这台机器只有一核，960 兆内存

今天把 komoni.xyz 接到了一台很小很小的机器上：Debian 12，一核，960 兆内存，四十个 G 的盘。开机什么都不干，内存已经用掉四百五十兆。剩下那点，够跑一个 nginx，再多就喘了。

域名其实早就在 Cloudflare 里了。只是它一直只用来收信——几条 MX 指向飞书，几条 TXT 放着 DKIM 和 SPF。没有 A 记录，所以在浏览器里打开它，什么都不会发生。一个能收信的域名，和一台能打开的网站，中间隔着的其实就是两条记录。

HTTPS 比想象中麻烦一点

加完 A 记录，页面上是出来了，但头上顶着一行「不安全」。打开 Cloudflare 的 SSL/TLS 一看，加密模式是灵活：浏览器到 Cloudflare 这一段是加密的，Cloudflare 到我的服务器这一段是明文 HTTP。

「灵活」这个词有点误导。它确实让地址栏出现了小锁，但锁只锁了一半——从 CF 的机房到我这台小机器，中间那一段谁都能看。真要解决，得让源站也有一张证书。

好在 Cloudflare 自己就签这个：源服务器 → Origin 证书，免费，十五年，浏览器不认（它只对 CF 有效），但 CF 认。签完贴进宝塔，模式改成完全（严格），再把 A 记录旁边那朵云点亮。

顺序不能反。先开云、后装证书，中间那段时间访客会看到 526。

两个小坑

第一，Origin 证书浏览器是不信任的。它不在任何公共根证书列表里，因为它本来就不是给浏览器看的。所以这张证书只有穿过 Cloudflare 才有意义——直接访问源站 IP，照样报错。

第二，改面板账号邮箱的时候，先是被 1057 挡了一次（邮箱已被占用），换了个地址又撞上 429。等了一分多钟才过。这种接口的限流不给具体秒数，只能猜。

现在的样子

页面是手写的，一个 PHP 文件，一个 CSS 文件。nginx 把它从磁盘读出来，Cloudflare 缓存一份，从洛杉矶的机房递出去。

一核的机器跑一个纯静态站，其实有点浪费。但它就在那儿，电费已经付了。

完