云服务器安全基线清单
SSH、防火墙、更新、备份，七项做完，你的服务器就超过了八成个人小站的安全水平。全程免费，都是系统自带功能。
更新于 2026-09-28
个人服务器被黑，九成是因为用了默认配置。这份清单全程免费，用的都是系统自带功能，一个下午能做完。
SSH：别让机器人在你门口试密码
- 改掉默认的 22 端口，换一个 1024 以上的端口
- 换成密钥登录，禁用密码登录（/etc/ssh/sshd_config 里 PasswordAuthentication no）
- 禁用 root 直接 SSH 登录，日常用普通用户 + sudo
- 改完先开一个新窗口测试能连上，再关掉旧窗口，别把自己锁外面
防火墙：只开必须的门
- 云厂商安全组 + 服务器防火墙，只放行 SSH（改过的端口）、80、443
- 数据库端口（5432、3306 这类）不对公网开，应用和数据库同机或内网通信
- 定期看一眼安全组规则，测试时临时开的端口，测完就关
更新与加固：让系统自己照顾自己
- 打开自动安全更新（Ubuntu 用 unattended-upgrades），别让漏洞补丁躺半年
- 装 fail2ban，SSH 爆破试几次就封 IP
- 新建一个日常用的普通用户，别天天用 root
备份与密钥：丢了能找回来
- 数据库每天自动备份，保留 7 天，备份文件放另一台机器或对象存储
- SSH 私钥、API 密钥只存自己电脑，丢了立刻换掉所有用过它的地方
- 环境变量文件（.env）不进 git，服务器上权限设成只有自己能读
做完这份清单，你的服务器安全水平已经超过八成个人小站。剩下的就是保持：更新别拖，备份别停。