# 宝塔安装无损命令与旧版HTTPS配置核验完整教程

> 全新环境执行宝塔面板安装仅需运行一行标准脚本即可快速完成且不破坏磁盘原有数据；若遇到宝塔旧版安装https报错或证书申请失败，无需卸载重装，直接执行在线无损升级命令更新至 v13.1.0 即可修复，并在面板设置与 WAF 防火墙中配置合理的安全阈值。

- 分类: 安装升级
- 发布: 2026-10-27
- 更新: 2026-10-27
- 原文: https://pay.baota.in/article/bt-install-guide

全新环境执行宝塔面板安装仅需在 SSH 终端运行一行标准脚本即可完成部署；若遇到**宝塔旧版安装https**报错或证书无法续签，切勿卸载重装，直接执行在线无损升级脚本更新至 v13.1.0 即可修复底层 ACME 协议与 OpenSSL 依赖，全程保留原有网站与数据库配置。

## 宝塔面板安装前的系统环境要求与万能脚本实操

在进行**宝塔面板安装**之前，首先需要核实操作系统发行版与环境纯净度。当前主流的 Linux 专业版与企业版同步版本为 v13.1.0，全面兼容 Ubuntu、Debian、CentOS、AlmaLinux、Rocky Linux 等主流 64 位 Linux 发行版。

### 1. 全新服务器安装标准流程

对于刚购买的云服务器或刚重装完系统的纯净环境（未手动编译安装过 Apache、Nginx、MySQL 或 PHP），建议先获取服务器公网 IPv4 并完成授权绑定。你可以直接在 SSH 终端查询当前机器的真实出口 IP：

```bash
curl ip.sb
```

核对公网 IP 无误并开通对应授权后，使用 `root` 权限连接服务器 SSH 终端，执行以下全新安装命令（适用于 Linux 专业版与企业版）：

```bash
curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh
```

执行过程中终端会提示是否将面板安装至 `/www` 目录，输入 `y` 回车即可。安装脚本执行完毕后，终端会输出以下关键信息：
- 外网面板地址（含随机安全入口路径）
- 内网面板地址
- 默认随机生成的管理员 `username` 与 `password`

请第一时间妥善保存上述账号密码，并前往阿里云、腾讯云或华为云等云厂商控制台的「安全组 / 防火墙」页面，放行终端输出的面板端口（如默认的 `8888`）以及建站必需的 `80`、`443` 端口。

### 2. 已有业务的免费版无损覆盖升级

如果服务器上已经安装了免费版面板，且正在运行生产网站与 MySQL 数据库，**绝对不要执行卸载命令**。只需在 SSH 终端直接运行无损升级脚本：

```bash
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &
```

该命令会在后台平滑替换面板核心文件并同步授权状态，不会重启或中断正在运行的 Nginx 与数据库进程。若需了解更详细的跨版本升级细节，可参考[宝塔 Linux 免费版怎么升级企业版和专业版？无损在线升级命令教程](/article/bt-linux-upgrade-to-enterprise-guide)。对于 Windows Server 环境，则需先运行 `BtSoft.exe` 基础包安装基础面板，再以管理员身份打开 CMD 执行：

```bat
wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2
```

## 宝塔旧版安装https失败原因排查与平滑修复方案

许多维护老旧服务器的站长经常反馈**宝塔旧版安装https**失败，具体表现为：在面板申请 Let's Encrypt 免费证书时卡在校验阶段、提示 `ACME v1 is deprecated`、或者开启面板 SSL 后浏览器直接报 `ERR_SSL_VERSION_OR_CIPHER_MISMATCH` 无法访问。

### 1. 旧版面板无法安装 HTTPS 的三大根源

- **ACME v1 协议彻底停用**：早期旧版面板内置的证书申请脚本调用的是 Let's Encrypt 旧版 ACME v1 接口，该接口已被官方彻底废弃，必须升级至支持 ACME v2 的面板核心。
- **Python 运行环境与 OpenSSL 版本过低**：旧版面板使用操作系统自带的旧版 Python 环境，其绑定的 pyOpenSSL 库不支持 TLS 1.2/1.3 现代加密套件，导致向证书颁发机构发起握手请求时直接被拒绝。
- **根证书链（CA Bundle）过期**：旧版面板缺失 ISRG Root X1 根证书，导致自动续签和 OCSP Stapling 校验失败。

### 2. 平滑修复与双端 HTTPS 标准开启步骤

解决旧版面板 HTTPS 报错的最稳妥方式，是先通过 SSH 终端输入 `bt` 调出面板命令行管理工具箱，或者直接执行前文提到的 `update6.sh` 无损升级脚本将面板更新至 v13.1.0。新版采用独立封装的运行环境（位于 `/www/server/panel/pyenv`），彻底解决了系统底层 OpenSSL 库过老的问题。

升级完成后，按照以下两个具体路径分别部署 HTTPS：

1. **网站站点 HTTPS 部署**：登录面板 → 点击左侧「网站」 → 选择目标站点点击「设置」 → 切换至「SSL」选项卡。可选择「Let's Encrypt」勾选域名一键申请，或切到「其他证书」粘贴已购买的商业证书 PEM 与 KEY 内容，保存后勾选右上角「强制 HTTPS」。
2. **面板自身 HTTPS 加密访问**：点击左侧「面板设置」 → 在「安全设置」区域找到「面板 SSL」开关 → 开启后选择自动生成自签名证书，或绑定已解析到当前服务器 IP 的专属子域名并申请可信证书。

:::warn
避坑注意事项：在开启「面板 SSL」之前，务必确认云服务器安全组及面板「安全」菜单已放行当前面板端口；若因证书配置错误导致面板白屏或无法建立安全连接，切勿慌张重装，直接登录 SSH 执行 `bt` 命令，根据菜单提示选择「关闭面板 SSL」即可立即恢复 HTTP 访问。此外，若站点接入了微信/支付宝支付，开启强制 HTTPS 与 WAF 防护前请务必先核对并放行 `/pay/notify` 等异步回调地址白名单。
:::

## 面板安全菜单路径开启指南与防误伤关键阈值设置

完成面板安装与 HTTPS 部署后，紧接着需要配置基础安全防线。很多新手因为阈值设置过于激进，导致自己在后台编辑文章或上传图片时被频繁踢出甚至封禁 IP。建议参考[宝塔企业版与专业版安装后必做的 5 项检查与授权激活指南](/article/bt-installation-checklist)，按以下菜单路径与推荐阈值进行精细化调优。

### 1. 面板自身访问安全路径与防误锁阈值

进入面板左侧菜单「面板设置 → 安全设置」，重点调整以下三项参数：

- **超时退出时间**：默认通常较短，建议修改为 `7200` 秒或 `10800` 秒。避免运维人员在排查问题或编写配置时因会话过期导致未保存的数据丢失。
- **密码错误限制（防爆破）**：在「面板设置 → 安全设置 → 密码错误限制」中，建议将触发阈值设为 **5 次**，锁定冷却时间设为 **600 秒**。既能有效阻断自动化字典爆破脚本，又能在管理员手误输错密码时保留合理的恢复窗口。
- **面板安全入口与端口修改**：建议将默认 `8888` 端口修改为非标准高位端口，并保留复杂安全入口路径。

### 2. 企业版/专业版插件菜单路径与业务防误伤配置

若已开通专业版或企业版授权，请按以下路径开启核心防护并设定防误伤阈值：

- **Nginx 网站防火墙（WAF）配置路径**：点击左侧「软件商店 → 专业版插件（或企业版插件） → Nginx 网站防火墙 → 站点配置」。
  - **CC 防御阈值**：对于普通企业站或博客，建议将 CC 防护周期设为 `60 秒`，请求频率阈值设为 `120–180 次`，封锁时间设为 `600 秒`。若站点包含大量未合并的小图标或采用前后端分离高频 API 轮询，需将频率放宽至 `300 次/60 秒`，并将初始模式设为「JS 验证」而非直接「封锁 IP」，防止误伤共用办公网出口 IP 的真实用户。
  - **URL 白名单放行**：进入「Nginx 网站防火墙 → 全局配置 → URL 白名单」，将后台登录接口、第三方支付回调（如 `/pay/notify`、`/api/webhook`）加入白名单，避免 POST 报文被 SQL 注入或 XSS 规则误拦截。
- **系统加固与防篡改路径**：点击「软件商店 → 企业版插件 → 系统加固 / 网站防篡改」。在开启「网站防篡改」锁死 `.php`、`.js` 文件前，务必将缓存目录（如 `runtime/`、`cache/`、`uploads/`）加入排除名单，否则会导致网站无法生成缩略图或写入会话缓存。更多高阶策略可参阅[宝塔面板生产环境安全加固与防篡改全景指南](/guide/baota-security-waf-hardening-guide)。

## 配置完成后如何用命令与日志核实功能真实生效

一线运维讲究“配置即核验”。在面板界面点击保存后，我们需要通过命令行与底层日志交叉验证各项服务与 HTTPS 证书是否真实生效。

### 1. 核验面板版本、进程与授权状态

首先在面板左上角首页状态栏或「面板设置」页，直观核对当前版本号是否为 Linux v13.1.0（Windows 为 v8.5.2，aaPanel 为 v8.0.7）以及右上角是否带有企业版/专业版授权标识。若刚在[订单查询页](/order-query)确认已开通但面板尚未显示，可在面板首页右上角点击「更新」或执行升级修复脚本。

在服务器 SSH 终端输入面板管理命令：

```bash
bt
```

通过交互菜单可以快速查看面板完整地址、重置面板管理员密码、修改端口或清除登录限制（具体编号以当前版本显示为准）。你也可以直接查看 Nginx 配置中 SSL 监听段是否已正确写入，例如核对站点配置文件 `/www/server/panel/vhost/nginx/你的域名.conf` 中是否包含以下标准片段：

```nginx
listen 443 ssl http2;
ssl_certificate    /www/server/panel/vhost/cert/yourdomain/fullchain.pem;
ssl_certificate_key    /www/server/panel/vhost/cert/yourdomain/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
```

### 2. 通过日志文件核验 HTTPS 访问与防护拦截

要确认 HTTPS 流量与 WAF 防护规则是否真实在工作，可直接查看面板与 Web 服务器的标准日志目录：

- **站点访问与错误日志**：位于 `/www/wwwlogs/你的域名.log` 与 `/www/wwwlogs/你的域名.error.log`。当使用浏览器通过 `https://` 访问站点时，访问日志中应实时刷出正常响应记录；若存在证书链不完整或上游 PHP 超时，均可在 `.error.log` 中定位到具体报错行。
- **WAF 拦截日志与面板操作日志**：可在面板「Nginx 网站防火墙 → 封锁历史 / 拦截日志」以及「面板日志 → 操作日志 / 网站日志」中实时查看命中规则的攻击 IP、请求 URI 与拦截动作，确保持久化防护处于活跃状态。

## 宝塔免费版与专业版、企业版功能对比及选型边界

很多站长在完成基础安装后，会纠结是否需要升级授权。下表从安装方式、HTTPS 管理、安全防御及高阶插件等维度，客观对比三个版本的核心差异：

| 对比维度 | 宝塔免费版 | 宝塔专业版（支持永久授权） | 宝塔企业版（支持永久授权） |
| :--- | :--- | :--- | :--- |
| **基础环境与安装方式** | 支持 LNMP/LAMP 极速与编译安装，SSH 一键部署 | 涵盖免费版全部功能，支持 `update6.sh` 无损在线升级 | 涵盖免费版与专业版全部功能，支持一键全新安装或无损升级 |
| **HTTPS 证书管理** | 支持单站点申请 Let's Encrypt 免费证书与手动粘贴部署 | 支持 SSL 证书统一部署、到期提醒与泛域名配合 | 支持多站点批量证书管理、HTTPS 防窜站与企业级加密合规 |
| **Web 防火墙与监控** | 仅支持系统级基础端口放行，无应用层 WAF | 解锁 **Nginx/Apache 网站防火墙 (WAF)**、**网站监控报表** | 包含专业版全部 WAF 与监控插件，支持更细粒度的规则联动 |
| **防篡改与容灾备份** | 仅支持本地磁盘与简单 FTP/脚本定时备份 | 开放部分进阶运维插件，不含企业防篡改与多云同步 | 独享 **网站防篡改**、**多云防灾备份**、**数据同步工具**、**负载均衡** |
| **适用场景与授权方案** | 免费使用，适合学习测试与纯静态低频小站 | 固定 IP 永久授权 ¥19.99/台，适合常规商业建站与防 CC | 固定 IP ¥19.99/台（可换 IP ¥88.88/台，可换 10 次），适合生产集群 |

:::tip
客观选型建议：如果您的服务器仅用于个人技术博客、内部开发测试环境，或者站点访问量较低且不涉及在线交易与敏感用户数据，**宝塔免费版**自带的 LNMP 环境安装、免费 Let's Encrypt 证书申请及基础端口控制完全够用，配合良好的定期手动备份习惯即可满足日常需求。只有当站点面临高频 CC 攻击、恶意爬虫扫描、网页被植入暗链木马，或需要管理多台服务器实时同步与多云异地容灾时，才值得升级专业版或企业版插件来节省人工排障时间。
:::

对于决定在生产环境使用高阶插件的团队，可根据服务器生命周期选择授权形态：若服务器公网 IP 长期保持不变，选择固定 IP 永久授权（当前单价为 ¥19.99/台，一次付费无月费）最具性价比；若后续有跨机房搬迁或更换云厂商的计划，建议选择可换 IP 永久授权（当前单价为 ¥88.88/台，新订单默认每个 IP 可自助更换 10 次），后续换机时可随时通过[自助换绑页面](/change-ip)配合[宝塔永久企业版与专业版换服务器怎么迁移授权 IP？自助换绑教程](/article/bt-server-migration-and-ip-change-guide)快速完成平滑迁移。更多详细的功能矩阵说明，可查阅本站整理的[宝塔永久企业版与专业版完全选型指南](/guide/baota-enterprise-complete-guide)及[配套安装教程文档](https://baota.in/tutorial.html)。

## 依据与适用范围

- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 面板版本号与授权状态核对: 安装或执行升级脚本后，可在面板左上角首页状态栏或「面板设置」页核对当前版本号（Linux v13.1.0 / Windows v8.5.2 / aaPanel v8.0.7）及企业版/专业版授权状态。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/
- 宝塔 Linux 专业版/企业版版本与支持环境: 宝塔 Linux 专业版与企业版当前同步版本为 13.1.0（更新于 2026-10-01），支持 Ubuntu、Debian、CentOS、AlmaLinux、Rocky Linux 等主流 Linux 发行版，安装或升级完成后可在面板首页核对版本号与企业版授权标识。
  来源: https://baota.in/tutorial.html
- 宝塔 Linux 专业版/企业版全新安装命令: 宝塔 Linux 专业版/企业版全新安装：先在本站绑定服务器公网 IP 开通授权，再通过 SSH 连接服务器（root 权限）执行 `curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh`，安装完成后在云安全组放行面板端口并用输出的完整安全入口地址登录。
  来源: https://baota.in/tutorial.html
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html

## 常见问题

### 已有网站数据的服务器升级或修复宝塔面板会导致数据丢失吗？

不会丢失。宝塔面板管理程序独立运行在 /www/server/panel 目录下，而您的网站源码（/www/wwwroot）、数据库文件（/www/server/data）及 Nginx/PHP 环境完全分离。通过执行 setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" & 无损升级脚本，仅更新面板自身文件与授权状态，原有业务不会中断。

### 宝塔旧版安装https报错或开启面板SSL后无法访问面板怎么恢复？

旧版安装 HTTPS 报错多因 ACME v1 接口废弃或内置 OpenSSL 版本过低，执行无损升级命令更新至 v13.1.0 即可修复。若开启「面板 SSL」后因自签名证书或端口问题导致浏览器无法进入面板，只需通过 SSH 登录服务器执行 bt 命令，在弹出的管理菜单中选择「关闭面板 SSL」即可恢复正常登录。

### 宝塔免费版直接升级到永久专业版或企业版需要卸载重装吗？

完全不需要卸载重装。只需先在本站绑定服务器公网 IPv4 开通授权（固定 IP 永久授权 ¥19.99/台，可换 IP 永久授权 ¥88.88/台），随后在已安装免费版的 Linux 服务器 SSH 终端执行在线升级脚本 update6.sh，后台会自动完成平滑升级，刷新面板即可在「软件商店」安装专属插件。

### 开通企业版插件后，WAF 防火墙怎么设置才不会误伤正常访客和支付回调？

进入「软件商店 → 企业版插件 → Nginx 网站防火墙」，建议将站点 CC 防御初始模式设为「JS 验证」而非直接封锁，周期设为 60 秒、频率设为 120–180 次；同时在「全局配置 → URL 白名单」中提前添加 /pay/notify 等第三方支付异步回调路径，即可兼顾安全性与业务连续性。