共享主机SMTP子域名安全问题及解决方案咨询

核心思路 #

先明确：SMTP协议流量（25/587/465端口）和浏览器访问的Web登录界面（80/443端口）是两个独立服务，我们要解决的是Web界面的无SSL、未授权访问问题，同时不影响SMTP正常使用。

方案1：给smtp子域名申请免费的Let's Encrypt单域名证书 #

别被“高价证书”误导，Let's Encrypt的单域名证书完全免费，主流共享主机（如cPanel、Plesk面板）均支持直接为子域名申请独立免费证书，操作步骤大致为：

• 登录主机控制面板，找到SSL/TLS管理器
• 选择“为单个域名安装SSL证书”
• 输入smtp.domain.co.za，自动生成并安装Let's Encrypt证书
  该方案无额外成本，直接解决SSL覆盖问题。

方案2：禁用smtp子域名的Web访问（最直接） #

由于你的SMTP流量仅来自主域名脚本，完全不需要Web登录界面，直接在smtp子域名对应的网站根目录下创建.htaccess文件，添加规则禁止所有HTTP/HTTPS访问：

# 禁止所有Web访问
Order Deny,Allow
Deny from all

# 如需偶尔调试，可仅允许主域名服务器IP访问（替换为实际IP）
# Allow from 123.45.67.89

注意：此规则仅影响80/443端口的Web访问，完全不干扰25/587/465端口的SMTP协议流量，脚本发邮件不受影响。

方案3：改用主域名的SMTP端口访问 #

大部分共享主机允许用主域名代替SMTP子域名，搭配SMTP端口（如587）访问，这样就能复用主域名已有的Let's Encrypt证书。例如将SMTP服务器地址从smtp.domain.co.za改为domain.co.za:587，SSL验证会自动使用主域名的证书，既解决证书不匹配问题，又避免直接暴露smtp子域名。

方案4：限制smtp子域名Web访问的请求类型与来源 #

若需保留Web界面但严格限制访问，可在.htaccess中设置仅允许POST请求（浏览器访问为GET/HEAD，合法Web邮件提交为POST），同时仅放行主域名服务器IP：

# 仅允许POST请求
<LimitExcept POST>
    Order Deny,Allow
    Deny from all
</LimitExcept>

# 仅允许主域名服务器IP访问（替换为实际IP）
Order Deny,Allow
Deny from all
Allow from 123.45.67.89

内容的提问来源于stack exchange，提问作者Andre Clements