安全使用

Apanel 包含终端、文件管理、服务控制等高权限功能。为了方便临时排查问题，Apanel 允许通过明文 HTTP 直接使用（登录时会先看到一个风险提示），但这不等于推荐这样长期使用。

明文 HTTP 下，哪些是安全的，哪些不是

• 安全：登录密码本身。登录过程使用 ECDH + AES-GCM 在浏览器里就地加密，密码不会以明文形式出现在网络上，即使是同一网络上的旁观者也看不到密码原文。
• 不安全：登录成功后的一切。会话 Cookie、以及此后每一个请求——文件内容、终端的输入输出、服务日志等——都以明文传输。同一网络上能看到流量的人，理论上可以窃取会话 Cookie 冒充你登录，或者读取、篡改你在面板里看到和输入的一切。

也就是说，明文 HTTP 下密码不会泄露，但登录之后基本等于在裸奔。这适合临时应急、或者本来就处于完全受信任的网络（比如只有自己能访问的内网）里用一下，不适合长期或跨公网使用。

配置 HTTPS

Apanel 没有配置文件，启用 HTTPS 只需要在 /etc/systemd/system/apanel.service 里内联声明环境变量，二选一：

• 由 Nginx 等反向代理终止 TLS，Apanel 只在回环地址上提供 HTTP。
• 由 Apanel 自己直接加载证书终止 TLS，不需要额外的反向代理。

具体步骤见安装文档的「3. Nginx 反向代理」和「4. 手动配置证书」两节。配置好之后，用 https:// 访问 Apanel，就不会再看到 HTTP 风险提示。