离岸网站托管搭建：一步步把网站托管到海外

简答：离岸网站托管是指把网站运行在你居住国以外的服务器上，通常选择只要求极少个人信息的服务商。搭建方法：在海外租一台 VPS，注册带 WHOIS 隐私保护的域名并用加密货币付款，把 DNS 指向服务器，用 Caddy 提供自动 HTTPS 的网站服务，然后加固服务器、做好备份，并让网站的身份与你本人保持分离。

离岸托管改变的是谁持有你的服务器和账户数据。它不会让违法内容变得合法，不会对注册商或付款记录隐藏你的身份，也无法弥补操作上的失误。最后一节会详细说明这些局限。更全面的概述请参阅离岸主机。

第 1 步：选择离岸 VPS

VPS 提供完整 root 权限，因此 Web 服务器、日志和 TLS 密钥都由你掌控，而不必依赖共享主机面板。对于静态网站或小型 CMS，1–2 vCPU 和 1–2 GB 内存就足够了；数据库和较重的应用则需要更多资源。

在 NoctisNode，新服务器部署在 FI-1（芬兰）。注册只需邮箱和密码，仅支持加密货币付款且默认使用 XMR，付款入账后约 35 秒即可部署服务器。Wisp 套餐（1 vCPU、1 GB 内存、20 GB NVMe，$6 / 28 天）足以承载静态网站；Pulse（2 vCPU、2 GB、40 GB，$10）适合 WordPress 等。注意不提供基于邮箱的密码重置，请妥善保管你的凭据。在最佳离岸 VPS 中比较各方案。

第 2 步：以隐私方式注册域名并用加密货币付款

• ▹选择接受加密货币并提供免费 WHOIS 隐私保护或信息遮蔽的注册商，避免公开你的联系方式。
• ▹记住，注册商仍会保存你提供的信息。为域名使用专用邮箱，而不是个人邮箱。
• ▹注册商通常要求联系信息按其条款真实准确；虚假信息可能成为暂停服务的理由，因此在决定提交什么之前请阅读条款。
• ▹部分国家代码顶级域名有居住地要求或不允许隐私保护。购买前请查看该顶级域名的政策，不要想当然。
• ▹为注册商账户启用双重验证和转移锁。丢失域名的风险比丢失服务器更大。
• ▹用门罗币支付 VPS，以尽量减少链上关联；参见[用门罗币支付 VPS](/guides/pay-for-vps-with-monero)。

第 3 步：将 DNS 指向服务器

使用注册商的 DNS 或独立的 DNS 服务商。无论哪种方式，DNS 托管方都能看到存在哪些记录，通常还能看到查询量。搭建期间把 TTL 设低（300 秒），以便更改快速生效。

第 4 步：用 Caddy 提供网站服务并自动启用 HTTPS

只要 DNS 指向服务器且 80 和 443 端口开放，Caddy 就会自动获取并续期 TLS 证书。Debian 12/13 和 Ubuntu 24.04 自带 `caddy` 软件包；如需更新的版本，可使用 Caddy 官方 apt 仓库。把文件放进 `/var/www/example`，把 `example.com` 替换为你的域名，然后重载。如果要代理到应用而非静态文件，请参阅 Caddy 反向代理。

sudo apt update && sudo apt install -y caddy
sudo mkdir -p /var/www/example

# /etc/caddy/Caddyfile
example.com {
    root * /var/www/example
    file_server
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=31536000"
        X-Content-Type-Options "nosniff"
        Referrer-Policy "no-referrer"
        -Server
    }
    log {
        output discard
    }
}

www.example.com {
    redir https://example.com{uri} permanent
}

sudo systemctl reload caddy

第 5 步：加固服务器并设置备份

1. 01.创建一个非 root 的 sudo 用户，改用 SSH 密钥并禁用密码登录；按照 [SSH 加固](/guides/ssh-hardening)操作。
2. 02.启用防火墙：`sudo ufw allow OpenSSH && sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw enable`。
3. 03.开启自动安全更新：`sudo apt install -y unattended-upgrades && sudo dpkg-reconfigure -plow unattended-upgrades`。
4. 04.只保留你需要的日志。上面的 Caddyfile 会丢弃访问日志；请有意识地做出决定，而不是沿用默认值。
5. 05.用加密备份把网站文件和数据库备份到服务器之外，例如用 restic 备份到第二个位置；参见 [restic 备份](/guides/restic-backups)。
6. 06.至少测试一次恢复。服务商的预付余额同样重要：余额耗尽时服务器会被暂停，所以请保持余额充足。

让网站与你的身份保持分离

• ▹为主机账户、注册商及任何网站服务使用专用邮箱；绝不重复使用个人邮箱地址或用户名。
• ▹避免使用你在个人网站上也在用的第三方统计、广告或标签 ID；共享 ID 会把网站关联在一起。
• ▹证书透明度日志会公开你申请证书的每个主机名，因此不要创建会透露超出预期信息的子域名。
• ▹发布前清除图片和文档中的元数据（EXIF、作者字段），并检查 git 历史中是否有真实姓名和邮箱。
• ▹通过 Tor 或 VPN 而不是家里的 IP 管理服务器，也不要把个人项目托管在同一个 IP 上。
• ▹付款也要分离：从未与实名交易所账户绑定的钱包为账户充值。

离岸网站托管无法防范的事情

• ▹你所在地的法律：把网站托管到海外，并不会改变你居住地适用于你的规则。
• ▹域名下架：无论服务器在哪里，注册商或顶级域名运营方都可以暂停域名。
• ▹滥用处理：不论是否离岸，主机商仍会处理经核实的滥用举报。
• ▹付款与账户痕迹：交易所、银行卡支付机构和邮件服务商都保留各自的记录。
• ▹你自己的失误：重复使用的用户名、共享的统计 ID、元数据以及从家里 IP 登录管理后台，都会让其他努力前功尽弃。
• ▹针对网站的攻击：离岸位置不等于 DDoS 防护，未打补丁的 CMS 在哪里都会被入侵。

常见问题