开服的人守得住 SSH，却常常在两个地方翻车：Steam API Key 随手发群里、RCON 密码用默认值。这两把钥匙泄露的后果，轻则服被人恶意操控，重则存档被删、玩家数据被拖。这篇讲清这两把钥匙的风险面和保管方法。

本文基于 财富云计算 NAT 型云服务器（无独立公网 IP、价格比独立 IP 机型省一半以上）的开服实践。钥匙管理的原则：能换的定期换，能不暴露的不暴露，泄露了知道怎么救。

一、两把钥匙分别管什么

RCON 是更致命的那把——它等于你服务器的 root。很多开服教程让设 RCON 密码，玩家随手填 rcon123 或者干脆不设，端口映射开着 25575——这等于把家门钥匙插在锁上。

二、RCON 安全五条军规

1. 不设空密码（最常见的事故）

# 服务端配置里，RCON 密码必须是强随机串
# Palworld/CSGO/RUST 各有各的配置位置，但原则一样：
# ❌ rcon_password ""          （不设）
# ❌ rcon_password "rcon123"   （默认/弱密码）
# ✅ rcon_password "Xk9mQ2vLpWz7Rt4YbN3c"   （20 位随机）

2. RCON 端口不映射到公网（关键）

这是最重要的一条。RCON 只需要你自己管理时用，根本不需要公网访问：

# SSH 隧道方案：把服务器的 25575 隧道到你本地，全程不走公网
ssh -N -L 25575:127.0.0.1:25575 root@你的服务器IP -p SSH端口
# 然后本地 RCON 工具连 127.0.0.1:25575，就像在服务器上操作

3. RCON 工具链也上密码管理

管理工具（如 RCON 远程管理完全指南提到的各类客户端）会保存密码——存密码管理器，不要存浏览器的自动填充。

4. 定期更换

每季度换一次 RCON 密码，尤其在这些时机：有管理员退群/退服、有人在群里问过 RCON 怎么配、你感觉密码可能发错过地方。

5. 泄露了怎么救

# 1. 立刻改 RCON 密码（服务端配置文件里）
# 2. 重启服务使新密码生效
# 3. 查 RCON 日志，看有没有异常指令（踢人、改图、删档类命令）
# 4. 检查存档完整性：和最近的自动备份比对
# https://z0w.cn/wiki/game-server-backup.html
# 5. 若发现恶意操作，评估是否需要回滚到备份节点

三、Steam API Key 的安全使用

申请与存放

1. 申请地址：Steam 官方的 Web API Key 注册页（需要 Steam 账户绑定手机）。
2. 存放原则：只放在服务端配置文件里，权限收紧，不要发群、不要截图、不要写进公开教程。

# 配置文件权限收紧（仅所有者可读写）
chmod 600 /opt/game/server/config.ini
chown gameuser:gameuser /opt/game/server/config.ini

泄露的后果与应对

API Key 泄露比 RCON 温和，但也不是小事：

应对：Steam 支持吊销（revoke）API Key——发现泄露，去注册页吊销重建，服务端换新 Key 重启即可。能吊销的钥匙，泄露就不是世界末日。

四、其他容易泄露的「钥匙」

开服涉及的密钥不止这两把，一张表全清查：

通用纪律见服务器账号安全与登录防护。

五、一套可落地的密钥管理法

不需要企业级 KMS，个人开服这样管就够：

1. 密码管理器（Bitwarden/KeePass）存所有密码和 API Key
2. 服务器上：配置文件一律 chmod 600，只放需要放的本机密钥
3. 玩家/管理员要给的权限：单独开低权限账号，不给 RCON 全权
4. 每季度轮换：RCON 密码、数据库密码、面板密码
5. 泄露响应顺序：改密码 → 重启 → 查日志 → 对备份

特别提醒群管理场景：把 RCON 密码发给协管时，用「私聊 + 密码管理器分享」而不是「发群里 @他」。群记录是会截图的，密码是会忘的，泄露是会发生的。

六、常见疑问

Q：RCON 端口开着但不设密码行吗？
不行。「不设密码」在很多服务端等于空密码直接进，比弱密码还危险。

Q：用 SSH 隧道麻烦吗？
一次配置永久受益，而且比公网暴露 RCON 安全一个量级。教程见SSH 密钥登录与账号安全配置。

Q：API Key 吊销后好友进服受影响吗？
不影响游戏联机本身——Key 主要影响 Steam 列表展示和验证服务。吊销重发期间服务器列表可能短暂不显示，联机不受影响。

Q：怎么知道我的 RCON 有没有被人用过？
服务端日志里 RCON 登录记录、管理指令记录。结合日志集中管理和Linux 入侵检测工具定期看。

结语

游戏服的两把钥匙——RCON 是家门钥匙，API Key 是信箱钥匙。前者必须锁死（强密码 + 不映射公网 + 隧道管理），后者要可吊销（泄露了吊销重建）。再叠上密码管理器和季度轮换，密钥安全就是一套五分钟能跑完的日常流程。

配套阅读：RCON 远程管理完全指南、服务器账号安全与登录防护、服务器被入侵应急排查。

财富云计算 专注 NAT 型云服务器，无独立公网 IP、价格比独立 IP 机型省一半以上，端口映射按需开启——RCON 这种管理端口建议只在需要时开，把公网暴露面压到最小。

延伸阅读

1. 网站环境怎么选：LNMP 手动 / 宝塔面板 / Docker / 云开发
2. 问卷表单系统搭建：SurveyKing / Formbricks，数据自己收
3. 图床搭建：Lsky Pro / Lychee，自托管图片托管方案
4. 邮件列表搭建：listmonk 自托管 Newsletter，把读者握在自己手里
5. 文档站点搭建：MkDocs / VuePress / Docsify，产品文档与技术手册方案
6. RSS 阅读器搭建：FreshRSS 自托管，把信息流拿回自己手里
7. 短链接服务搭建：Shlink 自托管，链接数据自己掌握
8. 网站状态监控页搭建：Uptime Kuma，服务器挂了第一时间知道

更多阅读

1. 上一篇：服务器账号安全与登录防护：从密码到 2FA 的完整加固
2. 下一篇：Linux 开服环境一键脚本：从裸机到可开服只要十分钟