看着像做慈善，其实是台印钞机：Cloudflare 到底是家什么公司

一句话：Cloudflare 把一堆别人卖天价的东西（防攻击、加速网站）大量免费送，看着像做慈善，其实是一门算得极精的生意——它的全球网络早就铺好了，多接一个免费用户几乎不花钱，而这些免费用户又帮它变得更强、更好卖钱。真正赚钱靠的是付费订阅和企业大合同。

说明：本文写给对科技公司好奇、但不需要懂技术的读者。所有价格、日期、财务数字都经过多个来源交叉核实（Cloudflare 官方博客与新闻稿、美国证监会 SEC 财报、股价用两套独立日线数据比对），查证日期为 2026 年 7 月 18 日；凡官方口径本身不一致或无法证实的，文中都会明说。

0. 一个让人纳闷的公司

很多人对 Cloudflare（读作「克劳德flare」）的第一印象是：这公司好像很强，又好像在做慈善。

你注册一个个人网站，它免费帮你挡住黑客的攻击、免费帮你把网页加速到全球都打开得飞快——这些服务别的厂商开价能到每月几千甚至几万美元。它却眼睛都不眨地白送。可它又明显很有钱、很有底气：自己的服务器遍布全球几百个城市，手握大段 IP 地址（IP 地址就是每台联网设备在互联网上的「门牌号」），是纽约证券交易所上市公司，市值一度冲到近千亿美元。

一家把贵东西免费送的公司，钱从哪来？

这篇文章就从这个疑问出发，把 Cloudflare 讲透：它到底做什么、靠什么赚钱、从哪来、对手是谁、这些年股价经历过什么大风大浪。看完你会明白，它那套「免费」不是慈善，而是设计得极其精明的生意模型。

先记住这家公司给自己的定位——「连接云」（connectivity cloud）：你的网络流量一进它的网，就在同一个地方一次性完成「检查安全、拦截攻击、加速、就近送达」，不用像过去那样在一堆不同厂商的设备之间来回折腾。这句话是理解它一切产品的总纲。

1. 先搞懂它的底座：一张覆盖全球的网

Cloudflare 所有的产品，都跑在它自己的一张全球网络上。这张网是它最硬的家底，得先讲清楚。

这张网用了一个关键技术叫 Anycast（任播）：简单说，就是同一个 IP 地址（门牌号）在全世界几百个机房里「同时存在」。当用户访问时，网络会自动把请求交给离他最近的那个机房处理。好处有两个——快（就近应答，不用绕远路）和抗打（后面会讲，攻击流量会被分散到全球，单点打不垮）。

这张网现在有多大（以下为官方「网络页」和工程博客口径，查证于 2026-07）：

⚠️ 有个容易搞混的数字要说清楚：Cloudflare 财报里说它「服务 190 多个国家」的约 33.2 万付费客户——这是「客户遍布多少国家」，不是「机房建在多少国家」。前者（190+）远大于后者（约 120）。别把两者混为一谈。

有了这张网当底座，Cloudflare 把一大堆产品「叠」在上面，而且每台服务器上都跑着全部产品。这就是它的独门优势：流量从进来到出去，在同一台机器上顺手就做完了所有事。

2. 产品全景：它到底做哪些东西

Cloudflare 的产品可以分成五大板块。不用记全，感受一下「它把手伸得有多广」即可。

板块一 · 核心网络与性能（起家的老本行）

• CDN（内容分发网络）：把网站内容缓存（提前存一份副本）到离用户近的机房，让网页打开更快、也帮网站省带宽钱。这是它 2010 年起家的招牌。
• DNS 与 1.1.1.1：DNS 是把域名（如 example.com）翻译成 IP 门牌号的「电话簿」。2018 年 4 月 1 日，它推出面向所有人的免费公共 DNS「1.1.1.1」，主打快和隐私（不记录能认出你是谁的日志）。
• SSL/TLS：一键给网站加上 HTTPS 加密（网址前面那把小锁），防止流量在路上被偷看或篡改。
• Argo 智能路由、负载均衡、虚拟等候室（Waiting Room）：分别解决「走最快的路」「多台服务器分摊压力」「抢购时把人有序排队、别挤垮后台」等问题。

板块二 · 安全

• DDoS 防护：DDoS 是「分布式拒绝服务攻击」，即黑客用海量垃圾流量把网站冲垮。Cloudflare 在网络边缘自动清洗这类攻击，连免费版都不限量——这是它最招牌的能力。2025 年第四季度它扛下过一次创纪录的 31.4 Tbps（每秒 31.4 万亿比特）的攻击；到 2026 年 4 月，它对外宣布整张网的防御容量已超过 500 Tbps。
• WAF（Web 应用防火墙）：过滤恶意请求，拦截黑客常用的入侵手法。
• Bot 管理、Turnstile 验证码：前者用机器学习给每个访客打分，拦爬虫和刷单脚本；后者是隐形、不用点选拼图的验证码替代品，靠判断浏览器行为分辨真人，对所有网站免费。

板块三 · 企业上网安全（合称 Cloudflare One）

这一块是它 2018 年后的第二增长曲线，专门卖给企业，用来取代传统的「防火墙盒子 + VPN」。

这里要解释两个词：零信任（Zero Trust） 是一种安全理念——默认谁都不信任，每次访问都按身份重新验证；SASE（读作「sassy」，安全访问服务边缘）是把「网络连接」和「安全防护」打包成一朵云。Cloudflare One 里装着 Access（按身份放行访问）、Gateway（过滤员工上网）、WARP（设备加密隧道）、远程浏览器隔离、数据防泄漏等一整套工具。

板块四 · 开发者平台（近两年增长最快、AI 发力最猛）

这是给程序员用来「直接在 Cloudflare 的网上盖应用」的一整套积木：

• Workers：核心。它让程序员不用管服务器（业界叫 serverless，无服务器——你只写代码，平台自动就近运行、不用时不收钱），代码几乎零延迟地在全球启动。截至 2026 年第一季度，平台上的开发者已超过 550 万，光这一个季度就新增 100 万（而整个 2025 年才新增 150 万）——增速在加快。
• R2（对象存储）：存海量文件用的，最大卖点是「出站流量完全免费」。出站流量费（业界叫 egress，即数据从存储里「流出去」给用户时收的过路费）恰恰是竞争对手亚马逊 S3 最贵、最被人骂的一块。这一刀后面还会细说。
• D1、KV、Durable Objects、Queues、Vectorize、Hyperdrive、Workflows：各种数据库和后端积木，配合 Workers 用。
• AI 一条龙：Workers AI（在它的全球 GPU 上跑 AI 推理）、AI Gateway（统一管理 AI 调用）、AI Search、Agents SDK（搭 AI 智能体）、Sandbox（安全地执行 AI 生成的代码）。
• Containers（容器，2025 年 6 月 24 日公测）：补上 Workers 的一个短板——Workers 只能跑轻量代码，Containers 则能跑更重、任意语言的活儿（比如视频转码、需要完整 Linux 环境的工具）。

板块五 · 媒体与其它

视频（Stream）、图片（Images）、按成本价卖域名的 Registrar、隐私优先的网站分析等。其中 Registrar 按批发成本价卖域名、续费不涨价，本身几乎不赚钱——这叫「引流品」，目的是把用户圈进自己的生态。

3. 它靠什么赚钱：免费的生意经

回到开篇那个疑问。Cloudflare 的赚钱模型有一个专门的名字，叫 freemium（免费增值）+ land-and-expand（先落地、再扩张）。拆开看就三层意思：

第一，免费不是慈善，是「获客漏斗」。 海量的个人开发者、初创公司、爱好者用免费版进来，帮 Cloudflare 做了三件值钱的事：① 口碑传播（你现在读这篇文章，某种程度上就在帮它）；② 数据——巨量流量喂给它的安全系统，让付费客户买的防护更聪明；③ 议价权——流量越大，它跟全球运营商谈「免费对接」的筹码越硬。所以每个免费用户，其实都在悄悄增强它对付费客户的价值。

第二，它敢免费，是因为「多接一个用户几乎不花钱」。 这在经济学上叫边际成本（marginal cost，即多服务一个客户所增加的成本）趋近于零。它的全球网络是一次性铺好的固定成本；你的小博客走它的 CDN，占用的只是本来就闲置的带宽和算力，还常常被缓存挡在最前面、根本不回源。拦 DDoS 对它那套 Anycast 网络更是「顺手的事」。所以送得越多，护城河越深。

第三，钱主要从两个地方来： 一是自助付费的中小客户（信用卡自动扣的 Pro、Business 套餐），二是——也是大头——企业年度大合同（价格一单一议，一年几万到几百万美元）。

这套模型的实际成绩单如何？下面是经 SEC 财报核实的关键数字：

逐年收入（单位：美元）

连续多年保持约 30% 甚至更高的增速，2025 年增速不降反略升（AI 相关产品在拉动）。

一个关键的反常识：账面「亏损」，但现金却在大把流入

这里要澄清一个常被误解的点。按美国会计准则（业界叫 GAAP），Cloudflare 长期是账面亏损的（2025 年账面净亏约 1.02 亿美元）。但它的自由现金流（free cash flow，即赚到手、扣掉必要开支后能自由支配的真金白银）却是正的，而且越来越多：2025 年经营现金流 6.03 亿、自由现金流 2.61 亿美元（占收入 12%）。

为什么账面亏、现金却赚？两者之间最大的桥梁是股权激励——公司发股票给员工当报酬，这在账本上算「费用」，但公司并没真掏现金出去。剔除这类非现金费用后，它 2025 年其实是赚了 3.43 亿美元的。市场给它定价，看的正是「增长 + 现金流」，而不是账面那个亏损数字。

大客户越买越多（这是模型跑通的最强信号）

还有一个健康指标叫 DBNRR（金额净留存率），衡量「老客户第二年花的钱是多是少」——2025 年第四季度是 120%，意思是老客户群体明年会比今年多花两成。这就是「land-and-expand」在数字上的样子。

治理上有个特点：创始人牢牢掌权。 它用「双层股权」结构——公众买到的普通股 1 股 1 票，创始人手里的股 1 股 10 票。截至 2026 年 6 月，两位联合创始人合计掌握约一半的投票权，但经济上持股不到 15%。这是硅谷科技公司（谷歌、Meta 都这样）常见的「用小比例股份、锁住控制权」的打法。

4. 一路走来：从抓垃圾邮件到 AI 收费站

Cloudflare 的故事，是一个「小工具长成基础设施」的典型。

• 2004 年 · 起点：Matthew Prince 和 Lee Holloway 做了个叫 Project Honey Pot（蜜罐项目）的小工具，帮网站主追踪垃圾邮件是从哪被「收割」的。这成了日后 Cloudflare 的技术和理念种子。
• 2009 年 · 成立：Prince 在哈佛商学院读 MBA 时，把这个想法讲给同学 Michelle Zatlyn，两人加上 Holloway 一起，靠它赢了 2009 年哈佛商学院的商业计划大赛，同年 7 月 26 日公司正式成立。名字取自「云端的防火墙」。
• 2010 年 · 亮相：在著名的 TechCrunch Disrupt 创业大会上公开发布，拿了当届亚军。
• 2017–2019 · 往开发者和消费者延伸：推出 Workers（2017）、免费 DNS 1.1.1.1（2018）、手机加密工具 WARP（2019）。
• 2019 年 9 月 13 日 · 上市：以代码 NET 登陆纽约证券交易所，发行价每股 15 美元，募资约 5.25 亿美元，上市估值约 44 亿美元。
• 2020 年后 · 两条大腿：一条是企业安全（Cloudflare One），一条是开发者平台（R2、D1、Pages、Workers AI……）。这些年它还买了一串公司来补齐能力，比如邮件安全公司 Area 1（2022 年，约 1.57 亿美元）、AI 模型部署平台 Replicate（2025 年 12 月，约 5740 万美元）。
• 2024–2026 · 全面转向 AI：一边把开发者平台改造成「搭 AI 智能体的地方」，一边掀起了一场和 AI 公司的正面战争（下一节细说）。

5. 对手都是谁？（AWS 只是其中一条战线）

这是最多人好奇的问题。答案是：Cloudflare 没有单一对手，因为它横跨好几个行业，每条战线各有强敌。

说清楚它和亚马逊 AWS 的关系——既是伙伴，又是对手。

先说不冲突的一面：很多公司的后端跑在 AWS 上，前面套一层 Cloudflare 来挡攻击、加速。Cloudflare 不是那种自建巨型数据中心、什么算力都卖的「超大规模云厂商」，它是站在你应用前面的那一层。两家常常同时被一家公司用着。

再说冲突的一面：Cloudflare 用 R2（对标 S3）、Workers（对标 Lambda）越来越直接地侵入 AWS 的地盘。它最狠的一招就是前面提过的「出站流量零收费」——

存 10TB 数据、每月往外送 10TB：亚马逊 S3 光「出站费」一项约 900 美元/月，Cloudflare R2 是 0。（均为 2026 年官方定价；S3 存储 $0.023/GB、出站首 10TB $0.09/GB，R2 存储 $0.015/GB、出站免费。）

Cloudflare 一直公开炮轰 AWS 的出站费是「把客户锁住的手段」（它 2021 年那篇博客标题直接叫《AWS 的过分出站费》）。它甚至拉了一个「带宽联盟」，联盟里十几家云厂商为共同客户免掉出站费，唯独AWS 拒绝加入、坚持全额收费。当然，这套说辞 Cloudflare 自己有商业动机，但事实陈述是准确的：出站费确实是 S3 最被诟病的地方。

需要补一句公平话：论功能的全面和生态的丰富，S3 仍是老大，R2 赢在价格。这是两家不同的取舍。

6. AI 时代的新战线：向 AI 爬虫「收过路费」

2024 到 2025 年，Cloudflare 打了一场引发全行业关注的仗，直接关系到「AI 时代内容还值不值钱」。这条线很新、也很重要，单独讲。

背景：AI 公司要训练大模型、要让 AI 实时回答问题，就得派「爬虫」（自动抓网页内容的程序）去互联网上大量抓取。可内容是网站辛苦生产的，AI 抓走、变现，却几乎不给网站带来访问量回报（Cloudflare 称 AI 平台的引流比传统搜索最多少 750 倍）。这让内容方很不满。

Cloudflare 手握「两成互联网网站都从我这过」的位置，顺势做了三步：

1. 2024 年 7 月 3 日 · 一键封锁：给所有客户（含免费版）一个开关，一点就能挡住所有已知 AI 爬虫。后来官方称超过 100 万客户打开了它。
2. 2025 年 7 月 1 日 · 默认封锁：它办了个叫「内容独立日」的倡议，宣布成为第一家「默认就替新网站挡住 AI 爬虫」的互联网基础设施公司——除非网站主动允许。
3. 同日 · Pay Per Crawl（按抓取付费）：推出一套让网站向 AI 爬虫收费的机制。技术上很巧妙：爬虫来抓收费内容时，服务器回一个 HTTP 402（「需要付费」的状态码，这个码在网络协议里被预留了几十年，一直没派上用场，这次终于被启用），爬虫同意付钱才放行。网站可自定价，最低每次抓取 0.01 美元，Cloudflare 当「收银台」。这被定位成未来「内容方和 AI 公司做交易的市场」的雏形。

CEO Matthew Prince 把这件事的立场讲得很高：「互联网若要在 AI 时代存续，就必须把应有的控制权还给内容出版方，并建立一个对所有人都有效的新经济模型。」

一场标志性冲突：2025 年 8 月 4 日，Cloudflare 公开点名指控 AI 搜索公司 Perplexity 用「隐身爬虫」绕过封锁——被拦后就伪装成普通浏览器（假冒 Mac 版 Chrome）、不断更换 IP、无视网站的「禁止抓取」规则，涉及数万个网站、每天数百万次请求。Cloudflare 随即把 Perplexity 从「可信爬虫」名单里除名并加以拦截。Perplexity 则反驳说这是 Cloudflare 的「带货式推销」，还辩称自己是「用户驱动的智能体、不该受抓取规则约束」。这场口水战，本质是「AI 时代谁来给内容看门、内容该不该收费」的路线之争——而 Cloudflare 借此把自己立成了「内容创作者的守门人」。

7. 影响股价的大事件

Cloudflare 上市至今，股价坐过一轮惊心动魄的过山车。先看整体轨迹，再拆关键事件。要点：真正大幅推动股价的是财报和业绩指引；而宕机、内容审核争议主要冲击的是「声誉」，不是股价。（以下股价均为未拆股的原始价格，NET 上市至今从未拆股。）

• 2019-09-13 上市：发行价 15 美元，首日收涨约 20%。
• 上市后最低：2019 年 10 月 21 日盘中触及 14.50 美元（一度跌破发行价）。
• 2020–2021 大涨：疫情期间成长股狂潮，把它从低点推高近 10 倍，2021 年 11 月 18 日见顶：当天盘中最高 221.64 美元、收盘 217.25 美元（都是历史新高）。
• 2022 大跌：美联储加息「杀估值」，从约 200 美元一路跌到约 40 美元（跌约 80%）。注意：这是宏观利率环境导致的估值重定价，不是公司基本面崩了。
• 2024-02-08 财报大涨：2023 年第四季度财报超预期，盘后暴涨约 21%，该财年成为它首个年收入破 10 亿美元的年份。
• 2025–2026 靠 AI 叙事重回新高：2025 年内高点约 260 美元；截至 2026 年 7 月，历史新高刷到 2026 年 7 月 15 日盘中的 291 美元（就在本文查证前三天）。

几次典型的「财报推动股价」

• 2023-04-27（利空）：当季业绩其实不差，但公司下调了全年收入指引（因为大环境不确定、销售周期拉长），股价当天跌约 20%。指引一改，市场就用脚投票。
• 2026-05-07（利空）：财报超预期（当季收入 6.40 亿美元、同比 +34%），但同时宣布全球裁员 1,100 人以上（约占员工两成，是它 16 年来首次大裁员），转向「AI 优先」的运营模式。市场担心裁掉两成人后还能不能维持增长，股价当天跌约 24%。（不过到 7 月它又靠 AI 叙事创了新高——可见市场情绪转得有多快。）

几次著名的「宕机」（冲击可靠性口碑）

Cloudflare 挡在两成互联网前面，它一打喷嚏，小半个网都感冒。历史上几次大宕机几乎都是自己配置改错，而非被攻击：

• 2019-07-02：一条新上线的防火墙规则里有个「灾难性回溯」的正则表达式，把全球 CPU 打满，网站报错约 27 分钟（当时还没上市）。
• 2022-06-21：一次网络路由配置代码写错，19 个核心机房掉线——这 19 个点只占约 4% 的节点，却承载着约一半的请求。
• 2023-11-02 至 11-04：一个第三方机房断电（变压器、备用电池、断路器接连出问题），导致控制台/接口瘫痪，修了约两天。
• 2025-11-18（上市以来最严重）：一次数据库权限改动，让机器人管理用的一个「特征文件」体积意外翻倍，超出了程序里写死的上限，导致核心软件崩溃，全球大量网站冒出 Cloudflare 的报错页。X（推特）、ChatGPT、Claude、Shopify、Coinbase 等都受波及，连「宕机监测网站」自己都挂了。它一开始怀疑是被攻击，最后查明是内部配置故障。主故障约 3 小时、全部恢复约 5.75 小时。（网上流传「影响 24 亿用户」的说法查无可信来源——那是把各大平台的月活人数简单相加得出的，重复计人、且月活不等于真受影响人数，不足采信。）

安全事件与内容审核争议

• 2023 年感恩节安全事件（2024 年 2 月披露）：黑客利用另一家公司 Okta 泄露、而 Cloudflare 误以为没用过、因此没及时更换的一批凭证，入侵了它内部的文档系统，翻看了约 120 个代码库。但它自家的「零信任」防线挡住了客户数据——没有任何客户数据被访问。这反而成了它零信任理念的一次实战背书。
• 内容审核争议：Cloudflare 曾三次在巨大压力下切断对极端网站的服务——新纳粹网站 Daily Stormer（2017）、恶性枪击案凶手发帖的 8chan（2019，就在上市前几周，还被写进了招股书的风险提示）、针对跨性别人士的骚扰论坛 Kiwi Farms（2022）。每一次都掀起「一家管着互联网底层管道的公司，到底该不该、有没有权力做内容审查」的大辩论。这些主要影响声誉与公共形象，对股价没有明确冲击。

补充一句：检索未发现有知名做空机构专门发报告狙击 Cloudflare。市场上的看空声音，主要是基于「估值太高」的谨慎，而非「公司有假」的指控。

8. 结语：一句话看懂 Cloudflare

回到开头那个疑问——它不是做慈善。

Cloudflare 是把「一张极低边际成本的全球网络」+「免费获客漏斗」+「多产品交叉销售」组合成的一台高毛利印钞机。 免费的东西越强，它的网络效应护城河越深，付费转化的势能越大。

• 对普通网站，它是免费又好用的保安 + 加速器；
• 对企业，它是能省下一堆设备和专线的安全与网络平台；
• 对程序员，它是不用管服务器就能全球上线的开发平台；
• 对 AWS，它是站在你应用前面、正一点点向下侵入你算力与存储地盘的挑战者，手里握着「出站费零收费」这把破城锤；
• 对整个互联网，它正试图在 AI 时代给自己安一个新身份——内容与 AI 之间的收费关口。

它的风险也很清楚：账面长期亏损、靠增长和现金流撑起近千亿估值，是一支「利率一动就大起大落」的高波动成长股；它挡在两成互联网前面，一旦自己配置出错，就是一次全球级别的宕机。但只要那张网还在变大、大客户还在越买越多，这台印钞机的故事就还在继续。

数据来源与查证：本文事实经多来源交叉核实，主要一手来源包括 Cloudflare 官方网站与工程博客、官方新闻稿、美国证监会（SEC）10-K 年报与季度财报电话会逐字稿；股价极值用 Yahoo Finance 与 stockanalysis.com 两套独立日线数据逐日比对。查证日期：2026 年 7 月 18 日。凡官方口径本身存在不一致（如「有机房的国家数」在 100+ 到 125+ 之间）或无可信来源证实（如某次宕机「影响 24 亿用户」）的说法，文中已明确标注，不作定论。