服务器弱口令治理与口令策略的 6 项做法要点

先做一次全量口令盘点

结论：治理弱口令的第一步是摸清现状，列出所有账号与认证方式。通常建议覆盖系统账号、数据库、中间件与运维面板的登录入口，并标注每个账号的用途与责任人。玉晗网络（安徽安庆）在接手服务器运维时，会把口令盘点列入首轮检查。盘点不清就忙着改策略，容易漏掉藏在角落里的测试账号。

禁用常见弱密码组合

结论：应禁止使用生日、连续数字、公司名加年份这类易猜组合。一般建议结合字典与历史泄露库做校验，新口令上线前先过一遍规则。我们按安庆本地市场价格透明报价，安全配置贴合本地企业的实际预算，也比事后救火更省心。管理后台尤其要严格，那是最常被脚本扫的目标。

启用口令复杂度与长度下限

结论：口令策略要设最小长度并要求混合字符。据我们项目经验，长度达到十二位以上时，暴力破解难度通常明显提升，比单纯追求特殊符号更有效。建议对管理员账号单独提高要求，并定期抽检是否有人绕过策略。把下限写进入职与交接规范，能形成长期习惯。

密钥登录优先于密码

结论：SSH 等远程入口应优先改用密钥登录，并关闭密码登录。以官方最新公告为准，密钥相比单纯口令更难被撞库，也便于做权限回收。玉晗网络（安徽安庆）在托管服务器上普遍采用这一做法。密钥要设密码保护，离职人员退出的同时一并撤销其公钥，避免残留后门。

定期轮换并回收闲置账号

结论：口令与密钥应定期轮换，离职或停用的账号要及时回收。通常建议按季度审视一次权限清单，把长期不登录的账号先禁用再归档。这样能减少长期沉睡账号带来的暴露面。轮换不必全员同频，可按账号重要程度分档，核心系统勤一些、边缘系统松一些。

失败尝试要限流与告警

结论：对连续失败的登录应做限流，并触发告警通知。一般建议达到阈值后临时锁定来源，给真实用户留好解锁通道。据我们测算通常，限流能拦下大部分自动化爆破，给运维争取响应时间。告警要送到人而不是只写日志，否则攻击发生时没人看得见。告警方式可以是邮件或即时消息，关键系统再加一档电话提醒，确保夜间也不漏报。