宝塔设置默认站点，防止 SSL 扫描泄露源站

把域名直接解析到源站 IP（或者证书被扫描采集）之后，扫描机构可以顺着 SSL 证书指纹找到源站。对策很粗暴：做一个默认站点，挂一张和真实业务无关的证书，所有没匹配上站名的 HTTPS 请求都落到这个假站点上，扫到的也只是它。

建一个域名随便填的站点

以宝塔为例：网站 – 创建网站，域名随手填一个（比如乱写的域名或直接用 IP 访问不到的占位域名），保存即可。

给它配一张不相干的证书

进这个站点的 SSL 设置，选自定义证书，把一张 pem 和对应的 key 复制粘贴进去保存，再开启强制 HTTPS。证书内容用一张测试用或自签的不匹配证书就行，效果就是浏览器提示证书无效、扫描器只能采到这张假证书：

把它设为默认站点

回到网站列表，点击「默认站点」，选择刚才那个域名：

设好之后，用未备案或未添加的域名/IP 直接访问，看到的就是这个假站点的证书页面：

补充

如果本来就是「宝塔 + SSL 证书 + CDN」的架构，可以更简单：不必新建站点，直接把任意一个已有 SSL 站点设为默认站点。要点只有一个——默认站点上的证书不能是你源站真实业务证书，否则等于白做。