بهترین کنترل پنل‌های رایگان هاستینگ — aaPanel، CyberPanel و CloudPanel

یک کنترل پنل رایگان هاستینگ ترمینال سیاه را به چند صفحه‌ی وب ساده تبدیل می‌کند: ساخت هاست برای دامنه، تعویض نسخه‌ی PHP، دیتابیس، گواهی SSL، بکاپ و مدیریت فایل — همه با کلیک. اینجا چهار پنل رایگان و جدی — aaPanel، CyberPanel، CloudPanel و HestiaCP — را با دستور نصب واقعی، پورت پیش‌فرض، حداقل منابع، آسیب‌پذیری‌های ثبت‌شده و تله‌هایی که کمتر جایی نوشته می‌شوند مقایسه می‌کنیم؛ هر عدد از مستندات رسمی خودشان.

کنترل پنل دقیقاً چه کاری برایتان می‌کند؟

کنترل پنل یک رابط وب است که روی سرور شما نصب می‌شود و پشت صحنه همان دستورهایی را اجرا می‌کند که یک مدیر سیستم در ترمینال می‌زند: ساختن وب‌سرور مجازی برای دامنه، تعویض نسخه‌ی PHP، ساخت دیتابیس MySQL یا MariaDB، گرفتن گواهی رایگان از Let’s Encrypt، زمان‌بندی بکاپ و مدیریت فایل با یک File Manager گرافیکی. همان نقشی که cPanel در هاست اشتراکی دارد — با این تفاوت که cPanel و DirectAdmin لایسنس‌دارند و این چهار گزینه برای سرور خودتان رایگان‌اند؛ به همین دلیل «جایگزین سی پنل رایگان» هم نامیده می‌شوند.

دو انتظار را همین اول تنظیم کنیم. اول اینکه پنل، دانستنِ مفاهیم پایه را حذف نمی‌کند؛ فقط تایپ‌کردن دستورها را حذف می‌کند — اگر ندانید رکورد A چیست، هیچ پنلی سایتتان را بالا نمی‌آورد و آموزش رکوردهای DNS پیش‌نیاز کوتاهی است. دوم — و بخش امنیت این مقاله رویش می‌ایستد — پنل یک برنامه‌ی وبِ همیشه‌آنلاین است که با دسترسی root اجرا می‌شود. هر ضعفی در آن، ضعف کل سرور است.

پیش از نصب: سروری که پنل روی آن می‌نشیند

توزیع لینوکس. هر چهار پنل روی اوبونتوی LTS بهترین پشتیبانی را دارند و پشتیبانی امنیتی استاندارد نسخه‌های ۲۲٫۰۴، ۲۴٫۰۴ و ۲۶٫۰۴ به‌ترتیب تا می ۲۰۲۷، می ۲۰۲۹ و می ۲۰۳۱ ادامه دارد؛ یک LTS تازه‌تر چند سال عمر بیشتر می‌دهد. اما «تازه‌ترین» همیشه بهترین نیست: در زمان نگارش، CloudPanel و HestiaCP اوبونتو ۲۶٫۰۴ را رسماً پشتیبانی می‌کنند اما فهرست CyberPanel هنوز روی ۲۴٫۰۴ متوقف است. نصب روی توزیع پشتیبانی‌نشده شاید انجام شود، ولی اولین به‌روزرسانی می‌شکندش.

منابع. ارقام رسمیِ حداقلی خوش‌بینانه‌اند: aaPanel روی کاغذ با ۵۱۲ مگابایت رم و ۱ گیگابایت فضا راه می‌افتد، CyberPanel حداقل ۱ گیگابایت رم و ۱۰ گیگابایت فضا می‌خواهد و CloudPanel صریحاً ۲ گیگابایت رم. اما «حداقلِ نصب» با «حداقلِ کارکرد» فرق دارد: پنل، وب‌سرور، دیتابیس و یک وردپرس روی ۱ گیگابایت رم عملاً به swap می‌افتند. ۲ گیگابایت را کف بگیرید.

دسترسی root. هر چهار نصاب باید با کاربر root اجرا شوند، پس یک بار اتصال SSH لازم دارید — تنها جایی در کل مسیر که به ترمینال نیاز دارید. آموزش اتصال SSH به سرور همین یک قدم را پوشش می‌دهد.

aaPanel — ساده‌ترین شروع برای مبتدی‌ها

aaPanel روان‌ترین منحنی یادگیری را بین این چهار پنل دارد: داشبورد تمیز، فروشگاه یک‌کلیکی نرم‌افزار (وردپرس، نسخه‌های مختلف PHP، Redis و…) و یک File Manager که واقعاً خوب است. مستندات رسمی می‌گویند پنل بر پایه‌ی اوبونتو ۲۲٫۰۴ توسعه داده می‌شود و همان را توصیه می‌کنند، هرچند دبیان و آلما و راکی هم پشتیبانی می‌شوند. نصب یک خط است:

URL=https://www.aapanel.com/script/install_panel_en.sh && \
if [ -f /usr/bin/curl ]; then curl -ksSO "$URL"; \
else wget --no-check-certificate -O install_panel_en.sh "$URL"; fi; \
bash install_panel_en.sh

نصاب می‌پرسد پنل را در /www نصب کند یا نه، و در پایان چاپ می‌کند:

==================================================================
Congratulations! Installed successfully!
==================================================================
aaPanel Internet Address: https://your_ip_address:31750/abcdefg
username: abcdefgh
password: abcdefgh

دو چیز در این خروجی مهم است. اول، پورت پیش‌فرض 31750 است — نه پورت قدیمی‌ای که در بسیاری از مقاله‌های فارسی هنوز نوشته می‌شود. دوم، رشته‌ی تصادفی بعد از پورت («security entrance») بخشی از آدرس ورود است؛ بدون آن، همان آدرس ۴۰۴ می‌دهد.

این اطلاعات فقط یک بار چاپ می‌شوند، ولی گم‌شدنشان فاجعه نیست: منوی bt پنجره‌ی نجات aaPanel است. bt 14 اطلاعات ورود را دوباره نشان می‌دهد، bt 5 رمز را عوض می‌کند، bt 8 پورت را، bt 28 مسیر امنیتی را، bt 24 ورود دومرحله‌ای Google Authenticator را خاموش می‌کند (یعنی این قابلیت هست و باید روشنش کنید) و bt 16 پنل را به آخرین نسخه به‌روز می‌کند.

ضعف صادقانه: نسخه‌ی تجاری Pro هم وجود دارد و بعضی امکانات جذاب — از جمله WAF کامل — همان طرف خط‌اند.

CyberPanel — سرعت با OpenLiteSpeed

برگ برنده‌ی CyberPanel وب‌سرور پیش‌فرض آن است: OpenLiteSpeed، که تحت GPLv3 منتشر می‌شود و طبق سایت رسمی‌اش با قواعد mod_rewrite آپاچی سازگار است. مستندات خودش تفاوت نسخه‌ی رایگان و Enterprise را روشن گفته‌اند: کد پنل در هر دو یکسان است و تنها فرق، وب‌سروری است که پشتش می‌نشیند — رایگان با OpenLiteSpeed و بدون محدودیت تعداد دامنه. برخلاف خیلی از رقبا، DNS و ایمیل و FTP هم دارد.

sh <(curl https://cyberpanel.net/install.sh || wget -O - https://cyberpanel.net/install.sh)

از سؤال‌های نصاب دو تا اهمیت واقعی دارند. اول، انتخاب نسخه‌ی LiteSpeed؛ اگر لایسنس ندارید همان OpenLiteSpeed را بگیرید. دوم — مهم‌ترین جمله‌ی این بخش — پرسش رمز عبور، که مقدار پیش‌فرضش در مستندات رسمی 1234567 اعلام شده و خود مستندات استفاده از آن را «توصیه‌نشده» می‌خوانند. همان‌جا گزینه‌ی s برای رمز دلخواه و r برای رمز تصادفی هست؛ یکی از این دو را بزنید و از کنار این سؤال رد نشوید.

بقیه‌ی سؤال‌ها سرویس‌های جانبی‌اند: PowerDNS و Postfix و Pure-FTPd (پیش‌فرض بله)، Memcached و Redis و Watchdog. اگر ایمیل و DNS نمی‌خواهید همان‌جا خاموششان کنید؛ هر سرویس نصب‌نشده، یکی کمتر برای به‌روز نگه داشتن است. نصب ۵ تا ۱۰ دقیقه طول می‌کشد و ورود از پورت 8090 است.

/usr/local/lsws/bin/lswsctrl restart

ضعف صادقانه: سابقه‌ی امنیتی CyberPanel سنگین‌ترین سابقه‌ی این چهار پنل است — بخش بعدی را حتماً بخوانید.

CloudPanel — مینیمال، مدرن و مخصوص توسعه‌دهنده

CloudPanel با Nginx و PHP-FPM کار می‌کند، مدرن‌ترین رابط بین این چهار پنل را دارد و عمداً میل‌سرور و DNS ندارد؛ فلسفه‌اش این است که سرور وب فقط سرور وب باشد. برای PHP، Node.js، Python و سایت استاتیک عالی است. الزامات رسمی‌اش شفاف است: دست‌کم ۱ هسته، ۲ گیگابایت رم و ۱۰ گیگابایت فضا، روی اوبونتو ۲۲٫۰۴ / ۲۴٫۰۴ / ۲۶٫۰۴ یا دبیان ۱۱ / ۱۲ / ۱۳ — هم x86 و هم ARM64. نصبش چیزی دارد که سه پنل دیگر ندارند: بررسی امضای اسکریپت پیش از اجرا.

apt update && apt -y upgrade && apt -y install curl wget sudo

curl -sS https://installer.cloudpanel.io/ce/v2/install.sh -o install.sh
echo "<SHA256-FROM-DOCS>  install.sh" | sha256sum -c
sudo DB_ENGINE=MYSQL_8.4 bash install.sh

مقدار SHA256 را از خود صفحه‌ی مستندات کپی کنید، نه از مقاله‌ها؛ این عدد با هر نسخه‌ی اسکریپت عوض می‌شود و مقدار قدیمی یعنی sha256sum -c شکست می‌خورد. متغیر DB_ENGINE هم اجباری است و بعد از نصب تعویضش ساده نیست.

ورود از https://SERVER_IP:8443 است و مرورگر به‌خاطر گواهی self-signed هشدار می‌دهد. اینجا تله‌ای هست که خود مستندات هم رویش تأکید دارد: کاربر مدیر بعد از نصب ساخته می‌شود، نه هنگام نصب. تا لحظه‌ای که وارد شوید و حساب مدیر را بسازید، آن پنجره برای هر کسی که پورت را پیدا کند باز است.

یک شفاف‌سازی درباره‌ی «متن‌باز بودن»: CloudPanel رایگان است اما در معنای دقیق کلمه متن‌باز نیست؛ شرایط لایسنس رسمی‌اش فروش مجدد را بدون اجازه‌ی کتبی سازنده ممنوع کرده و حق تغییر رایگان‌بودن در آینده را صریحاً محفوظ داشته است.

HestiaCP — متن‌باز واقعی با میل‌سرور کامل

HestiaCP ادامه‌ی جامعه‌محور VestaCP است و تنها پنلی است که «متن‌باز» درباره‌اش بدون ستاره صادق است: کل کد زیر لایسنس GPL-3.0 روی گیت‌هاب منتشر می‌شود و نسخه‌ی تجاری ندارد. اگر می‌خواهید وب، ایمیل واقعی با ضداسپم، DNS و فایروال روی یک سرور جمع باشد، Hestia بهترین نسبت امکانات به سادگی را دارد.

wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
bash hst-install.sh

الزامات رسمی: حداقل ۱ هسته، ۱ گیگابایت رم (بدون SpamAssassin و ClamAV) و ۱۰ گیگابایت فضا؛ پیشنهاد خودشان ۴ هسته، ۴ گیگابایت رم و ۴۰ گیگابایت SSD است. فقط دبیان ۱۲ و ۱۳ و اوبونتوهای LTS پشتیبانی می‌شوند و ورود به پنل روی پورت 8083 است. اگر بعد از فعال‌کردن ضداسپم سرور کند شد عجیب نیست: ClamAV و SpamAssassin سنگین‌ترین دو سرویس این پنل‌اند و دقیقاً به همین دلیل از آن حداقلِ اعلام‌شده مستثنا شده‌اند.

خط سیر نسخه‌ها هم چیز خوبی درباره‌ی این پروژه می‌گوید: شاخه‌ی 1.10، منتشرشده در مرداد ۱۴۰۵، علاوه بر PHP 8.5 و دبیان ۱۳، یک بازبینی امنیتی گسترده بود: حذف eval از کد، پارامتری‌کردن کوئری‌ها و کنار گذاشتن اعتماد به هدرهای پروکسی احرازنشده.

جدول مقایسه؛ کدام کنترل پنل رایگان هاستینگ برای شما؟

جمع‌بندی: مبتدی هستید و وردپرس می‌خواهید؟ aaPanel. سرعت وردپرس اولویت یک است و به آپدیت منظم متعهدید؟ CyberPanel. توسعه‌دهنده‌اید و ایمیل نمی‌خواهید؟ CloudPanel. میل‌سرور واقعی یا متن‌باز بودن کامل مهم است؟ HestiaCP.

پورت پنل، فایروال و تله‌ای که با پروکسی لبه می‌سازید

هر چهار پنل روی یک پورت غیراستاندارد گوش می‌دهند و این دو پیامد دارد که هر دو دیر کشف می‌شوند. اول، فایروال: اگر ufw فعال است پورت پنل باید باز شود — نه برای همه، فقط برای IP خودتان:

ufw allow 80,443/tcp
ufw allow from 203.0.113.25 to any port 8443 proto tcp
ufw enable
ufw status numbered

Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 80,443/tcp                 ALLOW IN    Anywhere
[ 2] 8443/tcp                   ALLOW IN    203.0.113.25
[ 3] 80,443/tcp (v6)            ALLOW IN    Anywhere (v6)

دوم، و تله‌ی واقعی: اگر دامنه‌تان پشت Cloudflare با حالت پروکسی (ابر نارنجی) باشد، فقط پورت‌های مشخصی از آن عبور می‌کنند. طبق مستندات پورت‌های شبکه‌ی Cloudflare، پورت‌های HTTPS پشتیبانی‌شده عبارت‌اند از 443، 2053، 2083، 2087، 2096 و 8443. یعنی از این چهار پنل فقط CloudPanel با پورت 8443 از پروکسی رد می‌شود؛ 31750 و 8090 و 8083 به مقصد نمی‌رسند و شما یک صفحه‌ی خطا می‌بینید بدون هیچ ردی در لاگ سرور. راه‌حل: نامی که پنل روی آن باز می‌شود اصلاً پروکسی نشود.

امنیت پنل: هیچ‌کدام «پنل امن» نیستند

برخلاف تصور رایج، این مشکلِ «یکی از پنل‌ها» نیست — هر چهار پنل آسیب‌پذیری بحرانیِ ثبت‌شده در پایگاه ملی آسیب‌پذیری آمریکا (NVD) دارند:

نتیجه‌گیری درست از این جدول «CyberPanel نصب نکنید» نیست؛ این است که نسخه‌ی قدیمی نگه‌داشتن، خودِ حمله است. مشهورترین مورد فهرست، همان نقص سال ۲۰۲۴ CyberPanel، وقتی موج باج‌افزار راه انداخت که وصله‌اش منتشر شده بود و قربانی‌ها نصبش نکرده بودند. چهار کار بیشترین اثر را دارند:

1. پورت پیش‌فرض را عوض کنید. ربات‌ها همین چهار عدد را شبانه‌روز اسکن می‌کنند. پورت را به عددی غیرمعمول ببرید (در aaPanel با bt 8) و اگر IP ثابت دارید دسترسی را به آن محدود کنید.
2. رمز پیش‌فرض را همان لحظه‌ی نصب عوض کنید. این تنها بندی است که فرصت جبران ندارد؛ فاصله‌ی «نصب تمام شد» تا «رمز عوض شد» همان پنجره‌ای است که ربات‌ها می‌خواهند.
3. لایه‌ی دوم ورود را اضافه کنید. aaPanel از Google Authenticator پشتیبانی می‌کند و CyberPanel از نسخه‌ی 2.0.3 در «Modify User» گزینه‌ی 2FA دارد؛ CloudPanel به‌جای آن یک Basic Authentication روی خود پنل می‌گذارد که مستنداتش دقیقاً برای همان حالتی توصیه می‌کند که نمی‌توانید پورت را به IP خودتان محدود کنید. هیچ‌کدام پیش‌فرض روشن نیستند.
4. ماهی یک بار به‌روزرسانی کنید. نه برای قابلیت جدید، بلکه چون جدول بالا هر چند ماه یک ردیف اضافه می‌کند.

SSL رایگان در پنل و محدودیت‌هایی که غافلگیرتان می‌کنند

هر چهار پنل دکمه‌ای برای گرفتن گواهی رایگان از Let’s Encrypt دارند و معمولاً همان یک کلیک کافی است. وقتی کار نمی‌کند، تقریباً همیشه یکی از این سه دلیل است.

یک: رکورد A هنوز به این سرور اشاره نمی‌کند. اعتبارسنجی HTTP-01 یعنی سرور صادرکننده باید فایلی را از روی دامنه‌ی شما بخواند؛ اگر دامنه هنوز به سرور قبلی می‌رود یا پورت 80 بسته است، صدور شکست می‌خورد.

دو: سقف‌های صدور. این اعداد از مستندات رسمی Let’s Encrypt می‌آید: حداکثر ۵۰ گواهی برای هر دامنه‌ی ثبت‌شده در هر ۷ روز، حداکثر ۵ گواهی با «مجموعه‌ی نام‌های دقیقاً یکسان» در هر ۷ روز، و حداکثر ۵ خطای اعتبارسنجی برای هر نام در هر ساعت. سقف دومی همان است که آدم‌ها را گیر می‌اندازد: وقتی صدور شکست می‌خورد و شما ده بار پشت‌سرهم دکمه را می‌زنید، سهمیه‌ی هفتگی همان دامنه را می‌سوزانید. یک بار بزنید، خطا را بخوانید، علت را رفع کنید، بعد دوباره.

سه: پروکسی لبه. اگر ترافیک از پروکسی عبور می‌کند، اعتبارسنجی باید به سرور مبدأ برسد. برای مکانیزم کامل صدور و تمدید — و حالت DNS-01 که وقتی پورت 80 در دسترس نیست به کار می‌آید — آموزش نصب SSL رایگان با Certbot را ببینید.

کی سراغ پنل نروید؟

• سرور تک‌منظوره دارید: برای یک ربات تلگرام یا یک اپ Docker، پنل فقط رم می‌خورد و سطح حمله اضافه می‌کند.
• سرور کم‌رمق است: روی ۵۱۲ مگابایت رم، پنل و دیتابیس و وب‌سرور جا نمی‌شوند — حتی اگر عدد رسمی بگوید می‌شوند.
• می‌خواهید لینوکس یاد بگیرید: پنل مثل ماشین دنده‌اتوماتیک است؛ راحت است اما رانندگی یاد نمی‌دهد. راه‌اندازی دستی یک سایت با Nginx روی اوبونتو بیشتر از ده مقاله لینوکس یادتان می‌دهد.
• پیکربندی خاص دارید: پنل فایل‌های vhost خودش را تولید می‌کند و تغییرات دستی شما در به‌روزرسانی بعدی بازنویسی می‌شوند.

پنل را روی سرور ایران بگذارم یا خارج؟

پاسخ کوتاه: جایی که مخاطبتان است. برای سایت فارسی‌زبان، سرور داخل ایران چند رفت‌وبرگشت شبکه را حذف می‌کند و تفاوتش در باز شدن صفحه محسوس است. سرویس ابری مهران هاست روی KVM با دیسک NVMe در دیتاسنتر ایران اجرا می‌شود و ساعتی حساب می‌شود؛ سرورهای خارج در دیتاسنترهای Hetzner و با پرداخت ریالی‌اند. و اگر ترجیح می‌دهید اصلاً درگیر نصب پنل نشوید، پلن‌های هاست اشتراکی روی cPanel و DirectAdmin ارائه می‌شوند و کارهای روزمره — ایمیل، دیتابیس، فایل، دامنه و درخواست SSL — از پنل فارسی انجام می‌شود.

و یک ترفند کم‌هزینه برای انتخاب: خودتان امتحانشان کنید. یک اوبونتوی تازه روی سرور ساعتی بسازید، پنل اول را نصب کنید، یک ساعت کلیک بزنید، سرور را حذف کنید و بروید سراغ بعدی. مکانیک پرداخت ساعتی در سرور ابری ساعتی چیست آمده است.

در نهایت، پنلی که پورتش عوض شده، رمز پیش‌فرضش تغییر کرده، لایه‌ی دوم ورودش فعال است و ماهی یک بار به‌روز می‌شود، سال‌ها بی‌دردسر کار می‌کند. آن که هیچ‌کدام از این چهار کار رویش انجام نشده، دیر یا زود در همان جدول بالا سهیم می‌شود.

سؤالات پرتکرار

بهترین کنترل پنل رایگان هاستینگ کدام است؟

پنل واحدی که برای همه بهترین باشد وجود ندارد و انتخاب به سناریو برمی‌گردد. برای مبتدی‌ای که وردپرس راه می‌اندازد، aaPanel روان‌ترین شروع را دارد. برای سرعت وردپرس، CyberPanel با وب‌سرور OpenLiteSpeed و کش داخلی‌اش جلوتر است. توسعه‌دهنده‌ای که PHP و Node.js و Python میزبانی می‌کند و ایمیل نمی‌خواهد، CloudPanel را ساده‌تر می‌یابد. و اگر میل‌سرور واقعی یا متن‌باز بودن کامل برایتان شرط است، HestiaCP تنها گزینه‌ی این فهرست است که زیر لایسنس GPL منتشر می‌شود و نسخه‌ی تجاری ندارد.

کنترل پنل رایگان چه تفاوتی با cPanel دارد؟

تفاوت اصلی در مدل لایسنس و جایگاه نصب است، نه در کارهای روزمره. cPanel و DirectAdmin محصول‌های تجاری‌اند که معمولاً ارائه‌دهنده‌ی هاست آن‌ها را روی سرور خودش نصب و مدیریت می‌کند، در حالی که پنل‌های رایگان را خودتان روی سرور خودتان نصب می‌کنید و مسئولیت به‌روزرسانی و امنیتشان هم با شماست. از نظر امکانات پایه — ساخت سایت، دیتابیس، ایمیل، گواهی SSL و بکاپ — فاصله‌ی معناداری بین آن‌ها نیست.

نصب کنترل پنل روی سرور چقدر طول می‌کشد و چه چیزی لازم دارد؟

نصب هر چهار پنل معمولاً بین ۵ تا ۱۵ دقیقه طول می‌کشد و به یک سرور تازه و خالی با دسترسی root نیاز دارد. توزیع پیشنهادی یکی از نسخه‌های LTS اوبونتو یا دبیان است. از نظر منابع، ارقام رسمی بین ۵۱۲ مگابایت تا ۲ گیگابایت رم متغیر است، اما برای سایتی که واقعاً بازدید دارد ۲ گیگابایت را کف بگیرید. تنها مرحله‌ای که به ترمینال نیاز دارد، اجرای همان یک دستور نصب از طریق SSH است.

چرا بعد از نصب پنل نمی‌توانم واردش شوم؟

سه علت بیشتر از بقیه دیده می‌شود. اول، پورت پنل بسته است: هر پنل روی پورت غیراستاندارد خودش گوش می‌دهد و باید هم در فایروال سرور و هم در فایروال ابری یا Security Group باز باشد. دوم، آدرس ناقص است: بعضی پنل‌ها یک مسیر امنیتی تصادفی به آدرس ورود اضافه می‌کنند و بدون آن پاسخ ۴۰۴ می‌گیرید. سوم، دامنه پشت یک پروکسی لبه است و آن پروکسی پورت‌های غیراستاندارد را عبور نمی‌دهد.

آیا کنترل پنل رایگان امن است؟

امنیت پنل بیشتر تابع نگهداری شماست تا نام پنل. هر چهار پنل بررسی‌شده در این مقاله آسیب‌پذیری بحرانی ثبت‌شده در پایگاه NVD دارند و تقریباً همه‌ی موارد بهره‌برداری‌شده مربوط به نسخه‌هایی بوده که وصله‌ی منتشرشده را نصب نکرده بودند. چهار کار ریسک را به‌شدت کم می‌کند: تغییر پورت پیش‌فرض، تعویض فوری رمز پیش‌فرض در همان لحظه‌ی نصب، فعال‌کردن ورود دومرحله‌ای و به‌روزرسانی ماهانه‌ی پنل.