续期。
2. **部分主机名只做 DNS 解析。** 没开代理的主机名，比如邮件服务器，客户端会直接连到你的服务器，看到的是你自己的证书。用免费 ACME 证书即可，只有服务本身没法自动续期时才考虑付费证书。
3. **合同或审计要求边缘证书来自指定的商业 CA。**

上传到 Cloudflare 的证书同样受有效期限制：2026 年 3 月 15 日起公网 TLS 证书单张最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费买“多年期”，就意味着要多次重签、多次重新上传到 Cloudflare。详见[200 天上限之后还值得买多年期证书吗](https://ssl.sh/zh/compare/multi-year-ssl-after-200-days/)。

## 快速决定

大多数接入 Cloudflare 的网站在证书上不用花钱：

- **个人网站、博客、小企业官网接入 Cloudflare：** Universal SSL，源站装 Origin CA 或 Let's Encrypt，模式选 Full (strict)，花费为零。
- **接入 Cloudflare 的网店或 SaaS，没人要求 OV/EV：** 同上。
- **边缘必须展示 OV/EV：** 升级 Business 或 Enterprise 套餐并上传自有证书，或者这个主机名不走 Cloudflare 代理。
- **不用 Cloudflare 代理：** Cloudflare 的证书方案都不适用，见[免费证书和付费证书的区别](https://ssl.sh/zh/compare/free-vs-paid-ssl/)。