## 改掉默认入口
面板的默认入口路径与默认端口是公开信息，扫描器批量敲门打的就是这些。装好面板第一件事就是改：在面板设置里把安全入口换成一串无规律的随机字符，把常见的默认端口一并换掉。改完把新入口记进密码管理器，忘了入口只能靠服务器上的命令行工具重置，别给自己埋坑。宝塔在系统里带有管理菜单，应急时用得上：
bash bt
## 绑定域名访问
面板支持绑定域名，绑定之后直接敲 IP 访问会被拒绝，扫描器连登录页都摸不到。更稳的用法是配一个不对外解析的内部域名：域名只写在自己电脑的 hosts 文件里指向服务器 IP，等于面板只对你一个人可见。代价是换电脑要重新配 hosts，安全性和便利性之间的这点取舍，多数场景值得。
**面板启用 SSL。**面板自身支持开启证书。不开证书时，面板口令与站点数据在网络上是明文传输，在公共网络环境里有被嗅探的风险。用面板自带的自签证书或免费证书把面板访问升级为加密连接，浏览器提示证书不受信任属于自签证书的正常现象，核对指纹后继续访问即可。顺手把面板的登录地址统一成一个，避免一半明文一半加密的混用状态。
## 账号与更新
面板账号放弃 admin 这类默认名，密码用长随机串，支持两步验证就一定开上，多一道动态码能挡掉泄露后的直接登录。面板本体、插件与运行环境保持更新，历史版本出现过未授权访问类的安全漏洞，更新提示不要一拖再拖。同时做减法：卸载用不到的插件，面板里放行的端口越少越好，每个端口都问一句是否真的需要对公网开。
## 收尾自查
改完上面几项，用手机热点模拟外部网络做一次验证：IP 直连应当被拒，带安全入口的域名访问正常，证书生效。宝塔只是管理工具，真正的边界在系统层，登录顺云云服务器确认 SSH 策略与系统防火墙没有被面板悄悄改动，控制台侧的防火墙规则与面板内规则各管一段、互不冲突，这样新环境才算真正收尾。