宝塔面板装完先做这 5 件事：安全基线

我是小够，只推够用的 VPS。

宝塔面板装完，很多人第一件事就是建网站——先打住。面板刚装好是"裸奔"状态：默认 8888 端口全网可扫、登录页 http 明文传输、弱密码的一大把。面板是整台服务器的总开关，守住它才守得住所有网站。建站之前花 10 分钟做完这 5 件事，后面能省无数麻烦。

1. 改面板默认端口

8888 是全网扫描器的重点照顾对象，自动化脚本每天 24 小时扫这个端口。进面板「设置」，把面板端口改成 5 位随机数（比如 48217），别用 8888、888、443、8080 这些常见端口。改完之后用新端口重新登录一次确认能进，旧端口就自然失效了。

小够提醒：改端口只是"减少被扫到的概率"，不是"隐身"。真正的防护靠后面的几层，端口只是第一道薄纱——但薄纱也比裸奔强。

2. 给面板开 SSL

面板登录页默认是 http，账号密码明文传输。在公共 WiFi、公司内网这种不干净的网络环境下，等于把密码广播出去。去「设置」→「面板 SSL」，用面板自带的 Let’s Encrypt 一键申请，免费，之后强制 https 访问。申请完把浏览器书签也换成 https 的，养成习惯。

3. 绑定域名访问面板

别长期用 http://IP:端口 的方式进面板。去「设置」→「域名绑定」（或"面板域名"），填一个不公开的子域名，比如 panel.你的域名.com，做好 DNS 解析后只用域名进面板。更进一步：在服务器防火墙/安全组里，把面板端口的"IP 直接访问"禁掉——扫描器扫 IP 段时，你的面板直接隐身。

这个子域名别在网站上公开、别提交给搜索引擎，它就只是你一个人的后门钥匙。

4. 换强密码 + 开二次验证

面板账号密码换成 16 位以上的随机密码（大小写字母+数字+符号），存在密码管理器里，别用你在别处用过的密码——撞库攻击专吃"一密多用"。

然后去「设置」绑定二次验证（谷歌验证器 / Authenticator App）：以后登录除了密码，还要输手机上的 6 位动态码。面板被爆破的案例，十个有九个是弱密码+没开二次验证。两道锁，爆破脚本基本就放弃了。

5. 开登录告警

「设置」→「消息推送」，绑定你的微信、邮箱或钉钉。开启"面板登录告警"和"异地登录告警"。半夜收到一条陌生登录提醒，你爬起来改个密码就行；要是第二天才发现网站被挂马，清理+恢复至少半天起步。告警是成本最低的安全投资。

做完之后呢

这 5 件事做完，面板才算"可以见人"。接下来再去建网站、配 SSL、做备份——顺序别反。很多人是网站跑了半年才想起来补安全，补的时候才发现日志里早就躺着一堆爆破记录，只是运气好没被得手。安全这事，早做 10 分钟，晚补 10 小时。

小够总结

面板安全基线五件套：改端口、开 SSL、绑域名、强密码+二次验证、开告警。逻辑就一条：面板是总开关，守住它就守住了所有网站。10 分钟，一次性投入，长期受益——这买卖划算。