盜版站躲在 Cloudflare 後面,怎麼找出真實主機商並向它發 DMCA

先搞清楚:Cloudflare 是中間層,不是終點

很多創作者對著盜版站做 WHOIS 一查,看到一堆 Cloudflare 的 IP 和名字,就以為「主機商是 Cloudflare」。不是。Cloudflare 是 CDN 和反向代理:它站在真實伺服器前面,替網站擋流量、藏源站 IP、加速訪問。真正存放盜版檔案的那臺伺服器(源站,origin host)另有其人,可能在某個海外主機商、某個 VPS 商那裡。

這層區分很關鍵,因為它決定你該向誰發 DMCA。Cloudflare 的政策是:它自己不是內容的儲存方,一般不會因為一封 DMCA 就刪掉某個頁面(它沒法刪——檔案不在它手上)。它做的是把你的投訴轉交給真實主機商,並在回執裡告訴你那家主機商是誰。所以對你來說,Cloudflare 的價值不在「讓它刪」,而在「讓它幫你找出該發信的對象」。

順帶說一句:盜版站疊 Cloudflare,和盜版站不停換域名,是兩個不同的問題。前者是藏 host(本篇),後者是換殼——今天封了明天用新域名照抄一份鏡像。換域名這套請看 鏡像站與「打地鼠」怎麼持續對付,這裡不重複。

怎麼查出背後的真實主機商(方法與現實侷限)

最省事、對普通創作者最可靠的一條路,其實是 Cloudflare 自己:你向它提交侵權投訴後,它的自動回執通常會列出它轉交給了哪家主機商、以及該主機商的 abuse 聯絡方式。也就是說,很多時候你不必自己「破解」,提交一次投訴就順手拿到了真實 host。這是下一節的重點。

如果你想自己先摸清楚,幾條常用線索:一是歷史 DNS 記錄——網站接入 Cloudflare 之前往往直接暴露過源站 IP,ViewDNS、SecurityTrails 這類工具能查到它搬進 Cloudflare 前的 A 記錄;二是證書透明度日誌(crt.sh),搜域名有時能看到它簽發證書時留下的關聯;三是沒走代理的子域名,比如郵件相關記錄(MX)、cpanel、ftp 這類子域常常直連源站,一查就露 IP;四是站點發出的郵件頭(如果它給你發過通知信),裡面可能帶真實發信伺服器。

現實侷限要說清楚:上面這些對「配置馬虎」的盜版站有效,但對故意藏得深的站基本無效——源站從一開始就只允許 Cloudflare 的 IP 連線、從不暴露、也不發郵件,你怎麼查都是一堵牆。別在自己查 IP 上耗太久。對絕大多數創作者,正解是走 Cloudflare 投訴讓它轉交,而不是當偵探。想系統地做源頭追蹤,見 追蹤盜版源頭。

Cloudflare abuse 表單怎麼填、提交後會發生什麼

Cloudflare 有專門的濫用舉報入口(見文末參考來源)。選版權/DMCA 類別,你通常需要填:被侵權作品的說明和你擁有權利的證明、盜版頁面的完整 URL(精確到那一頁,不要只給首頁)、你的聯絡方式,以及 DMCA 通知要求的那句「善意宣告」和「據實宣告」並附電子簽名。基本盤和你自己寫一封標準下架通知是一樣的,細節看 自己寫 DMCA 下架通知。另外注意:Cloudflare 一般只受理表單提交,郵件通知通常不處理。

提交後會發生的事:Cloudflare 一般不刪內容,而是(1)把你的完整通知轉交給真實主機商,(2)給你一封回執,裡面往往就寫明瞭它轉交給了哪家 host。拿到這封回執,你就有了下一步要發信的對象——這正是「穿透到 host 層」的關鍵動作。要說清楚的是:只有當盜版內容恰好放在 Cloudflare 自己的託管服務(Pages、Workers、Stream 等)上時,它才作為主機商本身處理、可能直接移除;對純 CDN 快取,Cloudflare 通常不會因為一封通知就清快取,除非源站已經先刪了內容、或你提供法院命令(§512(b))。所以別指望向 Cloudflare 投訴就能讓頁面消失,它的作用是幫你找到並施壓真正的 host。

隱私提醒:DMCA 通知裡的聯絡人資訊可能被轉交、甚至被網站運營者看到。華語成人內容創作者尤其要避免用真名直接對著盜版站發信。用品牌/代理身分、藝名和可控地址來發,做法見 匿名發 DMCA。填 Cloudflare 表單時同樣按這個原則,別在表單裡暴露你不想暴露的真實身分。

拿到真實 host 後怎麼發下架,打不穿又該怎麼辦

一旦從回執或自查確認了真實主機商,就直接向那家 host 的 abuse / DMCA 信箱發正式通知——這一步才是真正能讓檔案消失的一步,因為檔案在它的伺服器上。通知內容沿用標準 DMCA 結構,把 Cloudflare 那封的內容複用即可。合規的主機商收到後一般會通知站主刪除或直接下線。

如果真實主機商在海外、且對 DMCA 無動於衷(有些離岸主機商就是靠「抗投訴」招攬盜版客戶),別硬耗在它身上。這類升級路徑——找上游供應商、註冊商、支付/CDN 層層施壓——見 離岸主機商升級施壓。

還有一條永遠值得並行做的:就算源站一時下不掉,也要讓盜版頁面從搜尋結果裡消失。向 Google、Bing 提交去索引請求,能把大部分靠搜尋引流的傷害掐掉,做法見 讓 Google 移除盜版結果 和 Bing / DuckDuckGo 去索引。搜不到,盜版站的流量就斷了一大半——這往往比死磕源站更快見效。

誠實說:這是持續對抗,不是一鍵清零。同一批盜版內容可能在 host 下線後換個主機、換個域名再冒出來。把「查 host—發信—去索引」這套流程做成可重複的動作,配合監控復發,比追求一次性根除更實際。