二级域名有没有办法避免被扫？

扫描子域名一般用的是这两种办法：
1. 搜索引擎，搜索根域名 site: x.com，看看有没有收录的子域名。
2. 字典穷举，比如 www. api. panel. 这类子域名，批量去解析这些子域名，一旦解析到 IP 就代表正在用或曾经用过（猜、碰运气）。

因此解决方法就是：
1. 子域名屏蔽搜索引擎蜘蛛。
2. 子域名不使用常见词，整的复杂点别人就猜不出来了。

CF也是这种办法扫的吗

Cloudflare 等域名解析托管网站，都是用的第二种方法。