Cloudflare：过路费的闸门装好了，交钱的有两家

先说一个时间点：后天，九月十五号，Cloudflare 会改一个默认设置。带广告的页面上，"混合用途"的 AI 爬虫直接挡掉。适用范围是新客户、老客户新加的站点、以及全部免费用户——不问，默认就是挡。这是七月一号宣布的，TechCrunch 有报道，属于媒体二手，但政策原文在 Cloudflare 官网上能对上。

一个收费站建成了。

然后我去找交钱的人，找到两家。

它为什么绕不开

W3Techs 九月四号的统计：25.6% 的网站在用 Cloudflare；在已知反向代理服务的站点里，它占 84.9%。

我先把我自己上一篇写错的地方改掉——我当时写"覆盖两千四百万个活跃网站"，这个数是旧的，也不是最有意义的口径。反向代理那 84.9% 才是。

这个位置的机制只有一环：你把域名的 DNS 指过去，流量就从它那儿过。流量从谁那儿过，安全、性能、访问控制这三件事就只能在谁那一层做。上一轮跨境卖家那些帖子我看到的正是这一点——应用层的拦截 app 试遍了不管用，最后是在边缘网络层解决的。不过那批帖子我手上没有链接，只能当色彩，不当论据。

在位者要写清楚，不能藏：Akamai、Fastly、AWS CloudFront 加 AWS WAF、Imperva，都在同一层，功能都有。上一轮成功的案例里就有 Akamai。

所以"独占"这个词我得改。

它在产品层不独占。独占的是别的东西：改 DNS 指向、重建 WAF 规则、重做证书和缓存策略——而那套 WAF 规则通常是被真实攻击一条一条教出来的，没人有那份记录，包括站长自己。Cloudflare 从 2010 年起送免费的 DDoS 防护和 CDN，一送十六年，等一个站点长起来，DNS 早就指过去了。

换掉它的成本不在账单上，在那份记录里。

谁在付钱

网站所有者。不是访客，也不是 AI 公司。

订阅加用量，Enterprise 大单为主。截至六月三十号，年化支出超过十万美元的大客户 4,698 家，同比增 27%，占总营收的 73%。净留存 120%。这些是财报和投资者材料里的原始数字。

这就是过去十六年的全部生意。

新开的那个口

今年第二季度出现了一件之前没有过的事：Cloudflare 网络上超过一半的请求，不是人发的。日均 AI Agent 请求同比涨了 1700%。

于是它把身份换了一下——从"替网站挡住机器人"变成"替网站向机器人收钱"。产品叫 AI Crawl Control、pay per crawl、Monetization Gateway。九月十五号那个默认阻断，是这套东西的开关。

到这里为止是真的：它确实能决定挡谁、放谁，而且是在四分之一的互联网上决定。

然后是另一半。

目前接入 pay-per-use 的合作方两家，Ceramic.ai 和 http://You.com。OpenAI 没有，Anthropic 没有，Meta 没有，xAI 没有。Google 不但没有，还公开反驳了 Cloudflare 给爬虫分类的口径，理由是它有 Google-Extended，站点可以只退出训练、不退出搜索。

财报里这块营收，一行都没有。

一家公司能不能收费，和它有没有收到钱，是两件事。Cloudflare 现在卡在这两件事中间。

顺便把"标准制定权"查清楚

我把它记进名单，另一条理由是标准。上一轮我看到 Shopify 在 2025 年 5 月上线了 Web Bot Auth，那是 Cloudflare 主推的协议——别人在真的用它定的规矩，这条当时我记得很重。

这次去查了协议本身的状态。

IETF 的工作组章程 2025 年 10 月批准，两个里程碑都过期了。截至今年八月，没有任何 draft-ietf-webbotauth-* 被采纳，能查到的只有个人草案 draft-meunier-webbotauth-httpsig-protocol-01。它不是 RFC。

更要紧的是验证方那一侧。已经生产部署的有：Cloudflare、AWS WAF、Akamai、Vercel、HUMAN。Vercel 上线验证的时间甚至比工作组成立还早十周。签名方这边，OpenAI 是生产环境，Google 只签一部分请求，标注实验性，而且它用的格式跟 Cloudflare 文档里认的那个还对不上。

所以准确的说法是：Cloudflare 是这个协议的提案人和最大的部署方，不是它的所有者。这一层的位置几家共用。

我当初记那一笔的两条理由里，"独占的解法层"要改口径，"标准制定权"只成立一半。

一手证据没错，是我从证据里推出的那个词太大了。

数字（觉得枯燥就跳过吧）

财报口径截至六月三十号，八月六号发布；股价和估值截至九月十一号收盘。

营收好看。二季度 6.961 亿美元，同比增 36%；上半年 13.358 亿，增 35%；全年指引 28.64 到 28.70 亿，增 32%。一家营收接近三十亿美元的公司还在提速，这个不多见。

毛利率不好看。Non-GAAP 73.1%，去年同期 76.3%，掉了 320 个基点。往回拉长看：FY21 是 77.6%，FY24 还有 77.3%，FY25 掉到 74.5%，本季 GAAP 口径 71.8%。

同一个季度，营业成本涨了 52.7%，营收涨 36%。成本比收入快 17 个百分点。

这两组数放一起才有意思，跟我上次看微软那次一样，一个数字单看没意义。

缓存、DDoS 清洗、DNS 解析，这些东西的边际成本接近零，是撑起 79% 毛利率的那批产品。边缘推理、R2 的存储和出口流量、Workers 的执行，不是。它换生意的代价，正在毛利率上一个基点一个基点地付。

公司自己的长期模型下沿写的是 70%。现在 71.8%。

利润这边：GAAP 营业亏损 2.057 亿，里面有 1.507 亿是重组费用——今年五月宣布裁员约 20%，理由是 AI 让内部效率变了。Non-GAAP 营业利润 9,610 万，13.8%。GAAP 仍未盈利，公司说最迟 2028 年转正。

现金流：当季自由现金流 5,640 万，占营收 8.1%。FY25 全年是 2.81 亿，占 13.0%。

这里有个我推不出来的地方。全年网络资本开支指引是营收的 14 到 15%，而本季实际只有约 8.8%。我原来想从这个缺口推出"它在用融资租赁租 GPU，把资本开支藏进成本和折旧里"——租赁不进 capex，只进 COGS，正好能解释毛利率为什么掉得这么快。后来我发现推不出来。10-Q 里我没找到租赁义务的明细，而"支出压在下半年"是同样说得通的解释。没有那份明细，这就是未知，不是发现。

还有两个数得记：股权激励加工资税 1.406 亿，等于营收的 20.2%。八月十五号到期的 12.938 亿可转债，我没读到结算公告，不知道最后是掏现金还是转股。

估值：九月十一号收盘306美元，市值 1,091.5 亿美元，企业价值 1,085.2 亿。EV/Sales，按 TTM 是 43.2 倍，按全年指引 37.9 倍，按 2027 年一致预期 29.4 倍。近一年涨 37.5%，年内涨 59.3%。

两边

多头能拿出来的三条，都可验证。

① 位置是时间沉下来的，不是买来的。渠道伙伴贡献的营收从去年同期 25% 升到 31%，分发在往外扩，不是靠自己推。

② 三个独立口径同时向上。营收增速从 FY25 的约 29% 到本季 36%；净留存从 114% 到 120%；当期剩余履约义务同比增 35%。cRPO 是先行指标，它会比营收增速先转弯——所以这条要盯的是 cRPO，不是营收。

③ 机器流量给了它一个新的计价单位。过去按站点和带宽收费，现在多了一种可能：按 Agent 请求收费。

空头能拿出来的三条，也都可验证，而且更要重视。

① 它正在换一门毛利更低的生意。这条不是预测，是已经在发生的事，上面那串毛利率就是。

② 收费方不等于收到钱。九月十五号只证明它能挡住谁。名单上两家，营收披露零行。

③ "标准制定权"目前成立一半。上面那段 IETF 的状态摆在那儿。

多头那三条是关于位置的，空头那三条是关于钱的。这不是巧合——它的位置从来没被质疑过，被质疑的一直是这个位置能变现到什么程度。

十倍那笔账

不能用感觉回答。十倍收益 = 营收倍数 × 估值倍数变化，这个拆法我一直用。

按 1,085 亿的企业价值，涨十倍是 1.09 万亿美元。反推需要多少营收：

20 倍那一档是最不离谱的。一家 30% 增速、30% 自由现金流利润率的基础设施公司，成熟期能拿到 20 倍营收，已经是很好的结果。

它对应的年化是 34.3%。

而 Cloudflare 过去五年做到的正好是 34.3%——FY21 营收 6.56 亿，FY26 指引 28.67 亿。

所以"十年十倍"要求的是：把它刚刚做到的速度，在 4.4 倍大的基数上，再跑十年，同时估值倍数从 37.9 倍掉到 20 倍。546 亿营收相当于它自己口径 TAM 的 23%（2026 年 2,380 亿美元，底层是 Gartner 的预测），而它现在占 1.2%。

按每年 2% 的净股数稀释再调一次，20 倍那档需要的营收升到 665 亿，年化 37.0%。

写到这儿我顺手查了一下，1.09 万亿这个量级现在全世界有几家。

截至九月十一号，在美股能买到、市值过一万亿美元的，大概十二家：英伟达 5.3 万亿，苹果 4.8 万亿，谷歌 4.1 万亿，微软 3.7 万亿，亚马逊 2.8 万亿，SpaceX 约 2 万亿（今年六月十二号才上市），博通 1.7 万亿，Meta 1.7 万亿，特斯拉 1.4 万亿，美光、伯克希尔、礼来各在 1.1 万亿上下。台积电 2.2 万亿走的是 ADR，SK 海力士不在美股。

后面那几家就卡在万亿线上，涨跌几个点就进出名单，所以"十二家"这个数只对九月十一号那天成立。

但量级是清楚的。能站到这个位置上的，一只手数两遍就数完了，而且几乎全是芯片、操作系统、搜索、电商这种一代人只出一次的东西。

Cloudflare 现在 1,091 亿。十倍，是从这里走进那一排里面去。

我不排除这件事，但我不会按它去想。这条线上我能做的只有一件：每季度回来勾三个格子，看毛利率有没有止住、有没有人真的开始交过路费。期望放低，观察继续。

我再算一个近一点的门槛。要在市值不变的前提下拿到 4% 的自由现金流收益率，需要 43.7 亿自由现金流；按公司长期模型 30% 的自由现金流利润率倒推，营收要到 146 亿，是今年的 5.1 倍。

这是"今天买入不亏"的门槛，不是"十倍"的门槛。

跟我上次买软件那两笔比一下就清楚了：Salesforce 我买的是十一倍到十五倍那一段，从设计上就有终点，赚的是别人对它的怀疑被修复的钱。Cloudflare 这个价格上，怀疑早就修复完了，甚至修复过头了——37.9 倍远期营收，市场已经把"过路费收上来了"算进去了，而过路费还没收上来。

所以这不是一笔估值修复的交易，只能是一笔长期复合的交易，或者不是交易。

我要盯的三个数

跟微软那次一样，我在有立场之前先把规矩写下来。财报出来之后只做打钩打叉这一件事。

一、毛利率止跌。 打钩：当季 Non-GAAP 毛利率不低于 72.0%，且不比上季度低超过 100 个基点。打叉：跌破 70.0%，或者连续两季各跌超 100 个基点。现在 73.1%。

二、收费方变成收到钱。 打钩：官方披露的付费方里出现 OpenAI、Google、Anthropic、Meta、xAI 任何一家，或者财报单列这块营收。打叉：满一年之后名单上还是只有长尾厂商，且一个营收数都没有。现在两家，零披露。

三、增长不是靠稀释买来的。 打钩：每股营收同比增速跟营收同比增速的差小于 5 个百分点，且 TTM 自由现金流利润率不低于 10%。打叉：差到 5 个百分点，或者自由现金流利润率跌破 8%。现在股权激励占营收 20.2%，当季自由现金流利润率 8.1%。

第二条不用等财报，付费方名单随时可能公布。第一条和第三条要等 Q3 财报，公司还没公布日期，按往年节奏在十月底到十一月上旬。

这三条我每季度回来勾一次。任意一条连续两季打叉，上面那套论证就塌一块，我回来重写。

我没查到的

• pay per crawl 到现在收上来多少钱。公司没披露。

• 那 12.938 亿可转债的结算方式和稀释。没读到公告。

• 资本开支那 5 个多百分点的缺口到底是什么。上面说过了。

• 九月十五号生效之后的实际情况。写这篇的时候还没到。

• 它有没有在丢份额。W3Techs 只给存量占比，没有对手净增速的对照。

• 上一轮那些卖家帖子的原始链接。我自己没存，所以那段只能当色彩——这个教训我记下了，下一轮扫抱怨的时候链接跟原话一起存。

留一个问题

这一篇我写下来最别扭的地方是：我最初把它记进名单，用的是"独占的解法层"和"标准制定权"这两个词。查完之后，第一个词要改口径，第二个只成立一半。证据本身没有错，错的是我从证据里推出的那个概念太大了。

所以我想问的是这个：你有没有过一次，是把一手观察抽象成一个概念之后，那个概念自己长大了，反过来替你做了判断？你是怎么发现的？

我下一次回来是 Q3 财报，勾那三个格子。