用了 CDN 或反向代理，不代表源站就一定隐藏。旧服务器仍开放公网访问、测试子域名指向源站，或 IPv6 配置遗漏，都可能让访问者绕过代理。下面这套网站源站隐藏与真实IP泄露排查方法，适用于常见网站架构；检查前先确认目标资产归你管理，并记录当前配置，避免误改生产服务。
1. 盘点所有指向网站的域名记录
先从域名服务商的管理后台导出记录，逐项查看主域名、www、常见业务子域名，以及 A 和 AAAA 记录。还要检查 MX、邮件服务相关记录和 SPF 文本中是否出现自有服务器地址：它们不一定指向网站源站，但可能暴露邮件基础设施，需分别判断。
- 用 dig 或 nslookup 查询对外生效的记录，并与后台配置对照。
- 检查旧版、测试版、管理入口等子域名；确认仍在使用的站点是否指向代理，而非直接指向服务器。
- 看到某地址时，先确认它属于源站、邮件服务商还是 CDN 节点，不要仅凭地址归属作结论。
2. 查找历史域名和公开资产线索
当前解析正常，也可能留有旧线索。使用 crt.sh 按域名检索公开证书透明度记录，可以发现曾申请过证书的子域名；证书记录本身不等于源站 IP，但能帮你找出遗漏的测试站或旧入口。Censys、Shodan 等公开资产搜索服务也可能收录对外可见的主机和服务信息，结果有延迟，必须回到自有服务器和域名配置中核实。
把搜到的主机名列成清单，逐个确认用途、负责人和当前解析。无法确认的旧记录不要直接删除，先查清它是否仍被业务、邮件或第三方服务使用。
3. 从外网验证候选地址能否直连
仅看到一个疑似源站地址还不够，关键是验证它能否绕开代理返回你的网站内容。选择经授权的外部网络，将待核验地址与正式域名一起用于连接测试，保持正确的主机名和 TLS 域名校验，再分别访问首页和一个具有辨识度的公开页面。
- 若能获得与正式站点一致的页面，检查该地址是否确属源站，并确认请求是否经过代理。
- 若连接失败或返回默认页，不代表没有泄露：服务器可能按主机名区分站点，也可能只限制了部分端口。
- 不要把证书相同、页面相似或单次超时当作唯一证据；结合解析、服务器日志和防火墙规则判断。
这一环节是网站源站隐藏与真实IP泄露排查方法中最直接的验证，但应控制请求频率，避免对不属于自己的地址测试。
4. 补查 IPv6、邮件和旧环境
不少排查只关注 IPv4，容易漏掉 AAAA 记录及服务器的 IPv6 入站规则。确认域名是否发布 IPv6 地址、源站是否监听公网 IPv6，以及防火墙是否和 IPv4 一样严格。还要核对旧服务器、预发布环境、备份站点和邮件主机：它们可能独立暴露地址，但不一定就是当前网站源站。
5. 收紧入口并复测
确认代理架构后，在源站防火墙或云平台安全策略中，仅允许必要的 CDN 回源地址访问网站端口；管理入口另行限制来源。CDN 的回源地址范围可能调整，应通过服务商官方渠道维护规则，避免长期使用过期名单。若旧源站地址已经公开，替换地址后还要关闭旧地址的公网入口，并检查仍指向旧环境的记录。
改完后，从非代理网络再次测试候选地址，并复查域名记录、IPv6 和旧环境。网站源站隐藏与真实IP泄露排查方法应形成周期性流程：每次迁移、切换 CDN 或新增子域名后复核一次；具体周期按变更频率和风险确定。
常见问题
用了 CDN，源站地址还会泄露吗？
会。历史解析、未代理的子域名、IPv6 或旧服务器都可能暴露线索；CDN 只代理配置覆盖到的流量。
查到服务器地址就能确认源站泄露吗？
不能。它可能属于 CDN、邮件服务或其他供应商。需要验证地址归属，并测试是否能以正式域名直连返回站点内容。
源站 IP 已公开，删除 DNS 记录够吗？
不够。还应关闭旧地址的公网访问、检查残留子域名和 IPv6，并复测源站是否仍能被绕过代理访问。
