宝塔面板搭建网站：建站点到开 SSL 的四步与验证标准

宝塔 Linux 面板官网写安装只要2分钟左右，装完之后建站就是四步：创建站点、配伪静态、部署 SSL、按需设访问限制，每一步都有能当场看到的验证结果。官方把「创建网站」「部署 SSL 证书」「修改面板端口」和安装一起列在「快速开始」里，这几步就是第一次用面板的标准路径。

对出海做站的人来说，这四步决定的是站点能不能打开、能不能被浏览器认成安全站点。前两步没做对，后面程序装上去也是白装；第三步没做对，浏览器地址栏会一直提示不安全。

• 四步分别是创建站点、配伪静态、部署 SSL、按需设访问限制
• 每步的验证：域名打开是站点页、内页 URL 变短且能开、地址栏有锁且 http 自动跳 https、改完首页内页都正常
• 面板端口当前安装随机生成，以安装完显示的地址为准
• 面板打不开按安全组、防火墙、端口、服务状态这个顺序查
• Linux 面板永久免费，企业版付费，绑账号 14 天试用

手上还没有服务器的，先把 VPS 这件事定下来再回来看面板。这篇只讲面板里从建站到开 SSL 这四步的动作、验证和回查。

宝塔面板搭建网站到底在做什么：面板管的是哪几件事

面板是什么、能替你干哪些活

宝塔面板官方文档的定义是「一款运行在 Linux 与 Windows 服务器上的可视化运维管理面板」，出品方是广东堡塔安全技术有限公司。它把服务器上那些原本要敲命令的活搬到网页上：创建网站、绑定域名、配置反向代理、伪静态、SSL、防盗链、网站监控，还能一键装 LNMP 或 LAMP 环境。

支持的系统包括 CentOS、Ubuntu、Debian、AlmaLinux、RockyLinux 这些 Linux 发行版，也有 Windows Server 版。官网写的装机量是2000万台服务器、近300万注册用户，这组数只说明用的人多、遇到问题容易找到答案，跟你要不要用没有直接关系。

面板是给正当业务用的。官方写明禁止用于诈骗、赌博、色情、木马、病毒这类业务，违规使用者会被封停账号和服务器 IP。这一条在动手之前就该看清。

为什么建站四步的顺序不能乱

站点是后面所有配置的挂载点。伪静态规则挂在某个站点上，SSL 证书绑的是某个站点里填的域名，顺序反过来，规则和证书都没有落点。

先建站点还有一层实际好处：域名解析生效没有、服务器通不通，在第一步就能验证。带着一个打不开的域名去配 SSL，验证只会一直失败，排查面反而更大。

安装本身官网列了四步：SSH 连服务器、root 账户执行安装命令、按提示访问面板地址用初始账号密码登录、首次登录一键装推荐套件。SSH 怎么连服务器，VPS服务器租用怎么连那篇把连接这一步拆开讲过。

第一步：在面板里创建站点并绑定域名，怎么确认真的建成了

登录面板后左侧进「网站」板块，点「创建站点」。表单里要填三样：域名、根目录、PHP 版本。域名填你要用的那个，带 www 和不带 www 的按需要一起填；根目录填一个你能记住的路径，面板会按这个路径建目录；PHP 版本按程序要求选，跑 WordPress 官方推荐 PHP 8.3 或更高。

站点建完还不算通，域名要解析到这台服务器的 IP。在域名服务商那边加一条 A 记录，主机记录填 @ 或 www，记录值填服务器公网 IP。解析生效要时间，具体操作看更换域名DNS解析。

站点建出来的是一个目录加一份站点配置。目录是后面放程序的地方，配置里记着这个域名对应哪个目录。这两样在，后面伪静态和 SSL 才有东西可挂。

验证只看一件事：浏览器输入域名，能打开一个页面。这个页面通常是面板生成的默认页，上面可能写着「恭喜站点创建成功」。看到它说明站点已经建好、域名已经指到这台服务器，只是还没放程序。

这里要分清楚三种页面。打开域名看到的是站点默认页，说明站点通了；看到的是面板登录页，说明域名指到了面板端口，没指到网站端口；看到404或者打不开，说明解析或绑定有问题。

打不开按三样查。域名解析生效没有，在本地 ping 一下域名看返回的 IP 对不对；站点根目录下有没有 index 文件，空目录打开就是403或空白；PHP 版本选对没有，版本跟程序要求差太远，程序会报错。建完站先往根目录放一个 index.html，用域名打开能显示，再去装程序，这样能把「站点没建好」和「程序没装好」两件事分开。

第二步：伪静态怎么设，设完看哪一处才算生效

进「网站」，点站点后面的「设置」，找到「伪静态」。右边有一排规则可选，跑 WordPress 就选 wordpress，保存。保存后规则会写进这个站点的配置文件，不用自己去改。

伪静态解决的是网址形态。默认情况下 WordPress 的文章地址是 /?p=123 这种带问号的形式，开了伪静态、再在 WordPress 后台把固定链接设成「文章名」，地址才会变成 /hello-world/ 这种。WordPress 官方对 .htaccess 的说明是，这个文件用来控制 Apache 怎么从根目录和子目录提供文件，WordPress 会修改它来支持这种固定链接。

验证分两处看。前台打开一篇文章，URL 是短链接形态、页面正常返回，说明伪静态生效；后台进「设置」→「固定链接」，页面下方不再提示需要手动写 .htaccess，也说明规则已经写进去了。

内页404、首页正常，基本就是伪静态没保存或者规则选错。回面板看一眼伪静态那一栏是不是空的、选的规则对不对。用 Apache 的话还有一层：根目录的 .htaccess 被插件改坏，固定链接会失效。WordPress 官方给出的基础规则块以 # BEGIN WordPress 开头、# END WordPress 结尾；官方写明 .htaccess 页面可用于恢复损坏的 .htaccess 文件（例如插件行为异常导致）。

用 Nginx 的时候没有 .htaccess 这个文件，规则由面板伪静态这个入口写进站点配置，验证方法一样，看内页能不能打开。

第三步：SSL 证书怎么申请和部署，显示不安全查哪里

还是在站点设置里，找「SSL」。选 Let's Encrypt 这个免费证书来源，勾上要签的域名，点申请。面板会自己去完成验证，通过之后证书自动填好，保存。

Let's Encrypt 验证域名归属有几种方式，HTTP-01 这种验证只能走80端口。意思是申请的那一刻，你的域名必须能从公网80端口访问到这台服务器。

证书装好后，同一个页面里有个「强制 HTTPS」的开关，打开。打开后访客用 http 进来会自动跳到 https。

验证看两个地方。浏览器地址栏出现锁形图标，点开能看到证书是签给这个域名的；手动输 http:// 开头的地址，会自动跳到 https://。两个都对，才算这一步做完。

申请失败提示验证不通过，先查80端口。Let's Encrypt 官方写的是，这类验证失败多半是网络或防火墙挡住了验证服务器访问你的机器。云厂商控制台的安全组放行80，服务器防火墙也放行80，两边都要。

要签通配符证书，一个证书覆盖所有子域名，HTTP-01 签不了，得走 DNS-01。官方明确写了 HTTP-01 不能签通配符。

续签失败先看是不是撞了 Let's Encrypt 的速率限制。同一个注册域名和完全相同的一组标识符，各自都有按周窗口计算的签发上限，具体数字列在后面的表里。命中的话官方写明没有临时重置的办法，吊销证书也不会重置，只能等时间窗口过去。测试阶段把客户端指到 staging 环境，那边的限制高得多。

从申请到强制跳转这一整套，网站开启https加密协议那篇讲得更细。

第四步：访问限制、防盗链这类开关，什么时候该动

站点设置里还有一排入口：网站目录、访问限制、流量限制、重定向、反向代理。这些不是建站的必经步骤，是站点跑起来之后按需再动的开关。

访问限制用来给站点加一道账号密码，网站还没做完不想让外人看的时候开。开了之后访客打开域名要先输账号密码，验证方式就是用一个没登录的浏览器打开，看会不会弹验证框。不需要了记得关掉。

防盗链管的是别人直接引用你站上的图片、文件。开了之后，来源不是你域名的请求会被拒。验证方式是随便找一张图，在浏览器里直接开图片地址看能不能显示。

网站目录这个入口改的是站点的运行目录。跑 Laravel、ThinkPHP 这类框架，程序要求把运行目录指到 public 下面，这时候才去动它。跑 WordPress 不需要动，根目录就是程序目录。装完程序先不动这一项，等程序报错提示目录不对再改。

这些开关有一个共同的风险：改完不验证。每动一项，回头把首页和内页都打开一遍，两个都正常再继续下一项。安全组也是一个道理，只放用到的端口，80、443加面板自己那个端口。

数字和限制：建站这一步会用到的几个数

下面这几个数，建站这四步里会直接碰到。

真正会卡住人的是最后三行。前两行是花钱和花时间的事，后面三行是证书申请失败时才会想起来看的限制，提前知道能少走弯路。

面板打不开、端口不通，按这个顺序查

面板打不开是最容易慌的一步。按下面这个顺序走，多数情况在前两步就能定位。

1. 云厂商控制台的安全组，看面板端口有没有放行。没放行就从这里加规则，协议、端口、来源按实际填。
2. 服务器自己的防火墙，看同一端口有没有放行。云厂商放行了、系统防火墙没放，照样连不上。
3. SSH 登录服务器，执行 cat /www/server/panel/data/port.pl 读出面板实际用的端口，拿这个端口去对前面两步。
4. 执行 bt restart 重启面板，没有返回报错说明面板本身在正常运行。
5. 执行 bt default 拿最新的面板登录地址和默认账号密码，用新地址访问。

面板端口现在不固定，当前安装会生成一个随机端口，以安装完成后显示的面板地址为准。别默认往8888上套，套错了查半天都是白查。要改端口用 bt 8，改完安全组和防火墙两处都要放行新端口。

忘记面板密码，SSH 里执行 bt 5 改密码，bt 6 改用户名。这两个命令跟端口无关，但排查登录问题时经常一起用上。

按这个顺序走完还是打不开，更深一层的排查写在宝塔面板打不开里。

常见误区：这几件事做了反而更麻烦

三个误区，每一个都会把简单问题拖成复杂问题。

误区一：面板打不开先重装。先按上一节的顺序查安全组和面板运行状态。

误区二：把面板登录页那个「不是安全连接」当成网站证书没配好。面板默认开了 https，用的是服务器内部签发的证书，公网浏览器不认，所以会提示。它跟你在站点里装的 Let's Encrypt 证书是两件事，网站证书看地址栏有没有锁就行。想去掉这个提示，按官方说法在本机装一份根证书。

误区三：SSL 申请失败就反复删配置重来。反复重装客户端、每次部署都删掉 ACME 客户端的配置数据，是撞上同一标识符集合签发上限的常见原因。失败一次先查80端口，别急着删。

站点建好之后如果打开变慢，那是另一个问题，排查顺序写在建站后变慢的四层排查顺序里。

真实案例：一个长期用面板的站长，说清了什么时候不该用

宝塔论坛有个用户「宝塔用户_ujxfhe」，抓取前4天发了个帖。他说自己长期在用宝塔 Linux 面板，从个人博客到多站站群都跑过，一台服务器放十几个网站，切换 PHP 版本、伪静态、反向代理都方便。

同一个帖里他也写了自己不推荐的场景：极简业务、只跑单一服务、追求极致轻量化、有成熟运维能力，这几种情况直接上原生 LNMP 更好。理由是面板本身多一层程序开销，插件装多了会多出攻击面。

这段对本文读者的意思是，四步建站适合手上要管不止一个站的人。只想跑一个静态页、或者只挂一个简单的服务，面板这层就多余了，WordPress VPS主机推荐那篇里有更轻的选择。

用 AI 帮你把建站步骤整理成清单，哪几步必须自己动手

面板的官方文档是入口式的，创建网站、部署 SSL、修改端口各占一个链接，正文要一页页点进去看。把这几页丢给 AI，让它整理成一张勾选清单，比边看边记省事。

1. 把官方安装四步（SSH 连接、执行命令、访问面板、装推荐套件）整理成带勾选框的清单，写稿时逐条对照。
2. 把「网站管理」板块的入口名列成一张操作路径表，创建站点、域名管理、伪静态、部署 SSL 各在哪一步用。
3. 把「面板安装后无法访问」的排查顺序改写成读者能照着做的检查清单，每一步写清执行什么命令、看什么结果。

AI 整理出来的数字要回官方原文对一遍，别让它顺手换算成天或者小时，原文用什么单位就用什么单位。

三条可以直接复制的提示词，是本文给的示例，不是官方模板。

「下面是一段宝塔面板官方安装流程原文，请只提取其中的步骤动作和顺序，不要补充原文没有的步骤，输出成编号清单。」

「下面是一段 Let's Encrypt 速率限制原文，请把其中的数字、时间窗口、补充速率逐条列成表格，单位保持原文不变，不要换算。」

「下面是一段面板无法访问的官方排查说明，请按原文顺序改写成读者自查清单，每一步写清执行什么命令、看什么结果，不要加原文没有的判断标准。」

有三件事 AI 替不了。安全组里按面板实际端口加放行规则，协议、端口、来源要你自己在云厂商控制台点；SSH 里执行 cat 读端口、执行 bt default 拿地址和账号密码，得你自己登服务器；面板里点创建站点、填域名和根目录、建完打开首页看返回什么，这个判断也得你自己做。

这类整理资料、对照官方文档的活，交给猎者出海的AI Agent 做，能省掉来回翻页面这一步。

常见问题

宝塔面板默认端口是 8888 吗？

不固定。当前安装生成的是随机端口，以安装完成后显示的面板地址为准。要改端口用 bt 8，改完在安全组和系统防火墙两处放行。

宝塔面板免费吗，企业版试用到期会怎样？

Linux 面板永久免费，企业版是付费版本，绑账号可以试用14天。试用到期后切回免费版或专业版，建站这四步在免费版里都能做完。

创建站点后域名能打开一个页面，是出错了吗？

正常。说明站点已经建好、域名已经指到这台服务器。往根目录放上程序文件，这个页面就会被替换掉。

SSL 申请失败提示验证不通过，先查什么？

先查80端口。HTTP-01 验证只能走80，云厂商安全组和系统防火墙两边都要放行。放行之后重新申请一次。

面板提示「不是安全连接」要不要处理？

不处理也不影响网站。那是面板自己的登录页用了服务器内部签发的证书，公网浏览器不认。想去掉提示，在本机装一份根证书。

建站一共要花哪些钱？

面板本身免费，花钱的是主机、域名、插件和主题这几块，主机域名插件主题四笔账把这几笔分开算过。

四步做完，能验证的东西就三样：域名能打开、内页能打开、地址栏有锁。三样都在，站点就算立住了。后面装程序、发文章、做收录，是这个站能不能带来流量的事，跟面板怎么建站是两件事。需要反复对照官方文档的时候，让猎者出海的AI Agent 先整理一遍，剩下拍板的还是你自己。