自托管安全：暴露公网前的必做检查
把服务暴露到公网前，先做到最小暴露、强制加密、访客隔离和日志可见，这四件事比装多少安全插件都重要。默认口令、直连数据库端口和被遗忘的实验性服务，往往是最容易被扫描利用的入口。
核心要点
- 先判断是否真的需要公网访问，能用隧道或局域网解决就不暴露。
- 更新补丁、强认证、全站 HTTPS、反向代理和最小权限是必做项。
- 保留登录日志并对证书到期、备份失败设置告警。
- 默认口令、直连数据库端口、遗忘的实验性服务是常见入口。
一句话结论：把服务暴露到公网前，先做到“最小暴露、强制加密、访客隔离、日志可见”，这四件事比装多少安全插件都重要。
先确定要不要暴露
不是所有自托管服务都需要公网访问。家庭相册、内部工具完全可以只在局域网或通过加密隧道访问。暴露面越小，需要防守的地方越少。部署前先问：真的需要外网访问吗，能不能用隧道或只对特定网络开放。
暴露前的必做检查
- 更新与补丁：系统和应用保持更新，固定版本但及时修安全漏洞。
- 认证：启用强密码与多因素认证，禁用默认账号和弱口令。
- 加密：全站启用 HTTPS，证书自动续期并有人监控过期。
- 反向代理：应用不直接监听公网端口，由代理统一处理证书与访问控制。
- 访问控制：管理后台限制来源，必要时加额外认证。
- 最小权限：容器以非特权用户运行，挂载目录只读优先。
日志与监控
- 保留登录和访问日志，关注异常登录与扫描。
- 对磁盘、证书到期和备份失败设置告警。
- 定期检查是否有未知的开放端口。
常见坑
- 用默认密码或弱口令，直接被批量扫描攻破。
- 数据库端口直接暴露公网。
- 开了一堆实验性服务忘记关闭，成为入口。
- 备份与主机放在同一网络，被入侵后一起失守。
行动清单
- 从外部网络扫描自己的服务，确认开放端口都在预期内。
- 关闭不用的服务与端口，取消不必要的公网映射。
- 启用多因素认证，替换所有默认凭据。
- 建立每月安全检查清单，记录变更。
- 每月从外部扫描一次自己的公网端口，核对开放列表是否与预期一致；发现不明服务立即下线并排查日志，同时统一替换默认凭据，把安全检查变成固定动作而不是临时补救。
注意事项
- 安全配置属于专业领域，本文不构成专业建议，请参考官方安全文档并咨询专业人士。
- 具体的加固方法与漏洞信息会变化，请以官方公告为准。
参考资料
本文参考以下公开信息源，具体数据与表述以原始来源为准。