Cloudflare 开了小黄云 Shopify 证书一直签发不出来

现象#

域名托管在 Cloudflare，A 记录已填 Shopify 地址但开着代理，后台 SSL pending 迟迟不结束，偶尔还伴随 522。

原因#

• 开代理后公网解析到的是 104.x 或 172.67.x，Shopify 校验时看到的不是自己的边缘节点。
• Cloudflare 的边缘证书与 Shopify 为同一主机名签发的证书互相覆盖。
• 回源时 SNI 与 Host 被改写，Shopify 边缘无法匹配到对应店铺。
• Shopify 明确不支持代理模式接入，只支持 DNS only。

处理步骤#

1. 把 A 与 www 两条记录改成 DNS only，即灰色云。
2. 几分钟后 dig +short example.com 应返回 23.227.38.65。
3. 回 Shopify 后台移除域名再重新添加，重新触发签发。
4. 确实需要 WAF 时，把防护放在其它子域上，主站保持直连。
5. 用 curl -I 确认响应头带 x-shopid。

验收标准#

dig 返回 Shopify 的 IP，后台状态为 Connected，响应头含 x-shopid 且不再出现 522。