自托管服务上线前检查清单

1. 域名与入口

• 域名解析是否指向正确服务器。
• HTTP 是否会自动跳转到 HTTPS。
• 反向代理里是否只暴露必要服务。
• 后台管理端是否避免直接公开，至少要有强密码或额外访问控制。

上线前先确认访问入口非常重要。很多服务本身没有强防护，真正暴露到公网以后，风险会比在内网测试时高很多。

2. HTTPS 与证书

• 证书链是否完整。
• 证书有效期是否清楚。
• 自动续签是否已经验证过。
• 多个子域名共用证书时，要确认 SNI 配置覆盖所有域名。

证书能申请成功不代表长期可用，最好额外做一个到期提醒，避免几个月后突然访问异常。

3. 应用配置

• 应用的 external URL 是否是正式 HTTPS 域名。
• 站点标题、简介、备案信息是否完整。
• 邮件、Webhook、对象存储等外部集成是否使用最小权限。
• 日志里不要输出 token、密码或完整私人路径。

如果服务需要对外展示内容，建议把“公开内容”和“私人配置”分开维护，不要直接把内部笔记原样发布。

4. 数据与回滚

• 上线前先备份配置和数据库。
• 确认备份不是空文件，并记录恢复路径。
• 容器升级或配置变更前，保留原始 compose 文件。
• 数据卷不要随意删除，尤其是数据库、附件和证书目录。

真正可靠的备份不是“有备份文件”，而是“知道怎么恢复，并且恢复过一次”。

5. 隐私检查

公开页面上线前，建议搜索以下内容：内网 IP、真实账号、邮箱、手机号、访问令牌、私钥片段、家庭住址、工作单位、私有文件路径。

截图也要检查。很多泄漏不是正文写出来的，而是截图里带了浏览器地址栏、终端路径、账号头像或后台信息。