外贸 WordPress 独立站刚给 Cloudflare 开了橙云、WAF、Bot Fight 或挑战页，自己测首页一切正常，广告落地页也能打开，海外客户却反馈：询盘表单一直转圈、提交失败、点了没反应，或者提交后自己收不到邮件。转化从「能打开」变成「交不出去」。这通常不是「表单插件坏了」这么简单，更常见的是边缘防护把合法访客的 POST / AJAX 当成机器人拦掉了，或者页面缓存把带 nonce 的表单 HTML 冻住了，再叠加验证码与主题 AJAX 冲突、SMTP 发信失败，表现就像「转化全挂」。
一句话结论：先把 Bot Fight / Challenge、WAF 与限流、Turnstile/reCAPTCHA、页面缓存、提交后链路这五处按顺序核完，再谈继续投放。防护规则没理顺就加大广告预算，落地页能开、询盘交不上，浪费花费还伤询盘体验。下面五步不编造数据、不绑定某个「必关」功能，只讲你能马上核对的方法。今天的主切口是 Cloudflare 防护误伤合法询盘；若你的问题是迁机换证后「不安全 / 裂图」，请先看 混合内容修复五步；若是表单垃圾信灌水，请看 询盘表单五层防护。
第一步：Bot Fight / Super Bot Fight / Managed Challenge 是否拦了表单 POST
Cloudflare 的 Bot Fight Mode、Super Bot Fight Mode，以及 Managed Challenge / JS Challenge，会在边缘对可疑请求出挑战页或直接拦截。对 WordPress 来说，联系表单的 POST、Contact Form 7 / WPForms 等走的 admin-ajax.php、部分主题自定义 AJAX，都可能被当成自动化流量。请核对：Security → Bots 中 Bot Fight / Super Bot Fight 是否开启，以及对「Definitely automated / Likely automated」是 Block 还是 Challenge；用无痕窗口提交一次询盘，看是否弹出挑战页、转圈后空白，或 Network 里表单请求变成 403 / 挑战页 HTML；在 Security Events 按路径筛选 admin-ajax.php、表单 action URL、wp-json/；临时对表单相关路径做 Skip / 降低灵敏度试一次（记录改动，测完可回滚）。常见坑：只测了首页 GET，没测真正的表单 POST；本机 IP 已在白名单，自己永远测不出海外客户被拦。
第二步：WAF 自定义规则 / Rate limiting 是否误伤表单与 ajax
WAF 自定义规则、托管规则集、Rate limiting，经常按路径、国家、User-Agent 或请求频率生效。外贸站若对 /wp-admin/ 整段收紧，很容易误伤 /wp-admin/admin-ajax.php（前台也会打这里）、/wp-json/，以及表单插件自己的 action URL。请核对：Custom rules 是否有 Block / Managed Challenge 作用在含 admin-ajax、wp-json、contact、cf7、主题 ajax 的路径上；Rate limiting 是否对 POST 过严导致 429；Security Events 按 Blocked / Challenged 筛，看命中规则是否正好是表单提交那一刻；对已知表单路径用 Skip（限定 URI Path + 方法 POST）放行，或把限流阈值调到不影响真人询盘。常见坑：规则写「含 wp-admin 就拦」却没排除 admin-ajax.php；广告落地页能 GET 打开，POST 才被拦。
第三步：Turnstile / reCAPTCHA 与主题 AJAX、挑战页循环
开了 Cloudflare Turnstile，或表单插件里的 reCAPTCHA / hCaptcha，再叠加上面的 Managed Challenge，容易出现验证码过了仍提交失败、无限挑战循环、密钥与域名不匹配、主题 AJAX 不带 token。请核对：Site Key / Secret Key 是否对应正确域名（含 www / 非 www、广告落地子域）；AJAX 提交是否带上验证 token；同时开了挑战页 + 表单验证码时先临时关掉一层定位；Console 是否有验证码脚本报错、CSP 拦截、跨域失败。常见坑：密钥配在主域、广告落地在子域；或小部件加载了但服务端验证失败，前端仍显示「成功」假象。表单垃圾防护另见 询盘表单五层防护，与「合法访客被拦」不是同一切口。
第四步：Cache Everything / 页面缓存把带 nonce 的表单冻住
Cloudflare Cache Rules 若对整站或整页开了 Cache Everything，再叠加主机侧页面缓存，很容易把带 WordPress nonce 的表单 HTML、旧版表单 JS 缓存给所有人：页面能开，一点提交就失败、报过期或按钮无响应。请核对：询盘页 / 联系页 / 含表单的落地页是否被 Cache Everything，对这类路径改为 Bypass 或尊重源站 Cache-Control；主机 / 插件页面对含表单 URL 排除缓存；强制清一次该 URL 的 Cloudflare 与源站缓存再无痕对比；看源码里 nonce / 隐藏字段是否长时间不变。常见坑：把「静态营销页能缓存」理解成「所有 HTML 都能 Cache Everything」。若问题是改了文案客户仍见旧版，请对照 缓存分层清旧内容；今天说的是防护与缓存误伤合法提交。
第五步：提交后链路——SMTP、跳转、真实状态码与海外复测
前面四处放行之后，若仍「提交了没邮件」，要看提交后链路，并用 Network 看真实响应，而不是只看前端转圈。确认表单 POST / admin-ajax 的状态码是 200、302，还是 403 / 429 / 1020，响应体是不是挑战页 HTML；SMTP / 发信插件是否成功，查收件箱、垃圾箱与服务器邮件日志；成功页跳转是否被 WAF/缓存影响；用无痕窗口 + 海外节点（或请海外同事）复测完整提交——本机 IP 白名单会造成假阴性。常见坑：前端成功动画，实际 XHR 是 403；或只测国内网络，海外广告流量仍被地区/ASN 规则拦住。
先核防护与缓存，再谈继续投放
五处过完，通常能分清三类情况：边缘拦了 POST（Bot Fight / Challenge / WAF / 限流命中表单与 ajax）；验证或缓存把表单弄坏（Turnstile/reCAPTCHA 冲突，或 Cache Everything 冻住 nonce）；提交后链路断了（SMTP 失败、跳转异常，或状态码其实是 403/429/1020）。WpWork 做 WordPress 外贸独立站诊断时，开了 Cloudflare 后「询盘交不上」按「Bot → WAF → 验证码 → 缓存 → Network/SMTP」的顺序出书面清单。若你希望有人按优先级梳理先改哪几处，可 提交网址申请书面诊断，或微信联系 devdiy、邮箱 info@wordpress.work 说明域名与当前现象。
常见问题
是不是应该直接关掉 Bot Fight？
不一定。先确认是否误伤表单路径；可以对询盘相关 URI 做 Skip，或把动作从 Block 改为较轻的处理，而不是整站裸奔。
为什么我自己提交正常，客户不行？
你的 IP 可能在白名单、走了办公室网络，或未触发地区/ASN 规则。请用无痕 + 海外节点复测。
这和「表单垃圾信防护」是一回事吗？
不是。垃圾信防护是挡机器人灌水；这里说的是合法访客被 Cloudflare 边缘规则或缓存误伤，页面能开但提交失败。垃圾信请参考 询盘表单五层防护。
只清 Cloudflare 缓存够不够？
不够。表单页还要看源站页面缓存、Cache Rules 是否继续 Cache Everything，以及 nonce 是否仍被冻住。
状态码 1020 是什么意思？
常见于 Cloudflare 防火墙/规则拦截相关场景。应到 Security Events 对照命中规则，而不是只在主题里改表单文案。
