diff --git a/backend/README.md b/backend/README.md
index ccb4bcf..0a6dd4f 100644
--- a/backend/README.md
+++ b/backend/README.md
@@ -36,11 +36,11 @@ go run ./cmd/scert serve --base-dir C:\ScertData
 
 当前 `serve` 已接入配置加载、数据库迁移、认证、DNS 在线测试、ACME 证书申请、自动续期、证书导入、SSH 部署和通知流程。HTTPS 生产切换、真实 DNS/ACME 申请、远程服务器及平台安装仍需授权环境验收。
 
-### 开发阶段使用 9003 端口
+### 开发阶段使用 9004 与 9003 端口
 
-反向代理开发测试时，将配置中的服务地址设为 `127.0.0.1`、端口设为 `9003`，并将 `https_mode` 设为 `proxy`。Scert 只提供本机内部 HTTPS，公网 HTTPS 由 Nginx 监听 `443` 并转发到 `https://127.0.0.1:9003`。端口可通过配置文件 `server.port` 或初始化参数 `--server-port` 修改；修改后需要重启服务。
+反向代理开发测试时，Scert 使用 `127.0.0.1:9004` 提供本机内部 HTTPS，Nginx 使用 `9003` 接收测试访问并转发到 Scert。配置中的 `https_mode` 设为 `proxy`。公网 HTTPS 仍由 Nginx 终止；端口可通过配置文件 `server.port` 或初始化参数 `--server-port` 修改，修改后需要重启服务。
 
-SMTP 通知是 Scert 的出站连接，不需要为 Scert 开放 SMTP 入站端口。公网防火墙通常只需放行 Nginx 使用的 `443`，若配置 HTTP 跳转再放行 `80`；内部端口 `9003` 不应对公网开放。
+SMTP 通知是 Scert 的出站连接，不需要为 Scert 开放 SMTP 入站端口。公网防火墙通常只需放行 Nginx 使用的 `443`，若配置 HTTP 跳转再放行 `80`；内部端口 `9004` 和 Nginx 测试端口 `9003` 都不应对公网开放。
 
 ## 测试和构建
 
diff --git a/deploy/README.md b/deploy/README.md
index 1725a93..11edf0f 100644
--- a/deploy/README.md
+++ b/deploy/README.md
@@ -76,13 +76,13 @@ Linux 安装目录当前固定为 `/scert`。自定义证书根目录必须是
 
 ## 开发阶段反向代理部署
 
-开发阶段可以使用测试域名 `web.xuans.com` 验证 Web 页面和反向代理链路。推荐让 Scert 只监听本机端口 `9003`，由 Nginx 对外提供 HTTPS：
+开发阶段可以使用测试域名 `web.xuans.com` 验证 Web 页面和反向代理链路。推荐让 Scert 只监听本机端口 `9004`，由 Nginx 监听 `9003` 接收测试访问并转发：
 
 ```text
-公网 HTTPS 443
+测试访问 HTTPS 9003
     ↓
 Nginx
-    ↓ https://127.0.0.1:9003
+    ↓ https://127.0.0.1:9004
 Scert
 ```
 
@@ -92,7 +92,7 @@ Scert
 {
   "server": {
     "host": "127.0.0.1",
-    "port": 9003,
+    "port": 9004,
     "https_mode": "proxy"
   }
 }
@@ -109,7 +109,7 @@ server {
     ssl_certificate_key /etc/letsencrypt/live/web.xuans.com/privkey.pem;
 
     location / {
-        proxy_pass https://127.0.0.1:9003;
+        proxy_pass https://127.0.0.1:9004;
         proxy_ssl_server_name on;
         proxy_ssl_name web.xuans.com;
         proxy_ssl_verify off;
@@ -122,7 +122,7 @@ server {
 }
 ```
 
-如果需要 HTTP 自动跳转，再配置并开放 `80`；正常访问只需开放公网 `443`。`9003` 仅供本机 Nginx 使用，不应加入公网防火墙规则。端口可以在配置文件的 `server.port` 修改，修改后需要重启 Scert；如果改为直接对外监听，则还需要同步调整防火墙和安全组规则。
+如果需要 HTTP 自动跳转，再配置并开放 `80`；正式公网访问通常使用 `443`，开发测试访问使用 Nginx 的 `9003`。Scert 内部端口 `9004` 和 Nginx 测试端口 `9003` 都不应加入公网防火墙规则。端口可以在配置文件的 `server.port` 修改，修改后需要重启 Scert；如果改为直接对外监听，则还需要同步调整防火墙和安全组规则。
 
 `web.xuans.com` 仅用于开发阶段测试，不能作为生产环境证书、DNS、ACME 或最终 HTTPS 验收依据。