جدید!
سرور ابری ساعتی فعال شد. ۱۰۰ هزار تومان اعتبار هدیه بگیرید
به اشتراک بگذارید
جدید!
سرور ابری ساعتی فعال شد. ۱۰۰ هزار تومان اعتبار هدیه بگیرید
انتخاب کنترل پنل رایگان سرور در عمل یک تصمیم درباره متن لایسنس است، نه درباره ظاهر داشبورد. پنل HestiaCP تحت GPLv3 منتشر می‌شود و مخزن CyberPanel لایسنس GPL-3.0 را نشان می‌دهد. اما aaPanel یک توافق‌نامه اختصاصی دارد که انتشار عمومی کد تغییریافته را ممنوع می‌کند. هر سه را روی سه معیار می‌سنجیم: لایسنس، سیستم‌عامل و منابع، و سابقه امنیتی.
| معیار | HestiaCP | aaPanel | CyberPanel |
|---|---|---|---|
| لایسنس هسته (به روایت خود پروژه) | GPLv3 | توافق‌نامه اختصاصی aaPanel | GPL-3.0 |
| بخش پولی اعلام‌شده در صفحه رسمی | در مستندات رسمی اعلام نشده | نسخه aaPanel Pro | نسخه Ent با LiteSpeed Enterprise |
| حداقل رم اعلام‌شده | حداقل 1 GB (بدون SpamAssassin و ClamAV) | حداقل 512MB و توصیه 1G | حداقل 1024MB یا بیشتر |
| پورت پنل در مستند رسمی | 8083 | از فایل port.pl خوانده می‌شود | 8090 |
💡 رایگان بودن پنل، سه معنای جدا دارد
پنل مدیریت سرور یک نرم‌افزار تحت وب است که سرویس‌های روی سرور را از یک داشبورد مدیریت می‌کند.
✅ «رایگان» می‌تواند یعنی لایسنس آزاد، یا هسته بدون هزینه با افزونه پولی، یا سطح پایه با سقف دامنه.
✅ پنل را پیش از مهاجرت روی یک سرور مجازی ایران امتحان کنید؛ اسنپ‌شات مسیر برگشت را باز می‌گذارد.
سه تصمیم در این مقاله از هم جدا نگه داشته شده‌اند: چه چیزی واقعاً بدون هزینه است، پنل روی سیستم‌عامل فعلی شما نصب می‌شود یا نه، و پورت مدیریتی را چطور از دسترس اینترنت بیرون می‌آورید. هر عددی که می‌بینید از مستند رسمی همان پروژه آمده و جای خالی مستند با عدد حدسی پر نشده است.
📌 آنچه در این مقاله می‌خوانید
◀️ مرز رایگان بودن و متن لایسنس سه پنل
◀️ سیستم‌عامل‌های پشتیبانی‌شده و منابع لازم
◀️ امنیت پنل تحت وب و بستن پورت مدیریتی
◀️ انتخاب بر اساس نوع پروژه و فاصله با سی‌پنل
کنترل پنل رایگان سرور چه چیزی را رایگان می‌کند؟
واژه «رایگان» در این سه پروژه سه چیز متفاوت است. HestiaCP کل پنل را تحت GPLv3 می‌دهد، CyberPanel هسته را با GPL-3.0 منتشر می‌کند اما وب‌سرور تجاری‌اش سقف دامنه دارد، و aaPanel هسته را بدون هزینه می‌دهد ولی لایسنسش استاندارد نیست.
پنل HestiaCP؛ تنها لایسنس استاندارد و بی‌قید این فهرست
صفحه Getting Started در مستندات رسمی HestiaCP صریح می‌گوید پروژه «Released under the GPLv3 License» است؛ یعنی کد را می‌توانید بخوانید، تغییر دهید و نسخه تغییریافته را هم منتشر کنید. در همین مستند هیچ افزونه پولی یا سطح پرداختی معرفی نشده است.
معرفی aaPanel؛ هسته بدون هزینه با یک توافق‌نامه غیراستاندارد
فایل license.txt در مخزن رسمی aaPanel عنوان «AAPANEL Open Source License Agreement» دارد، اما لایسنس استانداردی مثل GPL یا MIT نیست. سه بند آن برای تیم‌های فنی مهم است: کاربر شخصی می‌تواند کد را با حفظ کپی‌رایت تغییر دهد، اما «is not allowed to be publicly released». هنگام انتشار هم «the user shall not make any changes to the aapanel source code». بند سوم می‌گوید «It is forbidden to undermine the commercial authorization mechanism of aapanel in any way».
⚠️ قبل از انتخاب aaPanel، این بند را به تیم حقوقی یا مدیر محصول نشان دهید
اگر قرار است پنل را برای مشتریان خود شخصی‌سازی و توزیع کنید، بند «ممنوعیت انتشار عمومی کد تغییریافته» مستقیماً با کار شما برخورد می‌کند و aaPanel را از نظر حقوقی در دسته‌ای جدا از HestiaCP و CyberPanel می‌گذارد. متن کامل در فایل license.txt مخزن رسمی است.
در سمت تجاری هم صفحه رسمی دانلود aaPanel خود پنل را «free, Powerful and easy-to-use» معرفی می‌کند و در کنارش aaPanel-Pro را «the paid version of aaPanel» می‌فروشد.
پنل CyberPanel؛ لایسنس آزاد هسته و یک سقف در وب‌سرور
مخزن رسمی CyberPanel در گیت‌هاب لایسنس خود را «GPL-3.0 license» نشان می‌دهد. مرز پولی اینجا در وب‌سرور است، نه در خود پنل: مستند رسمی نصب می‌گوید نسخه‌ای که روی OpenLiteSpeed اجرا می‌شود «completely free for an unlimited number of domains» است. نسخه‌ای که LiteSpeed Enterprise را به کار می‌گیرد «is free for one domain» و بیشتر از آن پلن پولی می‌خواهد.
سازگاری سیستم‌عامل و منابع لازم؛ سه پنل در یک جدول
اینجا مهم‌ترین فیلتر عملی یک کنترل پنل رایگان سرور ظاهر می‌شود: فهرست سیستم‌عامل‌ها. HestiaCP فقط نسخه‌های LTS دبیان و اوبونتو را می‌پذیرد، CyberPanel روی اوبونتو و خانواده RHEL می‌نشیند و aaPanel گسترده‌ترین فهرست را دارد.
فهرست سیستم‌عامل‌ها به روایت مستند هر پروژه
| پنل | سیستم‌عامل‌های اعلام‌شده در مستند رسمی | محدودیت صریح مستند |
|---|---|---|
| HestiaCP | نسخه‌های Debian 12 و 13؛ Ubuntu 22.04، 24.04 و 26.04 | «Hestia does not support non-LTS Operating systems» |
| aaPanel | در پرسش‌های متداول: CentOS 7.x؛ Debian 10 تا 12؛ Ubuntu 18.04، 20.04 و 22.04؛ CloudLinux 7.x و 8.x؛ AlmaLinux 8.x و 9.x؛ Rocky Linux 8.x | جدول Software Stack همان صفحه بازه بازتری می‌دهد و دو فهرست آشتی داده نشده‌اند |
| CyberPanel | نسخه‌های Ubuntu 18.04، 20.04 و 22.04؛ AlmaLinux 8 و 9؛ CloudLinux 8 | نصب فقط روی «fresh installation» پذیرفته می‌شود |
این جدول چند تصمیم را از دوش شما برمی‌دارد. روی AlmaLinux، HestiaCP از فهرست بیرون می‌رود. روی Debian 13 فقط HestiaCP آن را صریح نام برده است. برای اوبونتو 24.04 دو پاسخ دارید: HestiaCP آن را در فهرست رسمی آورده و جدول Software Stack صفحه aaPanel هم بازه «Ubuntu 18.04 – 26.04» را می‌پوشاند، در حالی که فهرست پرسش‌های متداول همان صفحه تا 22.04 بیشتر نمی‌رود.
🔸 یک ناسازگاری واقعی در مستندات aaPanel
صفحه رسمی دانلود aaPanel دو فهرست سیستم‌عامل متفاوت دارد: بخش پرسش‌های متداول فهرست کوتاه‌تری می‌دهد و جدول Software Stack بازه وسیع‌تری؛ صفحه این دو را هم‌خوان نمی‌کند و در کنارش توصیه می‌کند «It is recommended that you use Ubuntu22.04 to install aaPanel».
در این فهرست‌ها CentOS 7 و Ubuntu 18.04 هم آمده‌اند که هر دو به پایان پشتیبانی رسیده‌اند؛ پس فهرست‌شدن یک سیستم‌عامل در مستند پنل، به‌تنهایی دلیل انتخاب آن نیست.
منابع سخت‌افزاری؛ عددهایی که خود پروژه اعلام کرده
| پنل | حداقل رم اعلام‌شده | حداقل دیسک اعلام‌شده | حداقل CPU اعلام‌شده |
|---|---|---|---|
| HestiaCP | حداقل 1 GB (در حالت بدون SpamAssassin و ClamAV) | 10 GB | یک هسته ۶۴ بیتی |
| aaPanel | حداقل 512MB و توصیه 1G | در صفحه دانلود اعلام نشده | یک هسته |
| CyberPanel | حداقل 1024MB یا بیشتر | 10GB | در مستند نصب اعلام نشده |
این عددها «حداقل برای نصب» هستند، نه حداقل برای میزبانی یک سایت واقعی؛ مستند HestiaCP خودش عدد 1 GB را مشروط به غیرفعال بودن SpamAssassin و ClamAV اعلام می‌کند. جای خالی جدول هم به معنای صفر نیست: پروژه عددی نگفته است.
⚠️ نصب روی سرور در حال کار، مسیر برگشت ندارد
مستند نصب CyberPanel نصب را فقط روی سیستم تازه‌نصب (fresh installation) می‌پذیرد. هر سه پنل سرویس‌های سیستمی را خودشان مدیریت می‌کنند؛ اگر روی سروری که nginx یا MySQL دستی دارد نصب کنید، پیکربندی قبلی بازنویسی می‌شود. اول اسنپ‌شات بگیرید.
امنیت پنل تحت وب و بستن پورت مدیریتی
هر کنترل پنل رایگان سرور یک برنامه تحت وب با دسترسی root است؛ پس آسیب‌پذیری در آن یعنی تصاحب کل سرور. هر سه پروژه سابقه آسیب‌پذیری حساس دارند و این موضوع مخصوص پنل‌های رایگان هم نیست. درست‌ترین واکنش، بستن پورت پنل روی اینترنت عمومی و به‌روزرسانی سریع است.
سابقه آسیب‌پذیری سه پنل، از پایگاه‌های رسمی CVE
در CyberPanel دو رکورد بحرانی در یک موج ثبت شده است. CVE-2024-51378 در پایگاه NVD یک تزریق فرمان در نقطه‌های /dns/getresetstatus و /ftp/getresetstatus است که «allows remote attackers to bypass authentication and execute arbitrary commands»؛ امتیاز NIST برای آن CVSS 9.8 و امتیاز MITRE، CVSS 10.0 است. نسخه‌های تا 2.3.6 و نسخه وصله‌نشده 2.3.7 تحت تأثیرند و بهره‌برداری واقعی «in October 2024 by PSAUX» ثبت شده است.
رکورد دوم، CVE-2024-51567 در همان پایگاه NVD، تزریق فرمان در مسیر upgrademysqlstatus است با امتیاز CVSS 10.0 از سوی MITRE و 9.8 از سوی NIST، و در فهرست آسیب‌پذیری‌های مورد بهره‌برداری شناخته‌شده سازمان CISA هم ثبت شده است. هر دو رکورد وصله شده‌اند: داده CPE پایگاه NVD نسخه‌های «up to (excluding) 2.3.8» را آسیب‌پذیر می‌داند و بازه CISA-ADP برای رکورد اول تا پیش از 2.3.9 را می‌پوشاند. پس حداقل کار درست، رفتن به شاخه‌ای بالاتر از 2.3.9 است.
پنل هستیا هم رکورد خودش را دارد: شناسه CVE-2025-30007 یک تزریق فرمان احراز‌هویت‌شده در نسخه‌های پیش از 1.9.5 را توصیف می‌کند که اجرای فرمان با سطح root می‌دهد؛ نسخه وصله همان 1.9.5 است. برای aaPanel شناسه CVE-2024-42922 یک تزریق فرمان در نسخه 7.0.7 را ثبت کرده و در همان رکورد هیچ نسخه وصله‌شده‌ای نیامده است؛ یعنی وضعیت وصله aaPanel را باید از مخزن رسمی پیگیری کنید.
بستن پورت پنل؛ کاری که مستند هر پروژه اجازه می‌دهد
اول ببینید پنل روی چه پورتی گوش می‌دهد. مستند رسمی HestiaCP پورت پنل را 8083 اعلام می‌کند و صفحه Installing CyberPanel در بخش docs سایت رسمی، نشانی ورود را روی 8090 می‌دهد. در aaPanel پورت فعلی در فایل /www/server/panel/data/port.pl است و صفحه رسمی دانلود همین فایل را برای خواندن و تغییر پورت معرفی می‌کند.
# پورت‌های مدیریتی رایج: 8083 هستیا، 8090 کایبرپنل، 7080 کنسول WebAdmin آن، 7800 و 8888 پیش‌فرض‌های aaPanel
ss -lntp | grep -E ':(8083|8090|7080|7800|8888)'
# aaPanel: پورت فعلی پنل
cat /www/server/panel/data/port.plبعد پورت را از دسترس عمومی بیرون بیاورید. در CyberPanel مستند رسمی فایروال می‌گوید «CyberPanel follows deny all rules except for the ports opened by default» و پورت‌های باز پیش‌فرض را در مسیر Server > Security > Firewall نشان می‌دهد. در aaPanel چنین قاعده پیش‌فرضی مستند نشده؛ پس محدودسازی را باید با فایروال سیستم‌عامل یا فایروال شبکه انجام دهید.
در HestiaCP قواعد فایروال باید از خود پنل ساخته شوند. مستند رسمی هشدار می‌دهد که «after every edit or update the firewall, Hestia will clear the current iptables unless the rules are added via Hestia and custom script». در همان صفحه، قاعده با چهار جزء ساخته می‌شود (اقدام، پروتکل، پورت و IP یا IPSet) و یک توضیح اختیاری.
- پورت پنل را پیدا کنید؛ در HestiaCP و CyberPanel عدد در مستند آمده و در aaPanel از فایل port.pl خوانده می‌شود.
- اول قاعده ACCEPT برای IP خودتان را بسازید و بعد قاعده رد عمومی؛ ترتیب ردیف‌ها اعمال می‌شود و اگر رد عمومی بالاتر بنشیند، خودتان را از پنل بیرون می‌اندازید.
- قاعده را از خود پنل ذخیره کنید تا با به‌روزرسانی پاک نشود، و پیش از بستن نشست فعلی ورود از یک مرورگر دیگر را امتحان کنید.
- ورود دو مرحله‌ای حساب مدیر را روشن کنید؛ مستند Best Practices پروژه HestiaCP آن را «greatly recommended» می‌داند.
- نسخه پنل را به‌روز نگه دارید و پیش از ارتقا اسنپ‌شات بگیرید.
🔸 اگر IP ثابت ندارید
جایگزین امن، باز گذاشتن پورت برای همه نیست. پورت پنل را برای همه ببندید و هر بار از کنسول VNC یا نشست SSH سرور، IP فعلی خودتان را به قاعده ACCEPT اضافه کنید؛ یا برای چند نفر با IP متغیر یک IPSet به‌عنوان فهرست سفید بسازید که مستند HestiaCP آن را «large lists of IP addresses or subnets» می‌خواند و حداقل ۱۰ آدرس می‌پذیرد.
انتخاب پنل بر اساس نوع پروژه و فاصله با سی‌پنل
تصمیم نهایی به نوع پروژه بستگی دارد، نه به امکانات روی کاغذ. یک کنترل پنل رایگان سرور برای یک تیم توسعه با چند سایت وردپرسی انتخاب کاملاً منطقی است، اما برای فروش هاست اشتراکی به مشتری نهایی، فاصله آن با سی‌پنل و دایرکت‌ادمین جدی است و باید آگاهانه پذیرفته شود.
جدول تصمیم؛ کدام پنل برای کدام پروژه
| نوع پروژه | پنل پیشنهادی بر اساس داده این مقاله | دلیل اصلی همین انتخاب |
|---|---|---|
| چند سایت وردپرسی روی سرور دبیان یا اوبونتو LTS | پنل HestiaCP | لایسنس GPLv3 بدون قید؛ به شرط پذیرش فهرست کوتاه سیستم‌عامل |
| سرور AlmaLinux یا CloudLinux با نیاز به ایمیل و DNS | دو گزینه CyberPanel و aaPanel | هر دو AlmaLinux 8 و 9 را نام برده‌اند؛ HestiaCP اینجا گزینه نیست |
| نیاز به طیف وسیع پشته نرم‌افزاری | پنل aaPanel | کمترین حداقل رم اعلام‌شده و بازه سیستم‌عامل وسیع‌تر |
| بازتوزیع پنل تغییریافته به مشتریان | پنل HestiaCP یا هسته CyberPanel | توافق‌نامه aaPanel انتشار کد تغییریافته را ممنوع کرده |
| نیاز به LiteSpeed Enterprise برای چند دامنه | هیچ‌کدام در حالت رایگان | نسخه Ent فقط برای یک دامنه؛ برای اکثر بارها OpenLiteSpeed کافی است |
چه چیزی را نسبت به سی‌پنل و دایرکت‌ادمین از دست می‌دهید
اولین فاصله، ابزار مهاجرت است و اینجا تصویر یکدست نیست: دانش‌نامه رسمی CyberPanel صفحه‌ای با عنوان «Auto import cPanel sites to CyberPanel» دارد، اما در فهرست مستندات HestiaCP چنین صفحه‌ای برای ایمپورت بکاپ سی‌پنل نیست. دومین فاصله، مدیریت حرفه‌ای چند مشتری است؛ اگر هر مشتری باید حساب جدا با سهمیه و سطح دسترسی بگیرد، امکانات را ردیف‌به‌ردیف با سی‌پنل یا دایرکت‌ادمین فعلی‌تان بسنجید.
اگر گزینه‌های تجاری را هم می‌سنجید، مقایسه این دو را در مقاله سی‌پنل یا دایرکت‌ادمین بخوانید و مسیر نصب نسخه تجاری را در آموزش نصب سی‌پنل روی سرور مجازی ببینید.
🔶 دو نکته درباره بستر اجرا
هر سه پنل روی لینوکس نصب می‌شوند. سرور مجازی وب‌داده با توزیع‌های لینوکس، ویندوز سرور و MikroTik CHR ارائه می‌شود و نصب ISO دلخواه هم ممکن است.
اگر در حال خروج از هاست اشتراکی هستید، انتقال سایت از cPanel، DirectAdmin و Plesk در وب‌داده رایگان انجام می‌شود.
پرسش‌هایی که پیش از نصب بیشتر از همه پرسیده می‌شوند
آیا این پنل‌ها واقعاً بدون هزینه هستند؟
هسته هر سه بدون هزینه نصب می‌شود، اما مرز پولی هرکدام جای دیگری است: aaPanel نسخه Pro را جدا می‌فروشد، CyberPanel در حالت LiteSpeed Enterprise فقط یک دامنه را بدون هزینه می‌پذیرد، و HestiaCP در مستندات رسمی خود سطح پرداختی اعلام نکرده است.
کدام‌یک برای AlmaLinux مناسب است؟
مستند نصب CyberPanel و فهرست پرسش‌های متداول صفحه رسمی aaPanel، هر دو AlmaLinux 8 و 9 را نام برده‌اند. مستند HestiaCP صریح می‌گوید فقط نسخه‌های LTS دبیان و اوبونتو پشتیبانی می‌شوند.
نصب روی سروری که همین حالا سایت فعال دارد چه ریسکی دارد؟
مستند نصب CyberPanel نصب را فقط روی سیستم تازه‌نصب می‌پذیرد. هر سه پنل وب‌سرور، دیتابیس و سرویس ایمیل را خودشان پیکربندی می‌کنند، پس تنظیمات دستی قبلی بازنویسی می‌شود.
پورت ورود هر پنل چند است؟
مستند رسمی HestiaCP پورت 8083 را اعلام می‌کند و مستند نصب CyberPanel نشانی ورود را روی 8090 می‌دهد. در aaPanel پورت ثابتی در صفحه رسمی نیامده و مقدار فعلی از فایل /www/server/panel/data/port.pl خوانده می‌شود.
آیا باید پورت پنل را روی اینترنت باز بگذارم؟
نه. پنل یک برنامه تحت وب با دسترسی بالا است و هر سه پروژه سابقه آسیب‌پذیری تزریق فرمان دارند. فایروال CyberPanel پیش‌فرض همه را رد می‌کند و HestiaCP قاعده بر اساس IP و IPSet می‌پذیرد؛ از همین امکان برای محدود کردن پورت پنل استفاده کنید.
با ۵۱۲ مگابایت رم می‌شود پنل نصب کرد؟
صفحه رسمی aaPanel حداقل را 512MB و مقدار توصیه‌شده را 1G اعلام می‌کند. HestiaCP عدد 1 GB را مشروط به غیرفعال بودن SpamAssassin و ClamAV می‌دهد و CyberPanel 1024MB یا بیشتر می‌خواهد.
پنل رایگان برای فروش هاست اشتراکی به مشتری مناسب است؟
از نظر فنی ممکن است، اما دو فاصله جدی با گزینه‌های تجاری دارید: ابزار مهاجرت و مدیریت حرفه‌ای چند مشتری. اگر مشتری نهایی دارید، این دو را پیش از قیمت‌گذاری بسنجید.
جایگزین‌های دیگری هم هستند؟
بله. Webmin و Virtualmin، ISPConfig، CloudPanel و Froxlor هم در همین دسته‌اند؛ مثلاً CloudPanel سبک است و سرویس ایمیل ندارد. قاعده انتخاب همان است: اول لایسنس، بعد فهرست سیستم‌عامل، بعد سابقه امنیتی.
چطور مطمئن شوم نسخه نصب‌شده وصله شده است؟
نسخه را از داشبورد یا خط فرمان بخوانید و با مخزن رسمی همان پروژه مقایسه کنید. برای CyberPanel داده NVD نسخه‌های پیش از 2.3.8 را آسیب‌پذیر می‌داند و بازه CISA-ADP تا پیش از 2.3.9 را، برای HestiaCP نسخه‌های پیش از 1.9.5 را، و برای aaPanel نسخه وصله‌ای ثبت نشده است.
جمع‌بندی؛ انتخاب درست بین سه پنل انتخاب کنترل پنل رایگان سرور با سه پرسش بسته می‌شود و هر سه پرسش پاسخ مستند دارد. پرسش اول لایسنس است: HestiaCP با GPLv3 و هسته CyberPanel با GPL-3.0 آزادند، در حالی که توافق‌نامه aaPanel انتشار عمومی کد تغییریافته را ممنوع کرده و نسخه Pro را جدا می‌فروشد. پرسش دوم سیستم‌عامل است: HestiaCP فقط نسخه‌های LTS دبیان و اوبونتو را می‌پذیرد، و CyberPanel و aaPanel هر دو AlmaLinux را در مستند خود نام برده‌اند. پرسش سوم امنیت است: هر سه پروژه سابقه تزریق فرمان دارند و دو رکورد CyberPanel با امتیاز CVSS 10.0 در فهرست CISA ثبت شده است، پس نسخه وصله اهمیت دارد؛ برای CyberPanel شاخه بالاتر از 2.3.9 و برای HestiaCP نسخه 1.9.5 یا بالاتر، و برای aaPanel وضعیت وصله را باید از مخزن رسمی پیگیری کنید. اگر پاسخ‌ها به یک پنل رسید، همان را روی یک سرور تازه نصب کنید، پیش و پس از نصب اسنپ‌شات بگیرید و بازگردانی بکاپ را یک بار واقعاً امتحان کنید. اگر به دو پنل رسید، معیار لایسنس را مقدم بدارید؛ تغییر سیستم‌عامل آسان‌تر از تغییر چارچوب حقوقی یک پروژه است.
🚀 پنل انتخابی را روی یک سرور تازه امتحان کنید
برای نصب و تست این پنل‌ها به یک سرور لینوکسی با دسترسی root، اسنپ‌شات و امکان نصب مجدد سیستم‌عامل نیاز دارید. پلن‌های سرور مجازی ایران وب‌داده در دیتاسنتر تهران و روی شبکه رسپینا میزبانی می‌شوند و تحویل بعد از پرداخت خودکار است.
اگر سوالی داشتید، در بخش نظرات با ما در ارتباط باشید.
منابع
