Nginx 配置 HTTPS/SSL 是最常被搜的运维操作之一——从 HTTP 升级到 HTTPS、申请免费 SSL 证书、配置 Nginx SSL 参数、实现全站 HTTPS 跳转。很多人只会复制粘贴配置但不懂参数含义，遇到"证书过期了不知道怎么换""SSL...

SSH 免密登录(公钥认证)是自托管最常用也最容易配错的一项：ssh-keygen 生成密钥对、把公钥放到服务器的 ~/.ssh/authorized_keys，但还是被问密码、或报 Permission denied。SSH 免密登录与密钥认证解决用密钥代替...

自托管最容易被忽略又最致命的一类泄漏是"日志里的明文敏感信息"：登录/请求日志打了密码、令牌、API key、SQL 参数里带了密钥、错误堆栈吐了内部地址与凭证。日志脱敏与敏感信息保护解决"让日志可排障又不泄漏机密"：在打日志的"源头"和在日志系统的"出口"双...

很多人以为 DNS 就是"配几个 nameserver 就完事"，但普通 DNS 查询是明文走 UDP 53：一旦网络被监听，谁在查什么域名、访问什么服务就一览无余，还能被中间设备劫持/污染。加密 DNS（DNS-over-HTTPS/DoH = DoH、DN...

自托管几乎所有机器都是靠 SSH 管的，但大多数人默认配置动不动就踩大坑：明文密码登录、root 可直登、密钥从不轮换、弱主机密钥算法、`~/.ssh/config` 记录混乱。SSH 是"进服务器的门"，这扇门的安全直接决定整机安全。这篇讲清 SSH 安全解...

自托管用久了，你从各个来源（官方、GitHub、别人 Docker Hub 拉下来的镜像）拉了一堆容器镜像，心里其实一直悬着一个问题："这张镜像到底是不是我想要的？有没有被偷偷换过、注入过恶意代码？"镜像供应链攻击（比如供应链投毒、镜像仓库被攻破、镜像被篡改）...

自托管服务一旦暴露到公网，你迟早会碰到两类不速之客：一类是"爬虫/采集"——它们可以在很短时间内把你的页面、API 抓走、占满带宽、甚至拖垮服务；另一类是"攻击/滥用"——暴力撞登录、接口被狂刷、薅羊毛、甚至 DDoS 打到你宕机。面对这些，防火墙挡的是"不该...

自托管的服务一旦开始对外提供访问，它就被放进了"公网大市场"：任何能连上网的机器都可能来敲你的端口。很多人靠"默认不开、要用才开"的直觉在抗，但真正的底气来自防火墙——一层在网络入口就决定"哪些包能进、哪些包根本进不来"的规则层。Linux 上负责这件事的是内...

总有一些攻击，是一座孤岛式的 fail2ban 反应不过来的。fail2ban 的思路是"我这一台看见了，就把你封了"，但它看不见整个互联网上别人也被同一批攻击者扫过的事实。CrowdSec 换了一个角度：把分散在世界各地服务器上观察到的攻击行为，汇成一个共享...

当你在 Traefik 后面托管了七八个自建应用，每个应用可能有自己的登录页、有的干脆没有登录——于是你的服务就像一串各自上锁的房门，有的锁还开着门。统一身份认证（SSO）解决的是"把这一串门的钥匙统一成一把、而且都上锁"这件事。Authelia 正是为这个场...