Cloudflare 建議啟用的功能 - 2026

1

以下是建議必須啟用的 Cloudflare 功能清單：

DNS & 網路基礎

  1. Proxy 模式（橘雲） — 所有生產環境域名都應開啟 proxy，隱藏 origin IP
  2. DNSSEC — 防止 DNS 劫持，所有域名都該啟用
  3. CNAME Flattening — root domain 指向 Vercel/其他平台時必備

效能優化

  1. Auto Minify（HTML/CSS/JS） — 基本壓縮
  2. Brotli 壓縮 — 比 gzip 更高壓縮率
  3. Early Hints (103) — 預載關鍵資源，改善 LCP
  4. HTTP/2 & HTTP/3 (QUIC) — 現代協議加速
  5. Rocket Loader — 延遲載入 JS，改善首次渲染（注意：headless 架構需測試相容性）
  6. Polish（Pro 以上） — 圖片自動壓縮
  7. Mirage（Pro 以上） — 行動裝置圖片延遲載入
  8. Tiered Caching / Argo Smart Routing（付費） — 減少 origin 回源次數與延遲

安全防護

  1. WAF Managed Rules — 開啟 Cloudflare 託管規則集與 OWASP 規則集
  2. Bot Fight Mode / Super Bot Fight Mode — 阻擋惡意爬蟲（需搭配 AI crawler 白名單使用）
  3. SSL/TLS 模式設為 Full (Strict) — 端到端加密，避免 mixed content
  4. Always Use HTTPS — 強制 HTTPS 重導向
  5. HSTS（HTTP Strict Transport Security） — 在 SSL/TLS → Edge Certificates 啟用
  6. Hotlink Protection — 防止圖片被外站盜連
  7. Email Address Obfuscation — 防止信箱被爬蟲抓取
  8. Browser Integrity Check — 過濾異常 user-agent

AI Crawler 管理（你們的 GEO/AEO 策略關鍵）

  1. AI Crawl Control（Security → Bots） — 精細控制 AI 爬蟲存取：
    • :white_check_mark: 允許：GPTBot、ClaudeBot、PerplexityBot、Googlebot、Applebot
    • :cross_mark: 封鎖：Bytespider、CCBot、GPTBot-training（僅訓練用途的）

Cloudflare Workers & Pages

  1. Workers Routes — 綁定 Ghost CMS proxy、robots.txt 注入、重導向邏輯
  2. Workers KV — 快取 ERP 查詢結果、SEO redirect map
  3. Cron Triggers — 排程任務（快取清除、資料同步）

快取策略

  1. Cache Rules（取代舊版 Page Rules） — 針對不同路徑設定快取策略：
    • 靜態資產：Cache-Control: public, max-age=31536000, immutable
    • HTML 頁面：依架構需求設短 TTL 或 bypass
    • API 路徑：bypass cache
  2. Custom Cache Keys — headless 架構下依 device type 或 cookie 區分快取
  3. Purge by Prefix / Tag — Shopify 更新商品時精準清快取

Redirect & Header 管理

  1. Redirect Rules — www → non-www、舊路徑 301 重導向
  2. Transform Rules（Modify Response Headers） — 注入安全 headers：
    • X-Content-Type-Options: nosniff
    • X-Frame-Options: SAMEORIGIN
    • Referrer-Policy: strict-origin-when-cross-origin
    • Permissions-Policy

可觀測性

  1. Web Analytics（免費） — 隱私友善的流量分析，補充 GA4
  2. Logpush（Enterprise 或搭配 Workers） — 將 access log 推送到外部分析

其他建議

  1. Zaraz — 第三方腳本管理（GA4、GTM、Meta Pixel），在 edge 執行，減少 client-side JS 負擔
  2. Turnstile — 取代 reCAPTCHA 的隱私友善驗證，適合表單防濫用
  3. Waiting Room（Business 以上） — 限時搶購活動（ALUXE、JOY COLORi 適用）

優先順序建議： 先確認 SSL Full Strict + DNSSEC + WAF + AI Crawl Control + Cache Rules 這五項到位，再逐步啟用效能與進階功能。Zaraz 特別值得優先導入，可以直接取代 GTM 在 client-side 的效能負擔。