宝塔面板开启面板 SSL 与绑定域名的正确顺序是：先在「面板设置」里绑定域名并记下安全入口，再上传证书开启面板 SSL，最后放行端口并用 https://你的域名:端口/安全入口 访问。顺序反了容易把自己锁在面板外，只能进 SSH 用 bt 命令救回来。
宝塔面板怎么绑定域名访问？
结论：绑定域名只改「面板设置 → 域名绑定」这一处，且必须先把域名 A 记录解析到服务器公网 IP，否则保存后照样打不开。
操作步骤（Linux 面板 9.x）：
- 在域名服务商处添加 A 记录，主机记录填
panel 或 bt，记录值填服务器公网 IP，TTL 默认 600 秒，解析生效一般 1～10 分钟。
- 登录宝塔面板，左侧「面板设置」→「域名绑定」，填入
panel.example.com，保存。
- 同一页面把「安全入口」抄下来，它是 8 位随机字符，绑定域名后访问地址变成
http://panel.example.com:8888/xxxxxxxx，少了安全入口一样进不去。
- 云服务器安全组放行面板端口（默认 8888），系统防火墙同步放行：
firewall-cmd --add-port=8888/tcp --permanent && firewall-cmd --reload。
注意点：宝塔面板的域名绑定只支持绑定 1 个域名，想换域名要先解绑；解析没生效就保存，会出现「域名无法访问但 IP 能访问」的假故障。如果打不开，SSH 执行 bt 命令进入菜单，选「取消域名绑定」即可回退。
面板 SSL 怎么开启？
结论：面板 SSL 在「面板设置 → 面板SSL」里一键开启，默认用自签证书；要用自己的域名证书，选「自定义证书」粘贴 PEM 证书和私钥内容。
步骤：
- 准备好证书文件：
fullchain.pem（含中间证书的完整链）和 private.key（私钥），不要用只含站点证书的 cert.pem，否则部分浏览器会报证书链不完整。
- 面板设置 → 面板SSL → 打开开关 → 选择自定义证书，把两段内容分别粘进输入框，保存。
- 保存后面板会自动重启，等待 5～10 秒，用
https://panel.example.com:8888/xxxxxxxx 访问。
- 证书来源建议在宝塔「网站 → SSL」里给一个站点申请 Let's Encrypt（免费，有效期 90 天，可设自动续签），或者用 DNS 验证方式签发后把文件内容复制到面板 SSL 里，比自签证书少一层浏览器警告。
关键细节：Let's Encrypt 的文件验证方式需要 80 端口可访问，如果 80 已被业务站点占用，直接选 DNS 验证；面板 SSL 和网站 SSL 是两套独立配置，改了网站证书不会自动同步到面板。
开启 SSL 后打不开面板怎么办？
结论：99% 的情况是证书不匹配或协议被拦截，用 SSH 执行 bt 命令关掉面板 SSL 就能恢复登录。
具体做法：SSH 登录服务器（root 权限），输入 bt 回车，在菜单里选择「关闭面板SSL」，然后浏览器清缓存，用 http://IP:8888/安全入口 重新进入。若是域名换了导致证书域名不匹配，同样先关 SSL，重新绑定域名后再开。
另外三个常见坑：
- 端口没放行：安全组和系统防火墙都要开，只开一处等于没开。
- 安全入口丢失：SSH 执行
bt 菜单里的「查看面板默认信息」，能看到当前端口、安全入口和用户名。
- 面板版本过旧：低于 7.x 的面板没有独立的面板SSL 开关，建议先升级到 9.x 再配置。
上线后必须做的三项加固
结论：面板暴露在公网就等于把 root 权限挂在门口，开完 SSL 一定要顺手改端口、改入口、限来源。
- 面板端口从默认 8888 改成 5 位数非常用端口（如 28419），改完立刻在安全组同步放行新端口、关闭旧端口。
- 安全入口保持开启，不要勾选「关闭安全入口」，这串 8 位字符就是第二道门牌。
- 在「面板设置 → 面板IP白名单」里只填自己的固定出口 IP；如果出口 IP 会变，至少开启「面板密码错误次数限制」和二次验证。
按上面的顺序走一遍，正常耗时 10 分钟以内，后续证书到期前 30 天在网站 SSL 里续签一次，再把新证书内容复制到面板 SSL 即可。
