Cloudflare：過路費的閘門裝好了，付錢的有兩家

先說一個時間點：後天，九月十五號，Cloudflare 會改一個預設設定。帶廣告的頁面上，「混合用途」的 AI 爬蟲直接擋掉。適用範圍是新客戶、老客戶新加的站點、以及全部免費使用者——不問，預設就是擋。這是七月一號宣布的，TechCrunch 有報導，屬於媒體二手，但政策原文在 Cloudflare 官網上能對得上。

一個收費站建成了。

然後我去找交錢的人，找到兩家。

它為什麼繞不開

W3Techs 九月四號的統計：25.6% 的網站在用 Cloudflare；在已知反向代理服務的站點裡，它佔 84.9%。

我先把我自己上一篇寫錯的地方改掉——我當時寫「覆蓋兩千四百萬個活躍網站」，這個數是舊的，也不是最有意義的口徑。反向代理那 84.9% 才是。

這個位置的機制只有一環：你把域名的 DNS 指過去，流量就從它那兒過。流量從誰那兒過，安全、效能、存取控制這三件事就只能在誰那一層做。上一輪跨境賣家那些帖子我看到的正是這一點——應用層的攔截 app 試遍了不管用，最後是在邊緣網路層解決的。不過那批帖子我手上沒有連結，只能當色彩，不當論據。

在位者要寫清楚，不能藏：Akamai、Fastly、AWS CloudFront 加 AWS WAF、Imperva，都在同一層，功能都有。上一輪成功的案例裡就有 Akamai。

所以「獨佔」這個詞我得改。

它在產品層不獨佔。獨佔的是別的東西：改 DNS 指向、重建 WAF 規則、重做憑證和快取策略——而那套 WAF 規則通常是被真實攻擊一條一條教出來的，沒人有那份紀錄，包括站長自己。Cloudflare 從 2010 年起送免費的 DDoS 防護和 CDN，一送十六年，等一個站點長起來，DNS 早就指過去了。

換掉它的成本不在帳單上，在那份紀錄裡。

誰在付錢

網站所有者。不是訪客，也不是 AI 公司。

訂閱加用量，Enterprise 大單為主。截至六月三十號，年化支出超過十萬美元的大客戶 4,698 家，同比增 27%，佔總營收的 73%。淨留存 120%。這些是財報和投資者材料裡的原始數字。

這就是過去十六年的全部生意。

新開的那個口

今年第二季出現了一件之前沒有過的事：Cloudflare 網路上超過一半的請求，不是人發的。日均 AI Agent 請求同比漲了 1700%。

於是它把身份換了一下——從「替網站擋住機器人」變成「替網站向機器人收錢」。產品叫 AI Crawl Control、pay per crawl、Monetization Gateway。九月十五號那個預設阻斷，是這套東西的開關。

到這裡為止是真的：它確實能決定擋誰、放誰，而且是在四分之一的網際網路上決定。

然後是另一半。

目前接入 pay-per-use 的合作方兩家，Ceramic.ai 和 http://You.com。OpenAI 沒有，Anthropic 沒有，Meta 沒有，xAI 沒有。Google 不但沒有，還公開反駁了 Cloudflare 給爬蟲分類的口徑，理由是它有 Google-Extended，站點可以只退出訓練、不退出搜尋。

財報裡這塊營收，一行都沒有。

一家公司能不能收費，和它有沒有收到錢，是兩件事。Cloudflare 現在卡在這兩件事中間。

順便把「標準制定權」查清楚

我把它記進名單，另一條理由是標準。上一輪我看到 Shopify 在 2025 年 5 月上線了 Web Bot Auth，那是 Cloudflare 主推的協議——別人在真的用它定的規矩，這條當時我記得很重。

這次去查了協議本身的狀態。

IETF 的工作組章程 2025 年 10 月批准，兩個里程碑都過期了。截至今年八月，沒有任何 draft-ietf-webbotauth-* 被採納，能查到的只有個人草案 draft-meunier-webbotauth-httpsig-protocol-01。它不是 RFC。

更要緊的是驗證方那一側。已經生產部署的有：Cloudflare、AWS WAF、Akamai、Vercel、HUMAN。Vercel 上線驗證的時間甚至比工作組成 立還早十週。簽名方這邊，OpenAI 是生產環境，Google 只簽一部分請求，標註實驗性，而且它用的格式跟 Cloudflare 文件裡認的那個還對不上。

所以準確的說法是：Cloudflare 是這個協議的提案人和最大的部署方，不是它的所有者。這一層的位置幾家共用。

我當初記那一筆的兩條理由裡，「獨佔的解法層」要改口徑，「標準制定權」只成立一半。

一手證據沒錯，是我從證據裡推出的那個詞太大了。

數字（覺得枯燥就跳過吧）

財報口徑截至六月三十號，八月六號發布；股價和估值截至九月十一號收盤。

營收好看。二季 6.961 億美元，同比增 36%；上半年 13.358 億，增 35%；全年指引 28.64 到 28.70 億，增 32%。一家營收接近三十億美元的公司還在提速，這個不多見。

毛利率不好看。Non-GAAP 73.1%，去年同期 76.3%，掉了 320 個基點。往回拉長看：FY21 是 77.6%，FY24 還有 77.3%，FY25 掉到 74.5%，本季 GAAP 口徑 71.8%。

同一個季度，營業成本漲了 52.7%，營收漲 36%。成本比收入快 17 個百分點。

這兩組數放一起才有意思，跟我上次看微軟那次一樣，一個數字單看沒意義。

快取、DDoS 清洗、DNS 解析，這些東西的邊際成本接近零，是撐起 79% 毛利率的那批產品。邊緣推論、R2 的儲存和出口流量、Workers 的執行，不是。它換生意的代價，正在毛利率上一個基點一個基點地付。

公司自己的長期模型下沿寫的是 70%。現在 71.8%。

利潤這邊：GAAP 營業虧損 2.057 億，裡面有 1.507 億是重組費用——今年五月宣布裁員約 20%，理由是 AI 讓內部效率變了。Non-GAAP 營業利潤 9,610 萬，13.8%。GAAP 仍未獲利，公司說最遲 2028 年轉正。

現金流：當季自由現金流 5,640 萬，佔營收 8.1%。FY25 全年是 2.81 億，佔 13.0%。

這裡有個我推不出來的地方。全年網路資本開支指引是營收的 14 到 15%，而本季實際只有約 8.8%。我原來想從這個缺口推出「它在用融資租賃租 GPU，把資本開支藏進成本和折舊裡」——租賃不進 capex，只進 COGS，正好能解釋毛利率為什麼掉得這麼快。後來我發現推不出來。10-Q 裡我沒找到租賃義務的明細，而「支出壓在下半年」是同樣說得通的解釋。沒有那份明細，這就是未知，不是發現。

還有兩個數得記：股權激勵加工資稅 1.406 億，等於營收的 20.2%。八月十五號到期的 12.938 億可轉債，我沒讀到結算公告，不知道最後是掏現金還是轉股。

估值：九月十一號收盤 306 美元，市值 1,091.5 億美元，企業價值 1,085.2 億。EV/Sales，按 TTM 是 43.2 倍，按全年指引 37.9 倍，按 2027 年一致預期 29.4 倍。近一年漲 37.5%，年內漲 59.3%。

兩邊

多頭能拿出來的三條，都可驗證。

① 位置是時間沉下來的，不是買來的。通路夥伴貢獻的營收從去年同期 25% 升到 31%，分發在往外擴，不是靠自己推。

② 三個獨立口徑同時向上。營收增速從 FY25 的約 29% 到本季 36%；淨留存從 114% 到 120%；當期剩餘履約義務同比增 35%。cRPO 是先行指標，它會比營收增速先轉彎——所以這條要盯的是 cRPO，不是營收。

③ 機器流量給了它一個新的計價單位。過去按站點和頻寬收費，現在多了一種可能：按 Agent 請求收費。

空頭能拿出來的三條，也都可驗證，而且更要重視。

① 它正在換一門毛利更低的生意。這條不是預測，是已經在發生的事，上面那串毛利率就是。

② 收費方不等於收到錢。九月十五號只證明它能擋住誰。名單上兩家，營收披露零行。

③ 「標準制定權」目前成立一半。上面那段 IETF 的狀態擺在那兒。

多頭那三條是關於位置的，空頭那三條是關於錢的。這不是巧合——它的位置從來沒被質疑過，被質疑的一直是這個位置能變現到什麼程度。

十倍那筆帳

不能用感覺回答。十倍收益 = 營收倍數 × 估值倍數變化，這個拆法我一直用。

按 1,085 億的企業價值，漲十倍是 1.09 兆美元。反推需要多少營收：

20 倍那一檔是最不離譜的。一家 30% 增速、30% 自由現金流利潤率的基礎設施公司，成熟期能拿到 20 倍營收，已經是很 好的結果。

它對應的年化是 34.3%。

而 Cloudflare 過去五年做到的正好是 34.3%——FY21 營收 6.56 億，FY26 指引 28.67 億。

所以「十年十倍」要求的是：把它剛剛做到的速度，在 4.4 倍大的基數上，再跑十年，同時估值倍數從 37.9 倍掉到 20 倍。546 億營收相當於它自己口徑 TAM 的 23%（2026 年 2,380 億美元，底層是 Gartner 的預測），而它現在佔 1.2%。

按每年 2% 的淨股數稀釋再調一次，20 倍那檔需要的營收升到 665 億，年化 37.0%。

寫到這兒我順手查了一下，1.09 兆這個量級現在全世界有幾家。

截至九月十一號，在美股能買到、市值過一兆美元的，大概十二家：輝達 5.3 兆，蘋果 4.8 兆，谷歌 4.1 兆，微軟 3.7 兆，亞馬遜 2.8 兆，SpaceX 約 2 兆（今年六月十二號才上市），博通 1.7 兆，Meta 1.7 兆，特斯拉 1.4 兆，美光、波克夏、禮來各在 1.1 兆上下。台積電 2.2 兆走的是 ADR，SK 海力士不在美股。

後面那幾家就卡在兆元線上，漲跌幾個點就進出名單，所以「十二家」這個數只對九月十一號那天成立。

但量級是清楚的。能站到這個位置上的，一隻手數兩遍就數完了，而且幾乎全是晶片、作業系統、搜尋、電商這種一代人只出一次的東西。

Cloudflare 現在 1,091 億。十倍，是從這裡走進那一排裡面去。

我不排除這件事，但我不會按它去想。這條線上我能做的只有一件：每季度回來勾三個格子，看毛利率有沒有止住、有沒有真的開始交過路費。期望放低，觀察繼續。

我再算一個近一點的門檻。要在市值不變的前提下拿到 4% 的自由現金流收益率，需要 43.7 億自由現金流；按公司長期模型 30% 的自由現金流利潤率倒推，營收要到 146 億，是今年的 5.1 倍。

這是「今天買入不虧」的門檻，不是「十倍」的門檻。

跟我上次買軟體那兩筆比一下就清楚了：Salesforce 我買的是十一倍到十五倍那一段，從設計上就有終點，賺的是別人對它的懷疑被修復的錢。Cloudflare 這個價格上，懷疑早就修復完了，甚至修復過頭了——37.9 倍遠期營收，市場已經把「過路費收上來了」算進去了，而過路費還沒收上來。

所以這不是一筆估值修復的交易，只能是一筆長期複合的交易，或者不是交易。

我要盯的三個數

跟微軟那次一樣，我在有立場之前先把規矩寫下來。財報出來之後只做打鉤打叉這一件事。

一、毛利率止跌。 打鉤：當季 Non-GAAP 毛利率不低於 72.0%，且不比上季度低超過 100 個基點。打叉：跌破 70.0%，或者連續兩季各跌超 100 個基點。現在 73.1%。

二、收費方變成收到錢。 打鉤：官方披露的付費方裡出現 OpenAI、Google、Anthropic、Meta、xAI 任何一家，或者財報單列這塊營收。打叉：滿一年之後名單上還是只有長尾廠商，且一個營收數都沒有。現在兩家，零披露。

三、增長不是靠稀釋買來的。 打鉤：每股營收同比增速跟營收同比增速的差小於 5 個百分點，且 TTM 自由現金流利潤率不低於 10%。打叉：差到 5 個百分點，或者自由現金流利潤率跌破 8%。現在股權激勵佔營收 20.2%，當季自由現金流利潤率 8.1%。

第二條不用等財報，付費方名單隨時可能公布。第一條和第三條要等 Q3 財報，公司還沒公布日期，按往年節奏在十月底到十一月上旬。

這三條我每季度回來勾一次。任意一條連續兩季打叉，上面那套論證就塌一塊，我回來重寫。

我沒查到的

• pay per crawl 到現在收上來多少錢。公司沒披露。

• 那 12.938 億可轉債的結算方式和稀釋。沒讀到公告。

• 資本開支那 5 個多百分點的缺口到底是什麼。上面說過了。

• 九月十五號生效之後的實際情況。寫這篇的時候還沒到。

• 它有沒有在丟份額。W3Techs 只給存量佔比，沒有對手淨增速的對照。

• 上一輪那些賣家帖子的原始連結。我自己沒存，所以那段只能當色彩——這個教訓我記下了，下一輪掃抱怨的時候連結跟原話一起存。

留一個問題

這一篇我寫下來最彆扭的地方是：我最初把它記進名單，用的是「獨占的解法層」和「標準制定權」這兩個詞。查完之後，第一個詞要改口徑，第二個只成立一半。證據本身沒有錯，錯的是我從證據裡推出的那個概念太大了。

所以我想問的是這個：你有沒有過一次，是把一手觀察抽象成一個概念之後，那個概念自己長大了，反過來替你做了判斷？你是怎麼發現的？

我下一次回來是 Q3 財報，勾那三個格子。