宝塔面板安全设置：安装后必须做的 8 个安全配置

宝塔面板安装完成后，不要急着直接部署网站，面板能让网站管理变简单，但面板本身、SSH 登录、服务器端口、防火墙规则、网站环境和备份任务都需要先处理好。否则网站还没正式上线，服务器就可能被扫描、爆破或者误开不必要的端口。

这篇文章整理一份宝塔面板安全设置教程，主要包括面板账号和密码、面板端口、安全入口、面板 SSL、动态口令、BasicAuth、访问设备验证、防火墙端口规则、Nginx/MySQL/PHP 组件检查，以及网站和数据库备份任务。对于刚安装宝塔面板的新手来说，可以按照本文步骤，把基础安全配置先做完，再继续搭建网站。

一、宝塔面板安装后为什么要先做安全设置

宝塔面板属于服务器管理入口，里面可以管理网站、数据库、SSL 证书、计划任务、软件环境和文件目录。只要面板入口、账号密码或服务器端口暴露太多，网站安全就会受到影响。

宝塔面板安全设置不是越复杂越好，而是先把几个基础问题处理掉：

1. 不要继续使用容易猜到的面板入口；
2. 不要把面板端口、SSH 端口和无关端口全部暴露在外；
3. 不要使用简单密码或长期不改的账号密码；
4. 不要忽略面板 SSL、动态口令、访问设备验证等登录安全功能；
5. 不要只搭建网站，却不做网站文件和数据库备份。

对于普通建站用户来说，宝塔面板安全设置最佳实践并不复杂，先把面板登录安全、服务器端口安全和数据备份这三部分做好，已经能避开很多常见问题。

如果你还没有购买 VPS，或者准备重新选择一台服务器建站，可以先参考 搬瓦工搭建网站选择什么样的 VPS 配置才够使用？。宝塔面板只是建站管理工具，真正影响网站运行的还是 CPU、内存、硬盘、线路和数据库占用。

二、宝塔面板登录安全设置

面板登录安全是宝塔安全设置里最先要处理的部分，这里主要检查面板账号、面板密码、面板端口、安全入口、面板 SSL、动态口令、BasicAuth、访问设备验证和密码复杂度。

1. 修改面板账号、密码、端口和安全入口

进入宝塔面板左侧“设置”页面，在“常用设置”中可以看到面板账号、面板密码、面板端口、安全入口、绑定域名、面板 SSL 等选项。

在宝塔面板常用设置页面，可以修改面板账号、密码、端口、安全入口，并开启面板 SSL

这里建议先处理下面几项：

• 面板账号：不要使用过于简单的用户名；
• 面板密码：建议使用较长密码，不要使用纯数字、生日、常见单词；
• 面板端口：不要继续使用默认端口，修改后要记得放行新端口；
• 安全入口：开启后需要通过指定入口访问面板，可以减少面板入口被直接访问的情况；
• 面板 SSL：为面板开启 HTTPS 访问，减少登录过程中的明文传输风险。

修改面板端口时要特别注意：如果服务器还有云服务商安全组，需要先在安全组里放行新端口，再回到宝塔面板修改端口，否则端口改完以后，自己可能也打不开面板。

安全入口也要保存好。以后访问面板时，不是只输入 IP 和端口，还要带上安全入口路径。如果忘记入口，可以通过宝塔命令查看面板默认信息，常用命令是：

bt 14

如果忘记面板密码，可以通过下面命令修改：

bt 5

如果需要修改面板用户名，可以使用：

bt 6

这些命令适合在 SSH 里应急使用，平时能通过面板后台操作时，优先在后台完成设置。如果你想集中查看宝塔面板的重启、修复、修改密码、查看入口等 SSH 命令，可以参考 宝塔面板 BT.CN 常用命令大全：安装、bt 命令和服务管理。

2. 开启动态口令、BasicAuth 和访问设备验证

宝塔面板的“安全设置”页面里，可以看到 Passkey、微信登录、面板安全告警、面板 SSL、BasicAuth 认证、动态口令认证、访问设备验证、密码复杂度验证、授权 IP、地区登录限制等选项。

在宝塔面板安全设置页面，可以按需开启动态口令、BasicAuth、访问设备验证和密码复杂度验证

这部分不用全部开启，但下面几项可以根据自己的使用情况选择：

• 动态口令认证：通过 Google Authenticator 等工具生成验证码，登录面板时多一道验证；
• BasicAuth 认证：在进入面板前先加一层基础认证，减少面板被直接扫描；
• 访问设备验证：限制未验证设备访问面板，适合管理设备比较固定的用户；
• 密码复杂度验证：要求面板密码满足长度、大小写、数字和特殊字符组合；
• 面板安全告警：面板用户变更、API 开启、开发者模式开启时可以收到提醒。

如果你经常换设备、换网络，不建议一上来就把所有限制都打开。比如授权 IP 适合固定公网 IP 的用户，如果家用宽带 IP 经常变化，开启后可能会导致自己无法访问面板。普通用户可以先处理面板端口、安全入口、强密码、面板 SSL 和动态口令，再根据需要开启其它限制。

这里的面板 SSL 主要是保护宝塔后台登录访问，和网站前台的 HTTPS 证书不是一回事，如果你要给网站域名配置 HTTPS，可以继续参考 宝塔面板申请免费 SSL 证书教程：Let’s Encrypt 配置 HTTPS。

3. 设置未认证响应状态和绑定域名

在安全设置页面中，还可以设置“未认证响应状态”，它的作用是：当别人没有通过正确入口访问面板时，面板可以返回 404 等状态，减少面板特征暴露。

绑定域名也可以提高面板访问控制，绑定后，只有通过指定域名才能访问面板。不过这个功能适合已经给面板准备好固定域名的用户，如果没有单独的面板域名，可以先不启用，避免自己配置错误后无法登录。

宝塔面板网站安全设置不只是给网站加 SSL，面板本身也要处理好入口、认证和访问限制。这样后面添加网站、数据库和计划任务时，服务器管理入口才不会长期处于裸露状态。

三、服务器端口和防火墙安全设置

面板安全设置完成后，还要检查服务器端口和防火墙规则，很多网站问题看起来像程序问题，实际是端口没有放行；也有不少安全风险，来自无关端口长期对外开放。

1. 开启防火墙并检查端口规则

进入宝塔面板左侧“安全”页面，可以看到防火墙开关、端口规则、IP 规则、端口转发、地区规则等内容，普通建站用户主要检查端口规则。

在宝塔面板安全页面，可以检查防火墙端口规则，只保留网站、SSH 和面板需要使用的端口

建站常用端口主要是：

• 80：HTTP 网站访问；
• 443：HTTPS 网站访问；
• 22 或修改后的 SSH 端口：用于 SSH 远程登录；
• 宝塔面板端口：用于访问宝塔后台；
• 3306：MySQL 端口，普通网站不建议直接对外开放。

如果网站只在本机使用 MySQL，MySQL 端口没有必要对所有 IP 放行，端口规则里显示“未使用”的端口，也不要因为看着方便就全部开放。宝塔面板服务器安全设置的基本原则是：只放行自己真正需要的端口。

2. 检查 SSH 端口和面板端口

SSH 默认端口是 22，很多自动扫描工具会优先扫这个端口，如果你已经修改了 SSH 端口，需要确认新端口在宝塔防火墙和云服务器安全组里都已经放行，否则 SSH 可能连不上。

宝塔面板端口也是一样，面板端口改完以后，如果防火墙或安全组没有放行新端口，浏览器也打不开宝塔后台。

宝塔面板 ssh安全设置可以先从这几件事开始：

1. 不要使用简单的 root 密码；
2. 能不用默认 SSH 端口就不要长期使用默认端口；
3. 只给需要的 IP 或端口放行规则；
4. 确认面板端口和 SSH 端口不要混在一起；
5. 如果面板提供 SSH 防爆破、登录告警等功能，可以按需开启。

如果你对 SSH 还不熟，不要一边修改端口一边关闭现有连接，可以先新开一个 SSH 窗口测试新端口能否登录，确认没问题后，再关闭旧窗口。

如果修改 SSH 端口后连接不上服务器，先不要反复重装系统，可以按照 搬瓦工 SSH 连接不上的可能原因以及相对应的解决方法 排查端口、安全组、防火墙、密码和 SSH 服务状态。

3. 不需要的端口不要随便放行

很多新手为了省事，会把端口范围开得很大，或者看到某个教程写了端口就直接放行，这样做会增加服务器被扫描的机会。

普通 WordPress 网站一般只需要网站端口、SSH 端口、宝塔面板端口。除非你确实知道某个服务需要对外访问，否则不要随便放行数据库、缓存、管理后台和测试服务端口。

四、网站环境更新和数据备份

服务器安全不是只改入口和端口，Nginx、MySQL、PHP、phpMyAdmin 等网站环境组件长期不更新，也可能带来风险。与此同时，网站文件和数据库也要定期备份，没有备份时，误删、被黑、数据库损坏都会很麻烦。

1. 定期检查 Nginx、MySQL、PHP 等组件

进入宝塔面板“软件商店”，切换到“已安装”，可以看到服务器上已经安装的 Nginx、MySQL、PHP 等组件，右侧一般会有更新、设置、卸载等入口。

在宝塔面板软件商店的已安装页面，可以检查 Nginx、MySQL、PHP 等网站环境组件

这里不是看到更新就立刻点击，生产网站更新环境前，应该先备份网站和数据库，尤其是 PHP、MySQL 这类会直接影响网站运行的组件。

建议的做法是：

• 定期查看宝塔面板和已安装软件是否有更新提示；
• 更新前先备份网站文件和数据库；
• 不要在访问高峰期更新网站环境；
• 更新后打开网站前台和后台，确认功能是否正常；
• 如果网站依赖特定 PHP 版本，不要随意切换 PHP 大版本。

宝塔面板网站安全设置里，环境更新和程序更新都不能忽略，面板只是管理入口，真正运行网站的还是 Nginx、MySQL、PHP 和网站程序本身。

2. 添加网站备份计划任务

进入宝塔面板“计划任务”，点击“添加任务”，任务类型选择“备份网站”，可以设置执行周期、备份网站、备份路径和保留份数。

在宝塔面板计划任务中添加备份网站任务，设置执行周期、备份路径和保留份数

普通网站可以设置每天凌晨自动备份一次，保留最近几份备份即可，保留数量不要太少，也不要无限制保留。保留太少，出问题时可能找不到可用版本；保留太多，会占用服务器硬盘空间。

如果服务器空间比较小，建议定期下载重要备份到本地电脑，或者同步到其它存储位置，只把备份放在同一台服务器里，并不能完全解决服务器故障、误删和硬盘损坏问题。

3. 添加数据库备份计划任务

网站文件要备份，数据库也要单独备份，WordPress 的文章、分类、标签、后台设置、插件数据都在数据库里。如果只备份网站文件，不备份数据库，网站仍然无法完整恢复。

在计划任务中添加“备份数据库”，选择 MySQL，数据库可以选择全部或指定数据库，再设置执行周期、备份路径和保留份数。

在宝塔面板计划任务中添加备份数据库任务，设置 MySQL 数据库备份周期和保留份数

网站文件和数据库最好分开备份，以后网站出问题时，可以先判断是文件出了问题，还是数据库出了问题，恢复起来也更方便。

五、总结

以上就是宝塔面板安全设置的主要内容，安装宝塔面板后，建议先处理面板账号、密码、端口、安全入口、面板 SSL、动态口令、BasicAuth、访问设备验证和密码复杂度，再检查服务器防火墙端口规则，最后补上网站环境更新和自动备份任务。

如果后续不再使用宝塔面板，或者准备更换面板、重装环境，不要直接乱删目录，可以先参考 宝塔面板(Linux)一键卸载教程：安全删除BT面板及环境残留，先弄清楚只卸载面板和连运行环境一起卸载的区别，避免误删网站文件和数据库。

如果只做其中几项，优先顺序可以这样安排：先改面板端口和安全入口，再设置强密码和面板 SSL，然后检查 SSH 端口、防火墙规则，最后添加网站备份和数据库备份计划任务。

宝塔面板安全设置最佳实践并不是一次设置完就永远不用管，后续更换域名、修改端口、升级环境、迁移网站、接入 CDN、调整防火墙规则时，都应该重新检查一遍面板登录、端口放行、网站访问和备份任务是否正常，这样才更适合长期建站使用。

PS：【宝塔服务器面板 一键全能部署及管理】点我领取 ￥3188大礼包，券后可以0.99元体验一个月专业版！