把系统升级为了 Debian 13 x86_64 。

仅开放 SSH 。基础组件 Nginx 1.26.3、PHP 8.4.23、MariaDB 11.8.6、Docker 26.1.5、Compose 2.26.1，Swap 4 GB。

应用 SSH、nftables、Fail2ban、PHP-FPM、MariaDB 和 Docker 的资源/日志限制。

SSH 禁用密码登录、root 只允许密钥；nftables 默认拒绝并允许 22/80/443/1935。

https Certbot 定时续签已启用。