在一个地方审计每个客户的 Cloudflare zone
十个、五十个、两百个 zone，散在不同账号里。谁改了 WAF 规则？哪些 zone 还没开 HSTS 或托管规则？Zone Audit 用只读 token 每天给每个 zone 拍快照、对比变更、按你定的基线检查，每周发一份可以转给客户的报告。
漂移
DNS、WAF、Page / Transform 规则、Access 策略——每个 zone 每日对比。
基线
你的清单（HSTS、TLS 1.2+、托管规则、Bot Fight Mode…）在所有 zone 上逐项评估。
报告
每个客户每周一份 PDF / HTML。合规问询时的审计记录。
Cloudflare zone 的安全基线应该查哪些项？
我用的清单有 12 项只读检查：最低 TLS 1.2、Always Use HTTPS、HSTS、WAF 托管规则、Bot Fight Mode、表单速率限制、DNSSEC、SPF / DKIM / DMARC、无孤儿记录、管理路径放在 Access 后面、限定范围的 API token、定期看审计日志。手工查一个 zone 大约 10 分钟。
Cloudflare 能看到是谁改了 zone 设置吗？
能，在账号的审计日志里，记录配置变更和操作人。问题是它按账号分开，很少有人去看。客户账号一多就得逐个打开，也没有任何东西提醒你：某次改动让 zone 偏离了和客户约定的基线。
为什么 zone 审计只需要只读 token？
因为每一项检查都是读取：设置、规则集、DNS 记录和审计日志，用限定范围的只读权限发 GET 就能拿到。Zone Audit 计划用你自己创建、随时可撤销的 token 每天给每个 zone 拍快照，和前一天比对，只在有变化时发邮件。现在还没运行，这一页是等待名单。
定价（计划中）
$29 / 月，20 个 zone 以内 · $79 / 月，100 个 zone 以内。
还在探索
在付 Workers Paid，怕哪天账单吓一跳？看看 Usage Guard ——按指标看突增，可选一键停下。
support@ 走 Cloudflare 转发、却在 Gmail 里看？看看 Routed Inbox ——Email Routing 上的小共享收件箱，不按席位收费。