改 Nameserver 前先完整备份 DNS
迁移 DNS 前导出现有 A、AAAA、CNAME、MX、TXT 等记录，并确认邮件、验证和第三方服务依赖哪些值。DNS 切换本身并不复杂，但漏掉一条 MX、DKIM 或验证记录就可能影响邮件和外部服务。
橙云和灰云的区别，是流量是否经过 Cloudflare
A、AAAA 和用于 Web 流量的 CNAME 可以设置为 Proxied，让 HTTP/HTTPS 流量经过 Cloudflare；DNS-only 则只返回源站地址。邮件、验证类记录通常不应盲目代理。看到“橙云”之前先确认这条记录真的服务网页流量。
SSL/TLS 要同时看浏览器到 Cloudflare 和 Cloudflare 到源站
用户能打开 HTTPS，不代表回源配置一定合理。启用代理后还要确认源站证书、SSL/TLS 模式和重定向规则，避免循环跳转、521/525 等错误。正式切换前可先用测试子域验证。
缓存和安全规则应该逐步加，不要一次全开
先保证 DNS 与 HTTPS 稳定，再逐步增加缓存、WAF、速率限制或重写规则。每次只改少量配置，并记录变更时间；出现异常时才容易判断究竟是源站、DNS 还是 Cloudflare 规则造成。
什么时候只用 DNS，什么时候开启代理
网站和 Web API 通常可以评估使用代理；非 HTTP 服务、部分验证记录和某些第三方服务需要 DNS-only。Cloudflare 官方也明确区分可代理记录类型与适用场景，因此不要把“全部橙云”当最佳实践。
Cloudflare 的相关选择
上线前怎么判断 Cloudflare 配置是否合理
Cloudflare 最容易出问题的地方不是“不会开”，而是开了代理之后没有同步检查源站、缓存和真实 IP。改 DNS 前，先确认源站能直接访问、SSL 模式与源站证书匹配，并保留原 DNS 记录截图；这样一旦出现循环跳转、证书错误或回源失败，可以快速回退。
对静态站、博客和普通企业站，先把 DNS、HTTPS、基础缓存和安全规则跑稳，再逐步启用更激进的缓存或防护功能。不要一次同时改代理、重写、缓存规则和 WAF，否则出问题时很难判断是哪一层导致的。
如果站点依赖登录、购物车、个性化页面或 API，尤其要确认这些路径不会被错误缓存。上线后可以分别从不同网络访问首页、登录页、API 和静态资源，并查看响应头和 Cloudflare 分析数据，确认请求确实按预期走代理。
适合统一管理 DNS、代理、缓存和边缘安全；第一次接入时先备份 DNS，并分清只做 DNS 与开启代理的差别。