在 Cloudflare 的 DNS 紀錄列表裡，有些雲朵是橘色，有些是灰色。網站既然已經使用 Cloudflare，是不是全部改成橘色，就能得到更完整的保護？
要先看每筆紀錄的用途。用來開啟網站的網址、郵件伺服器的位址，以及第三方服務用來驗證網域的紀錄，並不適用同一種設定。
橘色雲朵代表開啟代理（Proxied），灰色雲朵代表僅使用 DNS（DNS only）。主要差別在於，該網址的網頁流量是否經過 Cloudflare。
橘色與灰色雲朵，改變的是連線方式
DNS 負責提供網址對應的連線資訊。當網域交由 Cloudflare 管理 DNS 時，灰色雲朵仍然使用 Cloudflare 的 DNS 服務，不代表停用了 Cloudflare，也不代表紀錄失效。
兩者的差異可以這樣看：
| 比較項目 | 橘色雲朵：Proxied | 灰色雲朵：DNS only |
|---|---|---|
| DNS 查詢結果 | 對外回應 Cloudflare 的 IP | 依紀錄解析至原本的主機或服務 |
| 網頁連線 | 訪客先連到 Cloudflare，再由 Cloudflare 取得或回應內容 | 訪客依 DNS 結果連到原本的主機或服務 |
| Cloudflare 網頁防護與規則 | 可套用相應的防護、快取及流量規則 | 該連線不經過這筆紀錄的 Cloudflare 網頁代理 |
| 主機 IP | 這筆紀錄的查詢不直接顯示來源主機 IP | 可能查到來源主機 IP |
這裡說的「主機」，是原本存放網站的來源伺服器。開啟代理不等於把 WordPress 搬到 Cloudflare，網站程式與資料庫仍在原本的主機上。
代理設定也是按網址分別判斷。主網域開橘色雲朵，不代表另一個郵件或測試用子網域也會自動使用相同設定。
哪些紀錄通常適合開橘色雲朵？
一般透過 HTTP 或 HTTPS 提供內容的網站，在主機與平台支援、設定正確的情況下，通常適合開啟代理。例如：
- 正式網站的主網域，如
example.com。 - 網站使用的
www.example.com。 - 用來提供網頁內容的子網域，如
blog.example.com。
橘色雲朵可以讓這些流量使用 Cloudflare 的相關防護與效能功能。實際有哪些功能、如何運作，仍取決於方案及規則設定。
但開啟代理前，來源主機仍要能正常回應請求。錯誤的主機位址、失效的憑證或原本就故障的 WordPress，不會因為雲朵變成橘色就自動修復。
另外，不是所有 DNS 類型都能開代理。 Cloudflare 一般的網頁代理適用於提供 HTTP／HTTPS 服務的 A、AAAA 與 CNAME 紀錄；MX、TXT 等紀錄本身不能開成橘色雲朵。
什麼時候應該保留灰色雲朵？
郵件伺服器與寄信相關連線
如果 mail.example.com 是郵件軟體用來收信、寄信的伺服器位址，相關 A 或 AAAA 紀錄應保留 DNS only，讓郵件連線到真正的郵件伺服器。
一般橘色雲朵是網頁代理，不能把它當作 SMTP、IMAP 或 POP3 的通用代理。誤開後，郵件軟體可能連到 Cloudflare 的 IP，造成收發信連線失敗。
MX 紀錄本身沒有代理開關；需要檢查的是它指向的郵件伺服器名稱，以及該名稱相關的紀錄。 SPF 等 TXT 紀錄也不需要切換雲朵。若郵件服務商提供 DKIM 等 CNAME 紀錄，則依其說明保留 DNS only。
不要只看名稱有沒有 mail 就決定用途。例如，瀏覽器開啟的 Webmail 頁面與郵件軟體使用的郵件連線，是兩種不同服務。應確認服務商的設定要求；網站與郵件若共用名稱，也應先釐清配置，避免影響另一種服務。
第三方服務的網域驗證紀錄
串接第三方平台時，服務商可能要求新增 CNAME 或 TXT，用來確認你擁有該網域。
TXT 紀錄不能開代理；如果是驗證用的 CNAME，通常應維持 DNS only。因為代理會改變對外查詢結果，服務商可能無法辨認它要求的驗證目標。
也不要認為驗證通過後就可以一律改成橘色。有些服務會持續檢查 DNS，或利用紀錄完成憑證驗證，應以服務商文件為準。
第三方網站平台要求 DNS only
有些網站並非放在一般 WordPress 主機，而是由第三方建站平台或託管服務提供。這些平台可能已有自己的 CDN、憑證及網域綁定機制。
如果平台沒有明確支援 Cloudflare 代理，或設定文件要求 DNS only，就應保留灰色雲朵。否則可能出現憑證、重新導向或網域綁定問題。
CNAME 不代表一定不能代理，也不代表一定可以代理。 指向網站主機的 CNAME 與驗證用 CNAME，雖然紀錄類型相同，用途卻不同。
FTP、SSH 或不支援的連接埠
FTP 是檔案傳輸服務，SSH 是遠端管理伺服器的連線方式，這些不是一般的 HTTP／HTTPS 網頁流量。
若相關名稱用來直接連線至這類服務，通常應保留 DNS only。即使網址能填入 Cloudflare，也不代表橘色雲朵可以代理所有連線。
網頁服務也有連接埠限制。Cloudflare 的一般代理除了常見的 80、443，也支援部分其他 HTTP／HTTPS 連接埠；不能把所有自訂連接埠都視為可用。若使用特殊服務，先核對官方支援範圍或服務商說明。
本篇談的是 DNS 列表中的一般網頁代理。Cloudflare Tunnel、Spectrum 等其他產品有各自的設定方式，不能直接套用這個開關的判斷。
開了橘色雲朵，不代表 SSL 與快取都設定好了
HTTPS 要確認兩段連線
開啟代理後，HTTPS 涉及「訪客與 Cloudflare」以及「Cloudflare 與來源主機」兩段連線。
來源主機有有效且符合網域的憑證時，通常應使用 Full (strict) 模式，讓 Cloudflare 與主機之間也以 HTTPS 連線並驗證憑證。不能只看到瀏覽器顯示 HTTPS，就認為來源主機端一定設定正確。
Flexible 模式則可能讓 Cloudflare 以 HTTP 連到主機。若主機又強制轉向 HTTPS，可能造成重複重新導向。因此，網站開啟代理後出現轉址循環，應一起檢查 SSL 模式與來源主機的設定，而不是反覆切換雲朵。
切回灰色也要確認憑證。如果主機只有 Cloudflare Origin CA 憑證，它適合供 Cloudflare 驗證，並非一般瀏覽器直接信任的憑證；停用代理後，訪客直接連線就可能看到憑證警告。
網頁流量經過 Cloudflare，不等於每個頁面都有快取
橘色雲朵讓流量經過 Cloudflare，但是否快取，要看檔案類型、回應標頭與規則。
Cloudflare 預設不快取一般 HTML 或 JSON。因此，WordPress 頁面沒有自動全部變成 Cloudflare 的頁面快取，是可能的正常情況。若另外使用快取規則或相關整合，行為才可能不同。
登入、購物車與個人資料等內容需要依使用者變動，規劃快取時應確認排除條件。不要為了讓網站變快，就把所有頁面一律設為快取。
不確定要開哪一種時，先查用途，再調整
在修改雲朵前，可以按這個順序確認：
- 確認紀錄服務的對象。 它是正式網站、郵件連線、網域驗證，還是另一個系統？不要只看紀錄類型或名稱猜用途。
- 查看主機或平台的要求。 確認是否支援 Cloudflare 代理、是否要求 DNS only，以及來源主機的 HTTPS 是否準備好。
- 記錄原本設定，一次調整一個項目。 留下紀錄名稱、目標與原本代理狀態，不要把整份 DNS 列表一起改色。
- 等待變更生效，再測對應功能。 網站紀錄測前台、登入與表單；郵件紀錄測收發信；驗證紀錄回平台重新確認。DNS 快取可能讓不同網路暫時看到不同結果。
如果是在排查代理相關錯誤，暫時切成 DNS only 有時能協助比較。但前提是來源主機允許直接連線，且有瀏覽器信任的有效憑證；不能把切灰色當作所有網站都適用的修復方式。
Cloudflare 的雲朵顏色，應配合每個網址實際提供的服務。一般網站在支援條件下可以使用代理；郵件、驗證與不相容的服務則需要直接解析。先弄清楚用途，再開啟合適的功能，才能避免一個開關影響其他服務。