Cloudflare Origin CA证书面向Cloudflare与源站之间的连接，不是让所有浏览器直接信任源站的通用公有证书。代理开启时访问正常，改成DNS Only后提示不可信，可能正是访问链路变了。
确认浏览器实际连接的端点
代理开启时浏览器看到的是边缘证书，而源站可以使用另一套证书。先记录域名解析和代理状态，再核对浏览器显示的颁发者。不要因为边缘证书受信任，就认为源站上的Origin CA证书也已被所有客户端认可。
为直连场景单独设计证书
运维直连、故障绕过代理或迁往其他CDN时，访问者可能直接遇到源站证书。如果这些访问必须让普通浏览器无提示打开，应安排受公有信任的合适证书或其他经过核实的方案，而不是让客户忽略安全警告继续访问。
保管私钥并明确撤销范围
源站证书与相应私钥需要受控保存，不应粘贴进普通项目页或公开诊断附件。更换或怀疑泄漏时，确认部署位置、实际使用节点和撤销后果。仅删除本地文件不等于旧证书已从所有源站停用，也不等于其信任状态已变更。
同时验证代理与应急访问
正常路径要在设定TLS模式下通过，备用路径也应明确是仅限管理人员还是面向客户。使用有代表性的客户端分别检查，记录切换代理时需要同步处理的证书事项。应急预案不能等故障发生后才发现直连端点无法受信任访问。
关键区别
边缘证书：供浏览器连接边缘；由边缘端提供。
Origin CA：供代理连接源站；非通用浏览器信任。
备用直连：可能暴露源站证书；提前规划公有信任。
怎样确认处理到位
常规代理路径和明确的应急路径各自使用合适证书，测试客户端无非预期信任错误，私钥与撤销记录保持受控。
容易误判的边界
不要指导客户关闭浏览器证书检查来适应错误部署；源站证书用途也不能从文件名或面板绿色状态单独判断。
