申请 SSL 证书用 DNS 验证，Cloudflare 的 API Key / API Token 怎么获取？
宝塔面板里申请 SSL 证书、或接入 Cloudflare 插件时，经常要填 Cloudflare 的「API Key」或「API Token」。这两个不是同一个东西：Global API Key 权限覆盖账户下所有域名、安全性较低，API Token 可以限定权限和域名范围、更安全。本文讲清两者区别，以及分别在 Cloudflare 控制台哪里获取、在宝塔面板里填在哪。
API Key 和 API Token 有什么区别？一个权限大、一个可限定
Cloudflare 提供两种 API 凭证，用途相同（都是让宝塔面板通过 API 帮你管理 DNS 记录），但权限模型不一样：
| 类型 | 权限范围 | 安全性 | 适用场景 |
|---|---|---|---|
| Global API Key | 账户下所有域名的完全访问权限 | 较低（权限过大） | 旧版集成、兼容性需求 |
| API Token | 可自定义权限和域名范围 | 较高（最小权限原则） | 推荐使用，更安全 |
优先用 API Token：它可以限制权限范围、只授权指定的域名，即使凭证泄露影响也有限。只有遇到不支持 Token 的场景（比如面板明确要求填 Email 和 API Key 两栏）才用 Global API Key。
什么时候会用到这些凭证？
主要在两个场景：
- SSL 证书自动化申请：用 Let’s Encrypt 等证书走 DNS 验证方式时，面板需要通过 API 自动添加 DNS 记录来完成域名归属验证。
- Cloudflare 插件配置：宝塔面板的 Cloudflare 插件需要 API 凭证来管理 DNS 记录和其他功能。
Global API Key 在哪获取？配合邮箱一起用
Global API Key 通常配合账号邮箱使用——如果面板里看到要填 Email 和 API Key 两栏，就是要用 Global API Key。
获取步骤：
- 打开 Cloudflare API Tokens 页面并登录账户。
- 在页面底部找到 Global API Key 部分，点 View（查看）按钮。
- 按提示完成验证后，Global API Key 会显示出来，点击复制保存。
Global API Key 拥有你账户下所有域名的完全控制权限，请妥善保管、不要泄露。如果怀疑泄露，立即在 Cloudflare 中重新生成。
API Token 怎么创建？选「Edit zone DNS」模板，指定域名
如果面板里只需填 API Token（API 令牌） 一栏，就用 API Token。创建步骤：
- 打开 Cloudflare 帐户 API 令牌 页面并登录。
- 点 Create Token（创建令牌）按钮。
- 选择 Edit zone DNS（编辑区域 DNS） 模板，或自定义配置。
- 给 Token 设一个描述性名称（如
BaoTa-Panel-DNS），并配置权限：Permissions（权限） 选Zone（区域）下的DNS、操作权限选Edit（编辑）；Zone Resources（区域资源） 选Include（包含）→Specific zone（特定区域），再选你要管理的域名。 - 确认信息无误后点 Create Token（创建令牌）。
Token 只会显示一次，请立即复制并安全保存；如果丢失，需要重新创建。
拿到凭证后，在宝塔面板里填在哪？
SSL 证书申请（DNS 验证）：进入「网站 → SSL → Let’s Encrypt」，验证方式选 DNS 验证，DNS 接口选 Cloudflare，然后填 Cloudflare Email 和对应的 API Key / API Token。
Cloudflare 插件：进入「软件商店」安装 Cloudflare 插件，打开插件设置，填写 API 凭证——用 Global API Key 就填邮箱和 API Key，用 API Token 就直接填 Token。
常见问题
Cloudflare 的 Global API Key 和 API Token 有什么区别？
Global API Key 拥有账户下所有域名的完全访问权限、权限过大、安全性较低，用于旧版集成和兼容性需求；API Token 可以自定义权限和域名范围，遵循最小权限原则，安全性更高，官方推荐优先使用。只有不支持 Token 的场景才用 Global API Key。
申请 SSL 证书时，为什么需要 Cloudflare 的 API 凭证？
用 Let's Encrypt 等证书走 DNS 验证方式时，宝塔面板需要通过 Cloudflare 的 API 自动添加一条 DNS 记录来完成域名归属验证，所以要在面板里填 Cloudflare 的 Email 和 API Key（或 API Token）。
Global API Key 在 Cloudflare 哪里查看？
登录 Cloudflare 后打开 API Tokens 页面（dash.cloudflare.com/profile/api-tokens），在页面底部找到 Global API Key 部分，点 View 按钮，完成验证后即可复制。它通常配合账号邮箱一起填写。
API Token 怎么创建？
打开 Cloudflare 帐户 API 令牌页面，点 Create Token，选择 Edit zone DNS 模板，设置 Token 名称（如 BaoTa-Panel-DNS）和权限（Zone 下的 DNS、操作权限 Edit），Zone Resources 选 Include + Specific zone 并指定要管理的域名，确认后点 Create Token 生成。
创建的 API Token 忘了保存怎么办？
Token 只会显示一次，创建后请立即复制并安全保存。如果丢失，无法找回，需要重新创建一个新的 Token。
宝塔面板里在哪里填 Cloudflare 的 API 凭证？
两处：一是「网站 → SSL → Let's Encrypt」里，验证方式选 DNS 验证、DNS 接口选 Cloudflare，填 Cloudflare Email 和 API Key / API Token；二是软件商店安装 Cloudflare 插件后，在插件设置里填写对应的 API 凭证。