盗版站躲在 Cloudflare 后面,怎么找出真实主机商并向它发 DMCA

先搞清楚:Cloudflare 是中间层,不是终点

很多创作者对着盗版站做 WHOIS 一查,看到一堆 Cloudflare 的 IP 和名字,就以为「主机商是 Cloudflare」。不是。Cloudflare 是 CDN 和反向代理:它站在真实服务器前面,替网站挡流量、藏源站 IP、加速访问。真正存放盗版文件的那台服务器(源站,origin host)另有其人,可能在某个海外主机商、某个 VPS 商那里。

这层区分很关键,因为它决定你该向谁发 DMCA。Cloudflare 的政策是:它自己不是内容的存储方,一般不会因为一封 DMCA 就删掉某个页面(它没法删——文件不在它手上)。它做的是把你的投诉转交给真实主机商,并在回执里告诉你那家主机商是谁。所以对你来说,Cloudflare 的价值不在「让它删」,而在「让它帮你找出该发信的对象」。

顺带说一句:盗版站叠 Cloudflare,和盗版站不停换域名,是两个不同的问题。前者是藏 host(本篇),后者是换壳——今天封了明天用新域名照抄一份镜像。换域名这套请看 镜像站与「打地鼠」怎么持续对付,这里不重复。

怎么查出背后的真实主机商(方法与现实局限)

最省事、对普通创作者最可靠的一条路,其实是 Cloudflare 自己:你向它提交侵权投诉后,它的自动回执通常会列出它转交给了哪家主机商、以及该主机商的 abuse 联系方式。也就是说,很多时候你不必自己「破解」,提交一次投诉就顺手拿到了真实 host。这是下一节的重点。

如果你想自己先摸清楚,几条常用线索:一是历史 DNS 记录——网站接入 Cloudflare 之前往往直接暴露过源站 IP,ViewDNS、SecurityTrails 这类工具能查到它搬进 Cloudflare 前的 A 记录;二是证书透明度日志(crt.sh),搜域名有时能看到它签发证书时留下的关联;三是没走代理的子域名,比如邮件相关记录(MX)、cpanel、ftp 这类子域常常直连源站,一查就露 IP;四是站点发出的邮件头(如果它给你发过通知信),里面可能带真实发信服务器。

现实局限要说清楚:上面这些对「配置马虎」的盗版站有效,但对故意藏得深的站基本无效——源站从一开始就只允许 Cloudflare 的 IP 连接、从不暴露、也不发邮件,你怎么查都是一堵墙。别在自己查 IP 上耗太久。对绝大多数创作者,正解是走 Cloudflare 投诉让它转交,而不是当侦探。想系统地做源头追踪,见 追踪盗版源头。

Cloudflare abuse 表单怎么填、提交后会发生什么

Cloudflare 有专门的滥用举报入口(见文末参考来源)。选版权/DMCA 类别,你通常需要填:被侵权作品的说明和你拥有权利的证明、盗版页面的完整 URL(精确到那一页,不要只给首页)、你的联系方式,以及 DMCA 通知要求的那句「善意声明」和「据实声明」并附电子签名。基本盘和你自己写一封标准下架通知是一样的,细节看 自己写 DMCA 下架通知。另外注意:Cloudflare 一般只受理表单提交,邮件通知通常不处理。

提交后会发生的事:Cloudflare 一般不删内容,而是(1)把你的完整通知转交给真实主机商,(2)给你一封回执,里面往往就写明了它转交给了哪家 host。拿到这封回执,你就有了下一步要发信的对象——这正是「穿透到 host 层」的关键动作。要说清楚的是:只有当盗版内容恰好放在 Cloudflare 自己的托管服务(Pages、Workers、Stream 等)上时,它才作为主机商本身处理、可能直接移除;对纯 CDN 缓存,Cloudflare 通常不会因为一封通知就清缓存,除非源站已经先删了内容、或你提供法院命令(§512(b))。所以别指望向 Cloudflare 投诉就能让页面消失,它的作用是帮你找到并施压真正的 host。

隐私提醒:DMCA 通知里的联系人信息可能被转交、甚至被网站运营者看到。华语成人内容创作者尤其要避免用真名直接对着盗版站发信。用品牌/代理身份、艺名和可控地址来发,做法见 匿名发 DMCA。填 Cloudflare 表单时同样按这个原则,别在表单里暴露你不想暴露的真实身分。

拿到真实 host 后怎么发下架,打不穿又该怎么办

一旦从回执或自查确认了真实主机商,就直接向那家 host 的 abuse / DMCA 邮箱发正式通知——这一步才是真正能让文件消失的一步,因为文件在它的服务器上。通知内容沿用标准 DMCA 结构,把 Cloudflare 那封的内容复用即可。合规的主机商收到后一般会通知站主删除或直接下线。

如果真实主机商在海外、且对 DMCA 无动于衷(有些离岸主机商就是靠「抗投诉」招揽盗版客户),别硬耗在它身上。这类升级路径——找上游供应商、注册商、支付/CDN 层层施压——见 离岸主机商升级施压。

还有一条永远值得并行做的:就算源站一时下不掉,也要让盗版页面从搜索结果里消失。向 Google、Bing 提交去索引请求,能把大部分靠搜索引流的伤害掐掉,做法见 让 Google 移除盗版结果 和 Bing / DuckDuckGo 去索引。搜不到,盗版站的流量就断了一大半——这往往比死磕源站更快见效。

诚实说:这是持续对抗,不是一键清零。同一批盗版内容可能在 host 下线后换个主机、换个域名再冒出来。把「查 host—发信—去索引」这套流程做成可重复的动作,配合监控复发,比追求一次性根除更实际。