站点可用性探测

登记探测主机所在网络、故障域和出站限制，列出首批目标：至少一个业务健康检查接口，以及是否包含公开站点、内部 TCP 入口或定时任务 Push。为每个对象写明期望状态码或关键词、间隔、超时、重试，以及失败后的处理人。公开状态页只允许出现已批准的服务名称，内部地址和令牌不得进入页面文案。

在独立目录使用 2.x 镜像启动实例，端口仅绑定本机，数据目录放在本地磁盘。:2 为浮动标签，启动后记录实际镜像摘要。不要把 data 放到 NFS。

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    restart: unless-stopped
    ports:
      - "127.0.0.1:3001:3001"
    volumes:
      - ./data:/app/data

docker compose up -d
docker compose ps
docker compose logs --tail=100 uptime-kuma

添加 HTTP(S) 监控，目标填写探测实例真实可达的健康检查 URL，不要使用容器内的 localhost 去指向宿主机或其他服务。设置超时、重试和间隔后观察至少三个周期。若状态码不足以代表健康，再加关键词或 JSON 查询。需要 Docker 容器监控时才挂载 docker.sock，并确认该实例不会对公网开放。

先接入测试用 SMTP、钉钉、飞书或 Telegram 等渠道，向指定测试接收端发送。将通知绑定到试点监控，经授权后只对该测试对象制造一次失败（例如临时改成不可达地址），再恢复正确目标。记录状态变化、首次通知和恢复通知时间。计划内变更使用维护窗口，避免把发布当成故障。

创建状态页，只加入批准公开的服务。用未登录会话打开页面，确认没有内部主机名、令牌或管理入口。对外域名经反向代理转到 127.0.0.1:3001，必须转发 WebSocket。

location / {
    proxy_pass         http://127.0.0.1:3001;
    proxy_http_version 1.1;
    proxy_set_header   Upgrade $http_upgrade;
    proxy_set_header   Connection "upgrade";
    proxy_set_header   Host $host;
    proxy_read_timeout 3600s;
}

若仅能通过代理访问，打开 Trust Proxy。需要指标抓取时再启用 /metrics，并限制来源。

停止实例后复制完整 data 目录到离机位置，再在隔离目录用同一主版本镜像尝试启动。确认可登录且试点监控仍在。记录升级命令与回退镜像。将探测点位置、对象清单、通知测试结果、状态页范围和备份位置交给值班人员。

docker compose stop
# 复制 ./data 到离机备份后：
docker compose start