F12笔记10 月 28 日，HostDare 在账单系统发了一则安全公告（第 100 号）：vps.hostdare.com 面板上所有用户的密码被强制重置，每个人都要手动改一次。
原因是他们做账号密码审查的时候，软件开发商提供的一段脚本有 bug，导致部分用户收到的密码重置邮件里，收件人邮箱是错的——邮件被发给了别人。官方说用假账号测试过这些受影响的登录链接，确认链接不可用；目前没有发现入侵或未授权访问的迹象。
要重置密码，直接去这个地址手动操作：https://vps.hostdare.com/?act=login&sa=fpass。
一、公告原文说了什么
公告标题是「Important Security Notice – VPS Panel Password Reset & Incorrect Emails Sent」，落款 2026 年 10 月 28 日，三条要点：
- 密码审查过程中，开发商提供的脚本有 bug，部分用户收到的重置邮件带着错误的邮箱地址；
- 官方用假账号测试了受影响的登录链接，确认链接不生效；
- 没有发现入侵或未授权访问，但作为预防措施，vps.hostdare.com 面板全部账号强制重置密码。
公告地址：bill.hostdare.com/announcements/100/
二、现在该做的三件事
1. 手动重置面板密码。别点邮件里的重置链接——这次事故就是邮件本身发错了人，你收到的链接不一定是你自己的。直接在浏览器里敲 https://vps.hostdare.com/?act=login&sa=fpass ，走官方的找回流程。
2. 顺便检查账单系统密码。vps.hostdare.com 是机器面板，bill.hostdare.com 是下单、续费、开工单的账单系统，两套账号。如果你两边用的是同一个密码，这次一起改掉。
3. 收到奇怪的 HostDare 重置邮件就当没看见。不要点里面的链接，也不要回复。如果你最近根本没申请过重置，那封邮件大概率是这次脚本事故的产物。
三、为什么「多站同密」是这件事的重点
HostDare 这套系统有三层密码，很多人图省事全设成同一个：
- 面板密码（vps.hostdare.com）：能改 root 密码、能重装系统、能进 VNC；
- 账单密码（bill.hostdare.com）：能开工单、能看订单、能改账户信息；
- SSH root 密码：每台机器自己的。
面板密码一旦落到别人手里，等于把机器的最高权限交出去——不用碰你的 SSH，直接重置 root 密码或者重装系统就行。所以这次就算官方说「邮件里的链接无效」，全量重置也是合理的反应：他们没法百分之百确认每一封错发的邮件里链接都失效了。
顺着这个思路，自己的习惯要改：
- 三层密码分开，用密码管理器生成，别自己编；
- 面板如果能开 2FA 或邮箱验证码就开上——HostDare 面板的账号设置里就有 2FA 和 Email OTP 这两项；
- 查一下自己的邮箱在公开泄露库里出现过没有，有的话把同邮箱注册过的站按重要程度从高到低改一遍；
- 不用了的老账号直接删，少一个入口少一分风险。
四、对用 HostDare 的人意味着什么
你的机器本身没受影响：公告说的是面板账号密码重置，不是机器被入侵，VPS 上的数据、系统、SSH 密钥都不需要动。改完面板密码照常用。
HostDare 是卖 CN2 GIA 线路的美国商家，国内用户不少，这次是脚本事故不是被黑——但邮件发错收件人这件事本身不小：重置邮件里通常还带着你的账号邮箱和用户名，被错发出去就是一份现成的钓鱼素材。所以除了改密码，最近一段时间收到「HostDare 客服」发来的邮件、私信，先怀疑一下再说。
