DNS 負責把網域名稱指向網站、電郵和其他服務。把 WordPress 網域交由 Cloudflare 管理，可以使用集中 DNS、代理保護和快取功能，但錯誤刪除紀錄可能令網站或電郵中斷。安全切換的重點是先盤點現有紀錄，再更改名稱伺服器，最後逐項驗證。
切換前匯出和記錄現有 DNS
登入目前網域或 DNS 供應商，匯出紀錄並截圖保存。除了網站常用的 A、AAAA 和 CNAME，也要記錄 MX、TXT、SRV、CAA 和子網域。公司信箱、驗證服務、網站建構器和第三方平台都可能依賴看似陌生的紀錄，不應在不了解用途時刪除。
把網域加入 Cloudflare
在 Cloudflare 新增網域後，系統會掃描公開 DNS 並匯入部分紀錄。掃描結果不是完整保證，必須與原有清單逐項比較。確認主網域、www、電郵、驗證和其他子網域都存在，再準備更改註冊商的名稱伺服器。
分清 A、AAAA 與 CNAME
A 紀錄把名稱指向 IPv4 地址，AAAA 則指向 IPv6；CNAME 把一個名稱別名指向另一個主機名稱。不要在主機未提供 IPv6 時自行建立 AAAA，否則部分訪客可能連到錯誤位置。www 常可使用 CNAME 指向主網域，但應依主機文件設定。
正確使用代理雲朵
啟用代理後，網站流量會先經過 Cloudflare，可使用 CDN、WAF 和隱藏來源 IP。網站的 HTTP/HTTPS 紀錄通常適合代理；MX、郵件主機、FTP、部分驗證和非支援連接埠則應保持純 DNS。若不確定，先查看服務商要求，不要把所有紀錄一次啟用代理。
保護來源主機 IP
代理只能隱藏經 Cloudflare 進入的流量。如果舊 DNS、電郵紀錄或其他子網域仍直接公開同一個來源 IP，攻擊者仍可能繞過 Cloudflare。檢查公開紀錄，並在主機防火牆只允許必要服務；但更新允許清單前要保留管理連線，避免把自己鎖在外面。
設定合適的 TTL
TTL 決定 DNS 回應可被快取多久。準備搬家或切換主機前，可提早降低 TTL，讓新地址較快生效；穩定後再調回合理值。使用 Cloudflare 代理的紀錄可能由平台自動管理 TTL，不需要為追求即時更新而頻繁修改。
更新名稱伺服器
到網域註冊商把原有名稱伺服器改為 Cloudflare 指定的兩個地址，必須逐字一致。更改後不要立即刪除舊供應商的 DNS 區域，先等待 Cloudflare 顯示啟用並完成驗證。名稱伺服器傳播期間，不同地區可能短暫取得不同回應。
檢查 DNSSEC 狀態
若原供應商已啟用 DNSSEC，切換名稱伺服器前應按 Cloudflare 指引處理舊 DS 紀錄。殘留錯誤的 DS 會令驗證失敗，網站在部分網絡完全無法解析。Cloudflare 啟用後可重新設定 DNSSEC，並把新的 DS 資料加入註冊商。
保留電郵所需紀錄
網站能開啟不代表電郵正常。確認 MX 指向正確郵件服務，並保留 SPF、DKIM、DMARC 和驗證 TXT。郵件主機名稱通常不應代理。切換後測試寄出、接收和回覆，並檢查郵件標頭的身份驗證結果。
設定 SSL 加密模式
來源主機應安裝有效憑證，Cloudflare 則使用會驗證來源憑證的完整模式。不要長期使用只加密訪客到 Cloudflare 的模式，因為平台到主機之間仍可能是未加密連線。啟用強制 HTTPS 前，先確認來源站的 HTTPS 能直接正常運作。
驗證主網域與 www 版本
分別測試 HTTP、HTTPS、主網域和 www，確認它們只經一次 301 到預定正式網址。檢查登入、表單、圖片、API、付款和後台。清除 DNS、Cloudflare 和網站快取後，再使用不同網絡或 DNS 查詢工具確認解析結果。
建立變更與還原紀錄
每次新增、刪除或修改 DNS，都記錄日期、原因、舊值和新值。重要變更先降低風險並安排低流量時段。保留註冊商、Cloudflare 和主機的獨立管理帳戶及雙重驗證，避免單一帳戶問題令整個網域無法管理。
結語
Cloudflare DNS 切換的安全次序是：完整盤點紀錄、核對匯入結果、更新名稱伺服器，再驗證網站、電郵、DNSSEC 和 HTTPS。只代理適合的網站流量，並保留變更紀錄，便能使用 Cloudflare 功能而不影響既有服務。
