本面板默认已具备多层防护，无需 Cloudflare（"CF 盾"）即可安全自托管：

• 源站不直连：生产部署中 Server 端口仅绑定 127.0.0.1，外部只能经 Nginx 反代访问 Node 进程。
• 传输加密：由 Nginx/certbot 提供 TLS；后台接口强制 X-Forwarded-Proto: https，HTTP 直连返回 403。
• 强口令校验：启动时拒绝空值 / 默认值 / <16 位的 ADMIN_TOKEN，强制强口令。
• CSP 防护：default-src 'self'，从根上阻断 XSS 窃取 Token 的路径。
• 独立鉴权：受控端上报走独立的 AGENT_TOKEN，与管理端分离。
• 接口限流：Nginx 已对 /api/ 统一限流，挡 admin token 爆破与高频重放；/api/report 另有独立限流。

进一步硬化（可选，强烈推荐）

• 用 Cloudflare Tunnel 或 Tailscale 让 VPS 完全不开放入站端口，源站 IP 不可见；完整步骤见仓库根目录 TUNNEL-GUIDE.md。
• 部署前务必在 .env 设置随机、≥16 位的管理员 Token；重建镜像使 .dockerignore 生效。
• 仅暴露 Nginx 公网端口，Server 端口切勿发布到公网。

两步验证 (TOTP / 2FA) 配置已移至「设置 → 账户安全」。