宝塔面板新装后必做的安全设置——别让服务器裸奔

新服务器装完宝塔，很多人就直接建站开用了。我先泼盆冷水：默认配置的宝塔，安全上基本是裸奔。2026年扫描全网IP的脚本特别多，端口一开放，几分钟就有暴力破解进来。下面是我每台新服务器都会做的七步。

第一步改面板端口和入口。宝塔默认8888端口，全网脚本都在扫。面板设置里改成随机五位端口，再开「BasicAuth认证」，访问面板要输两遍账号密码。这一步能挡掉九成扫描流量。

第二步禁用面板的root登录。宝塔默认允许root直接登录面板，改成新建一个普通用户登录，root只保留SSH。面板登录失败的IP会自动封禁，这个开关记得打开。

第三步SSH加固。修改SSH默认端口，禁用密码登录改用密钥，密钥用ed25519生成。再装个fail2ban，连续失败几次就封IP。我有个客户没改SSH端口，日志里一天被尝试登录两千多次，改完端口后归零。

第四步防火墙白名单。宝塔防火墙只放行必要端口：22（或改后的SSH）、80、443、面板端口，其他全关。数据库端口千万不要对公网开放，本地连接就行。

第五步开系统加固和防爆破。宝塔的「系统加固」功能把关键目录锁起来防篡改，「SSH防爆破」会自动封禁暴力破解IP。这两个都是免费功能，装上不亏。

第六步备份兜底。宝塔计划任务里加一个每天自动备份到对象存储的脚本，保留最近7天。真被入侵了，重装系统加恢复备份，半小时满血复活。第七步是定期更新，面板和软件都保持最新版，老版本的漏洞网上都有利用教程。

标签： 宝塔面板 服务器安全 网站建设