企业官网建设流程全解析

1. WHM 的本质：服务器房东的总管理台

1.1 先搞懂 WHM 和 cPanel 到底是啥关系

很多人第一次接触 WHM，是在买虚拟主机或者 VPS 之后，看到服务商发来的邮件里写了两个地址：一个类似https://你的IP:2083，另一个类似https://你的IP:2087。2083 是 cPanel 的登录口，2087 就是 WHM 的登录口。我见过不少新手把这两个东西搞混，以为 WHM 只是 cPanel 的“加强版”，这理解其实不对。

WHM 的全称是 WebHost Manager，它和 cPanel 是同一家公司出的两个产品，但定位完全不同。cPanel 是给“租户”用的，也就是普通网站站长，你在里面管自己的网站文件、数据库、邮箱、域名解析这些；WHM 是给“房东”用的，也就是服务器管理员，你在里面管这台服务器上的所有租户、所有资源、所有系统级配置。一句话总结：cPanel 管一台网站的吃喝拉撒，WHM 管一台服务器上所有网站的生杀大权。

从产品架构上看，WHM 和 cPanel 不是两个独立的软件，它们共享同一套底层环境。你在 WHM 里创建一个账户，就等于在服务器上挖出了一块独立的“隔间”，这个隔间对应一套完整的 cPanel 环境：独立的网站根目录、独立的数据库账号、独立的邮箱域名、独立的 FTP 账号，甚至独立的 PHP 版本和资源限制。也就是说，WHM 是“母面板”，cPanel 是“子面板”，两者是包含关系而不是并列关系。

我经常给朋友打一个比方：把一台服务器想象成一栋写字楼。WHM 是物业总部的管理系统，负责整栋楼的租户签约、水电独立计费、公共区域维护、安保权限分配；cPanel 则是每个租户自己办公室的门禁卡，你只能打开自己那间房的门，想去隔壁串门？对不起，没权限。这个类比基本能把两者的关系说通透。

1.2 WHM 的权限边界：到底能管什么

搞清楚权限边界，是上手 WHM 前最重要的一课。WHM 默认有一个 root 级别的管理员账号，这个账号的权限几乎是无限的，所以登录 WHM 之后你其实站在服务器权限金字塔的塔尖。它能做的事，我粗略列一下你就明白了：

• 账户管理：创建、挂起、终止任何 cPanel 账户，分配 IP、分配资源配额。
• 系统配置：修改 DNS 配置（比如配置 NS1/NS2）、调整邮件投递规则、设置 FTP 服务、管理 SSL 证书。
• 安全策略：配置防火墙（CSF 集成）、封禁 IP、设置密码强度策略、强制两因素认证。
• 资源监控：查看每个账户的 CPU、内存、IO、入口进程、数据库负载，甚至能看到每个进程的执行命令。
• 软件管理：升级 Apache/Nginx、切换 PHP 版本、安装 Perl 模块、管理 MySQL/MariaDB 服务。
• 备份恢复：配置整机自动备份，也可以手动备份单个账户。

这些操作对普通 cPanel 用户来说完全是不可见的。换句话说，如果你只有 cPanel 登录权限，你永远不会知道服务器上有多少个别的网站、别人占了多少资源、系统的 PHP 是什么版本——因为你没资格看到这些信息。

这里我要特别提醒一件事：WHM 的管理员账号不要和 cPanel 的账号混用。WHM 登录进去看到的是系统级菜单，而 cPanel 登录进去看到的是网站级菜单，两者界面几乎完全不一样。很多人第一次从 cPanel 跳转到 WHM，会发现自己找不到“文件管理器”在哪，因为 WHM 根本没有文件管理器这种功能，它不需要替租户管理文件，那是 cPanel 该干的事。理解这个边界，你后面就不会迷失在菜单里。

2. 一台空服务器到正式上线：WHM 在完整流程里的位置

2.1 安装阶段：别指望 WHM 帮你解决所有安装问题

WHM 不是一个裸机操作系统，它需要跑在 Linux 上，而且对发行版有明确支持列表，主要是 CentOS、AlmaLinux、CloudLinux 这几个。你在一台刚开好的 VPS 上装 WHM，实际上要做的事是先装一个纯净的 Linux 系统，然后通过官方安装脚本把 cPanel 全家桶装上去。官方推荐的最小资源配置是 2GB 内存、20GB 硬盘，但以我玩了几年 WHM 的经验看，2GB 内存跑起来非常勉强，至少 4GB 起步才舒服，尤其是要开 MySQL 和邮件服务的情况下。

安装的时间会非常久，官方脚本要下载几百个 rpm 包、编译各种扩展，一台 4 核 8GB 的机器大概需要 30-50 分钟，配置差点的机器装一两个小时也不奇怪。第一次装的人很容易以为安装卡死了，其实没有，它在后台默默干活。这里建议你通过 SSH 登录服务器，用官方脚本安装，而不是直接访问还没配好的 Web 界面，因为安装过程中的日志全部输出在终端里，你能实时看到进展。

2.2 初始化配置：域名、IP、DNS 的前置准备

安装完成后，第一次登录 WHM 会进入一个初始化向导，它会逼着你完成几个关键配置，包括确认主机名（hostname）、配置主 IP 和 NS 记录。很多新手在这里会卡住，因为向导要求填的东西有点晕。

我建议你按照这个顺序准备：

• 先买好域名，把 DNS 服务器的 NS 记录指向你要用的两个主机名（比如 ns1.example.com 和 ns2.example.com）。
• 在 WHM 初始化界面里，设置主机名为server.example.com这种格式，注意主机名不能和任何网站域名相同，要单独弄一个子域。
• 配置 nameserver 时填 ns1.example.com 和 ns2.example.com，然后在域名注册商那边把 NS 指向这两个地址。

这个步骤的逻辑，不是给站点用的，而是给 WHM 这台服务器本身用的。服务器需要一个域名来标识自己，你后面创建 cPanel 账户时，系统会自动帮你生成对应的 DNS 区域，只要 NS 解析关系对了，新站的解析就能自动生效。

2.3 首次创建账户：一个网站是怎么从无到有的

在 WHM 后台创建新账户，路径是“创建新账户”。你需要填的基本信息包括：域名、用户名、密码、邮箱、包（Package，决定这个账户的资源上限）、IP 地址。填完点创建，WHM 会在十几秒内自动完成一系列操作：创建 Linux 系统用户、建立网站根目录、生成 Apache/Nginx 虚拟主机配置、创建 MySQL 数据库和用户、创建邮件域名、创建 DNS zone、设置 FTP 账号。

这整套流程如果手动在 Linux 命令行里做，没一个小时搞不定，而且狂容易出错，WHM 把它压缩成了点一次按钮。这也是 WHM 托管行业这么多年仍然被大量使用的核心原因——它把服务器运维中最繁琐、最重复的那部分工作全部自动化了。

创建完账户之后，你会拿到一个 cPanel 的登录链接，格式通常是https://服务器IP:2083，用户名密码就是刚才创建账户时设的。接下来，用户就可以进 cPanel 上传 WordPress、创建数据库、配域名了。而你在 WHM 这边能实时看到这个账户的各项资源使用情况，比如磁盘占用、带宽流量、进程数量等。

3. 管理员每天在 WHM 里做的最多的事：五个高频操作场景

3.1 管理账户状态：挂起、终止、转移的前因后果

我见过很多做代维的朋友，管理了一堆服务器，天天除了修故障就是处理账户。WHM 里账户管理这块有几种常见状态：正常、挂起（Suspend）、终止（Terminate）、转移（Migrate）。

挂起不等于删除。当你发现某个账户跑恶意脚本、发垃圾邮件、占资源异常时，最快的止损方式就是挂起它。挂起之后，该账户的所有网站会变成“暂时无法访问”的状态，系统用户的 shell 会被改成 nologin，网站的请求会被拦截。但这个账户的数据全部还在，你随时可以取消挂起恢复服务。我处理境外客户退款纠纷时，如果客户不配合，我一般会先挂起账户等沟通结果，而不是直接删除——删了数据就真没了，到时候打官司都没证据。

终止则是物理删除账户，里面的网站文件、数据库、邮件、配置全部移除。WHM 在执行终止操作时默认会要求你勾选是否删除邮箱账户、是否删除 DNS 记录，勾选之前一定要确认你已经做过备份。这里有个很多人不知道的小坑：WHM 的终止操作默认不会自动删除备份文件，备份路径下的老备份不会被清理，所以服务器硬盘空间不会因为删账户而立刻变空，时间久了容易积累出一堆僵尸文件占满磁盘。

3.2 包（Package/Plan）机制：用配额限制一个账户的疯狂

WHM 不需要你手动限制每个账户的资源，而是通过“包”这种机制来批量管理。你可以创建几个不同的套餐包：比如“基础版”限制 2GB 磁盘、5 个数据库、10 个邮箱账户；“进阶版”限制 10GB 磁盘、50 个数据库、不限邮箱。创建账户时选择对应的包，这个账户就自动套上了所有限制。

包的配置项非常细，除了磁盘和数据库数量，还能限制每月带宽上限、FTP 账户数量、子域名数量、CPU 使用时间、内存上限、IO 优先级、Entry Process（同时运行的进程数）等。这些参数对虚拟主机服务商特别重要，因为大家合租一台服务器，如果某个客户跑了个失控的 WordPress 插件把 CPU 吃满，其他人的网站都会遭殃。包的限制就是给这种“租户风险”上的一道保险。

我给生产服务器做包配置时，一般会在磁盘配额上额外留 20% 余量，比如客户买的是 10GB 套餐，我实际在包里配 12GB，防止客户因为日志文件、临时文件把磁盘塞满导致数据库写入失败。磁盘满是一个很隐蔽的故障，网站表现不一定是打不开，而可能是后台能登录、数据库写入报错、邮件发不出去这些症状。

3.3 安全策略配置：WHM 里值得优先处理的几件事

WHM 的安全配置菜单数量多得吓人，什么 CPanel Ports、Shell Access、Password Strength 等等。我的建议是，不用全部配完，但有几个必须优先处理：

1. 修改 WHM/cPanel 默认端口：默认端口是 2087/2083，大量扫描器每天都在扫这些端口。虽然改端口不能绝对防住扫描，但能把绝大多数自动化攻击挡在门外。改完记得把新端口加入防火墙白名单。
2. 开启两因素认证（2FA）：WHM 支持强制所有管理员开启两因素认证，这个东西真的救了我好几次。有一次我的服务器密码因为某个管理面板的后门泄露了，攻击者拿到了 root 密码，但登录 WHM 时卡在 TOTP 验证码那一步，最后只删掉了一个不重要的文件就被我发现了。
3. 配置 CSF（ConfigServer Security & Firewall）：CSF 是最常用的 WHM 防火墙插件，安装后需要手动开启。它的核心功能是检测暴力破解攻击，比如登录失败 5 次就自动封禁 IP，还能基于端口连接数做限流。没装 CSF 的 WHM 服务器，用不了半天就会被扫描器扫出 cPanel 的登录口，然后开始一轮又一轮的撞库。
4. 禁用 root 直接登录 WHM：WHM 支持创建除 root 外的管理员账户，给管理员分配子权限。生产环境里我几乎不用 root 登录 WHM，而是创建一个名字不带 root 的管理员账号，日常工作用这个低权限账号。即使这个账号泄露，攻击者也没法直接动系统级配置，我又多了层防护。

3.4 备份的正确的打开方式：一个让你晚上睡得着觉的步骤

WHM 的备份配置在“备份”菜单里，支持两种方式：配置式备份（Configure Backup）和手动备份（Backup Now）。配置式备份适合启用完整的自动备份计划，你可以选择备份全部账户、部分账户或系统文件，备份目标可以是本地磁盘、FTP、SFTP 服务器，甚至 Amazon S3 等远程存储。

我强烈建议把备份传到远程，不要只存在本机。原因很简单：如果服务器本身被入侵挖矿，攻击者通常会顺手删掉本地备份，让服务器管理员找不回数据。我修复过一个客户的裸金属服务器，勒索病毒把网站文件全部加密了，本地备份全被删光，最后只能从远程备份恢复，损失降到了最低。

备份频率方面，个人站长可以每周一次，商业虚拟主机服务商建议至少每天一次增量备份。WHM 的备份是“先压缩打包、再传输”，如果网站文件特别大，比如超过 20GB，建议把网站拆分成多个账户，或者用 cPanel 里的“备份向导”配合外部定时脚本做更细粒度的备份，否则默认配置容易把磁盘 IO 完全占满，导致线上网站访问变慢。

3.5 资源监视要看的四个指标

WHM 首页左下角有一个“服务器信息”板块，里面是内存、CPU、磁盘、负载的数据。但这只是宏观指标，真正常被忽视的在这几个地方：

• CPU 限制和 MySQL 负载：在 WHM 首页的服务状态里能看到 MySQL 的实时负载。如果 MySQL CPU 占用长期超过 50%，大概率有慢查询或缓存没配好。
• 磁盘 I/O 等待：硬盘 IO 高并不一定是流量大，很可能是某个账户在跑大量小文件操作。你可以在 WHM 的“服务器状态”里看到目前哪个账户占用 IO 最多。
• 邮件队列：WHM 的“邮件投递报告”和邮件队列管理是排查垃圾邮件问题的重要入口。如果某个账户发信量异常，邮件队列里会积累大量未投递的信件，这时你应该去检查是不是有账户被黑后成了垃圾邮件发送器。
• 登录日志：WHM 记录所有管理员和用户的登录尝试，包括失败和成功的记录。如果你发现某个 IP 频繁尝试登录 cPanel 或 WHM，哪怕没成功，也建议先封掉这个 IP，因为这说明它正在对你做定向攻击。

4. 那些容易被忽略但能决定成败的“冷门”设置

4.1 PHP 版本选择与 MultiPHP Manager

WHM 内置了“MultiPHP Manager”，可以在系统层面统一配置服务器的默认 PHP 版本。很多人不知道它的重要性，以为装好 WHM 默认的 PHP 就不用管了。但默认 PHP 版本往往不是最新的，而且你可能需要为不同账户指定不同的 PHP 版本。

MultiPHP 的逻辑是这样的：它通过 PHP-FPM 的方式为不同虚拟主机加载不同的 PHP 二进制文件。你可以在 WHM 里为每个账户分别设置 PHP 版本，比如一个跑老旧程序的账户用 PHP 7.4，一个跑 WordPress 新站的账户用 PHP 8.2。这个功能在虚拟主机服务行业特别常用，因为客户手里的老程序不一定兼容新 PHP，你不可能逼所有客户升级代码，但你又不能因为一个老程序拉低了整台服务器的 PHP 版本——MultiPHP 让两者共存。

这里有个性能相关的经验：PHP-FPM 模式下，每个账户的 PHP 进程默认会独立运行，内存占用会稍微高一些，但在隔离性和稳定性上远胜旧的 mod_php 方式。如果服务器内存只有 4GB，建议先把 PHP-FPM 的进程数上限调低，防止某个流量大的站点把所有进程都占满。

4.2 邮件服务的正确配置：MX 记录与反向 DNS

WHM 自带 Exim 邮件服务，但也带来一个特别常见的坑：发往 Gmail、Outlook 等大厂的邮件被扔进垃圾箱，甚至直接被退信。原因几乎总是同一个：服务器的反向 DNS（PTR 记录）没有配置好。

反向 DNS 是什么？简单说，正常的邮件服务器之间是相互验证的。Gmail 收到你的邮件时，会查看发件服务器 IP 的反向解析结果，看看是否与发件服务器的域名一致。如果 PTR 记录缺失，Gmail 很大概率会把邮件判定为垃圾邮件。这个配置的坑爹之处在于，它不在 WHM 里设置，而是要去你的服务器提供商（VPS 商）后台找网络/IP 管理界面，在 IP 设置里添加反向 DNS 指向你的主机名。

还有一个容易被忽略的设置是 SPF 记录。WHM 创建账户时会自动帮忙创建 DNS zone，但默认的 zone 里可能没有 SPF 记录。我建议在 WHM 的 DNS 管理里为每个域名的 zone 手动加一条TXT记录，内容类似v=spf1 +a +mx -all，这表示“只有我绑定的 A 记录和 MX 记录的 IP 才能用我的域名发信”。没配 SPF 的域名，是垃圾邮件过滤器重点怀疑对象。

4.3 SSL 证书自动配置：Let's Encrypt 的自动化和手动管理

WHM 自带“SSL 证书管理器”和“Autossl”功能。Autossl 可以自动为所有启用了 cPanel 的账户配置 Let's Encrypt 免费证书，全程无缝。我见过不少站长手动去 cPanel 里一个一个上传 SSL 证书，其实完全没必要，在 WHM 里开启 Autossl 并选择“所有可用域名都签发”就行了。

但需要注意，Autossl 默认配置的是单域名证书。如果你一个站点有多个域名（比如 example.com 和 www.example.com），就要在 WHM 里把 Autossl 的模式改为多域名，或者单独为这个账户生成包含所有域名的证书签名单。这里有个小坑：Let's Encrypt 证书的有效期是 90 天，Autossl 自动续期一般没问题，但如果某次服务器 DNS 解析临时故障导致验证没过，续期失败后证书过期，网站就会出现“不安全连接”的红色警告。我的经验是设置一个 cron 任务，每天检查所有证书的到期时间，提前 7 天发现快要过期的证书并手动处理，避免周末被客户电话叫醒。

4.4 WHM API：给批量操作插上翅膀

很多管理员用 WHM 很多年，却不知道它有完整的 API 接口。WHM 支持 Web API（通过 https 请求调用）和 UAPI（用户面板 API），这意味着你可以自己写脚本批量创建账户、批量挂起、批量修改配额，甚至做自动化的账户迁移。

举个例子：你手头有 500 个域名要搬家，手动在 WHM 里一个个创建账户，累死也忙不完。但你可以写一段脚本，读取 CSV 里的域名和用户名，循环调用 WHM 的createacct接口，瞬间就能把 500 个账户全部建好。我做过最夸张的一次，用 WHM API 帮一个客户把 200 个老虚拟主机账户从一台服务器迁移到另一台，全程用脚本控制，只花了两个小时，其中大部分时间还花在带宽传输上。

调 WHM API 需要先在 WHM 安全中心生成一个 API Token，然后通过这个 Token 发起请求。如果是用 PHP 写脚本，官方有 cPanel WHM SDK；用 Python 也可以用 requests 库直接调。不过建议先拿一个测试账户试试再批量跑，避免脚本逻辑错误导致批量误操作。

5. 选 WHM 还是选其他面板？不同场景下的真实判断

5.1 用 WHM 的典型场景：虚拟主机商、代理主机商、小集群运维

WHM 最强的场景就是批量管理多个独立网站账户。如果你做的事情包含以下任何一条，WHM 确实是最顺手的选择：

• 你在卖虚拟主机，客户需要独立的 cPanel 登录界面，能自己管网站。
• 你做域名停放，手头有大量域名想统一建站、统一配置邮箱。
• 你帮客户代维服务器，需要处理多个客户的网站和资源隔离。
• 你希望给每个网站一个完全独立的环境，避免一个站被黑牵连其他站。

WHM 的底层其实就是让每个网站以独立的 Linux 用户运行，这在权限隔离方面做得相当好。单独用宝塔或纯净 Nginx 配置也能实现类似效果，但要做到 WHM 这种“建账户自动建 DNS、自动建邮箱、自动配 SSL”的全套自动化，纯手写运维脚本的工程量相当大。

5.2 不需要 WHM 的场景：单站站点和轻量级开发者

如果你只是运行一个自己的 WordPress 博客、一个企业官网，或者只是个人项目用的 API 服务，那 WHM 对你来说完全是杀鸡用牛刀。WHM 的授权费不便宜，系统资源占用也高，而且管理复杂度远高于轻量级面板。

这类场景下，我更推荐直接使用云厂商的轻量应用服务器的镜像系统，或者用宝塔面板、Docker 容器方案。宝塔的优势是安装简单、中文界面、免费版功能也基本够用，缺点嘛，就是它的架构里“一个站点”不是一个完全独立的系统用户，权限隔离不如 WHM 干净。对不涉及多租户的场景，这个短板一般也影响不大。

5.3 授权费和资源占用：用数字算一笔账

WHM 商业授权是按月交的，官方价格目前是单台服务器每月 30 到 40 美元左右（具体看是否包含技术支持），一年下来是笔不小的开销。虽然有一些替代方案（比如 DirectAdmin、Plesk），但它们在“账户隔离自动化”这条路上做得都不如 cPanel 这套产品线成熟。

资源占用方面，WHM 加上配套的 MySQL、Apache/Nginx、Exim、FTP、BIND DNS 服务，开机稳定跑起来大约占用 1.5GB 到 2GB 内存。如果你的 VPS 只有 2GB 内存，装了 WHM 之后基本就没什么余量给网站跑了。所以如果你真的要做 WHM 服务器，最好是 4GB 以上内存，并且把不需要的服务（比如 FTP 如果没客户在用、某个无用的 Perl 模块）关掉，给业务留出更多资源。

6. 我踩过的几个 WHM 大坑：排查过程和处理思路

6.1 坑一：服务器被暴力破解，root 密码被频繁尝试登录

某次半夜收到服务器的登录失败告警，看日志发现一台新上线的 WHM 服务器被人用 root 用户名疯狂尝试密码，一分钟几百次。第一时间我的反应不是去看哪个 IP 在扫，而是先检查 root 的 SSH 登录权限。

WHM 服务器默认是允许 root 通过 SSH+密码登录的，这是最危险的一环。处理步骤是这样的：先用 CSF 封禁扫描来源 IP，然后在 WHM 的“SSH 访问”里禁用 root 的密码登录，改为仅允许密钥登录；接着强制所有管理员开两因素认证。改完这些，攻击者的成功率就降为零了。

排查日志的路径是 WHM 首页的“终端”或通过 SSH 查看/var/log/secure和/var/log/messages。这里有个经验：出现暴力破解不奇怪，关键是确认攻击者有没有成功过。你需要在日志里搜索Accepted password的记录，如果有陌生 IP 的 Accepted 记录，那说明已经有人进来过了，必须立即排查后门文件和系统账户，不能只封 IP 了事。

6.2 坑二：磁盘满了，但找不到哪个文件在吃空间

有一次客户的服务器网站全部报警“无法写入”，我登录 WHM 一看，/分区 100% 占用。我当时翻了半天文件，也没找到什么大的文件，后来才发现问题出在 MySQL 的 Error log 和 cPanel 的备份目录。

WHM 的备份目录默认在/backup，如果你启用了本地备份但没做远程传输，它会一直往本地磁盘写，直到把分区塞满。备份目录不显眼，因为里面是按账户名分的子目录，每个目录看起来体积不大，但加起来能把整个盘吃掉。排查时我用了一个命令：du -sh /backup/*直接按账户列出备份目录大小，立马发现了几个巨大无比的备份文件夹，然后赶紧清理并修改备份策略为“只保留最近 3 个备份”。

另一个经典吃盘点是 Exim 邮件队列。如果某个账户被黑后大量发信，邮件队列里可能积压几万封待投递的邮件，每一封都是完整文件，加起来轻轻松松几百 GB。处理方式是在 WHM 的邮件队列管理里清空队列，然后立刻挂起被黑的账户。

6.3 坑三：误删除账户后的数据恢复失败，只因没有远程备份

坦白说，这个坑是我的教训。有一次我操作 WHM 后台，本来想挂起一个测试账户，结果手滑点了“终止账户”，还顺手勾了“删除备份”。那一瞬间我脑子是懵的——客户的 Wordpress 站点的时间线、图片、留言全没了，而我本地的备份策略因为“备份目录太大”被我临时改成关闭状态。

后来幸好这个客户用的是旧版本的 WP 插件，数据库里的内容在一些文章页面的缓存里还能捞出来一部分，但终究损失了很多数据。这件事彻底改变了我对备份的重视程度。现在我给任何服务器部署 WHM，第一件事永远是先配好远程备份，第二件事是设置“终止账户时必须输入‘confirm’几个字符才能继续”。WHM 的这个二次确认选项很多人没留意，但真的能让手滑的概率大幅下降。

7. 最后分享几个提升 WHM 效率的小技巧

到了这个位置，核心概念和实操经验都聊得差不多了，我再分享几个日常使用 WHM 时真正能提效的小细节。

技巧一：学会用 WHM 的“终端”功能。WHM 后台里集成了基于 Web 的终端模拟器，不用再单独开 SSH 窗口。批量操作、查看日志、跑脚本，直接在浏览器里就能完成。不过真到紧急排查时，还是建议用终端软件的 SSH 方式，因为 Web 终端断连时容易把正在跑的长任务打断。

技巧二：把 WHM 接口做成内部监控。前面说过 WHM 有 API，我后来做了一个小工具，每天通过 API 拉取所有账户的磁盘占用和邮箱队列数，超过阈值就发钉钉告警。这样我从不用主动登录 WHM 看状态，有异常它会自己告诉我。

技巧三：定期更新 WHM 版本。WHM 提供自动更新选项，我建议打开“每周一次”的自动检查更新。WHM 每个版本都会修复若干安全漏洞，长期不更新就是把这些漏洞挂在公网上等攻击者来打。更新前先在后台创建一个快照或完整备份，然后执行更新，更新过程中网站会短暂不可用，选在业务低谷时段操作。

回到最开始的问题：WHM 是什么？它不是某个 fad，而是一套相当成熟的托管级运维面板。它解决的问题很朴素——在服务器上批量化、规范化地管理多个网站用户的权限、资源、配置和备份。如果你正好干的是多租户虚拟主机、代维、或者批量搭建站点这类事情，理解 WHM 的这套模型，比死盯着在某一个 cPanel 里点按钮要重要得多。它给你的是一种“从站在服务器顶上看全局”的视角，而这种视角，才是把一台服务器真正当成一门生意来运营的开端。