Sei pannelli, un sito

Hai un sito. Uno. Il tuo blog, il sito dello studio, il gestionale di un cliente. Sta su un VPS da cinque euro al mese e funziona. La domanda che arriva prima o poi è: ci metto un pannello di controllo, o continuo a fare tutto da terminale?

La risposta onesta è che per un sito solo un pannello non è obbligatorio. nginx, PHP-FPM, MariaDB e certbot si installano in venti minuti e certbot rinnova i certificati da solo. Se sai fare quelle quattro cose, il pannello ti serve solo per comodità — e ti aggiunge una porta aperta su internet che prima non c'era. Tienilo a mente, perché torna alla fine.

Se invece vuoi un pannello — perché il sito lo tocca anche qualcun altro, perché vuoi vedere i backup senza aprire una shell, perché fra sei mesi non ricorderai come si fa — la scelta vera si riduce a sei nomi.

Le candidate

CloudPanel è gratuito e non chiede niente in cambio. Gira su Debian 11 e 12 e su Ubuntu 22.04 e 24.04, monta nginx, PHP-FPM, Redis e Node.js, ed è pensato con un'ossessione dichiarata per la semplicità. Non fa la posta, e non per dimenticanza: alla richiesta di aggiungere Postfix e Dovecot i manutentori hanno risposto "nessuna email in programma, ci sono molte buone ragioni per non farlo". Punti l'MX a un servizio esterno e via.

HestiaCP è l'opposto: gratuito, GPLv3, e ti installa tutto. Debian 12 e 13, Ubuntu 22.04, 24.04 e 26.04; nginx davanti ad Apache, Exim e Dovecot per la posta, BIND per il DNS, MariaDB, vsftpd, fail2ban, ClamAV e SpamAssassin. Gli bastano 1 GB di RAM e 10 GB di disco (senza antivirus e antispam). È il figlio di VestaCP, ha una comunità viva e non è di nessuna azienda.

Koapanel ha un piano gratuito fino a tre siti con tutte le funzioni — posta compresa — su Ubuntu 24.04. Il pannello occupa 14 MB di RAM misurati, si aggiorna da solo con binari firmati e torna indietro da solo se l'aggiornamento non risponde. Ma il piano gratuito è per uso personale: se il sito è di lavoro o di un cliente servono 7,90 € al mese. Ed è un prodotto appena uscito, senza anni di produzione alle spalle. Ne abbiamo scritto qui.

Plesk Web Admin costa 14,29 € al mese per dieci domini. Per un sito solo è caro, ma è l'unico della lista che gira anche su Windows, su sette distribuzioni Linux, con Apache e le regole .htaccess che il tuo vecchio hosting condiviso ti ha lasciato in eredità. Gli bastano 1 GB di RAM più 1 GB di swap.

cPanel Solo costa 29,99 $ al mese — circa 26 € — per un solo account. È il pannello che tutti conoscono, quello che il tuo sistemista sa usare a occhi chiusi. Chiede 2 GB di RAM (4 consigliati) e 20 GB di disco. Su tre anni sono quasi 940 €: per un sito.

CyberPanel e aaPanel sono gratuiti, diffusi e li trovi in cima a metà delle classifiche in rete. Ne parliamo più sotto.

In una tabella

	Costo per 1 sito	Posta sul server	Sistema operativo	Web server
CloudPanel	0 €	no, per scelta	Debian 11-12, Ubuntu 22.04-24.04	nginx
HestiaCP	0 €	sì (Exim + Dovecot)	Debian 12-13, Ubuntu 22.04-26.04	nginx + Apache
Koapanel	0 € personale / 7,90 € lavoro	sì, facoltativa	Ubuntu 24.04	nginx
Plesk Web Admin	14,29 €	sì	7 distribuzioni + Windows	Apache + nginx
cPanel Solo	29,99 $ (~26 €)	sì	AlmaLinux, Ubuntu 24.04, altri	Apache
Nessun pannello	0 €	quello che installi tu	quello che vuoi	quello che vuoi

Il conto che nessuno fa: la superficie d'attacco

Un pannello di controllo è un programma che gira come root, crea utenti di sistema e ascolta su una porta pubblica. È il bersaglio più goloso che puoi mettere su un server.

Non è un discorso teorico. A fine ottobre 2024 CyberPanel ha avuto una falla di gravità massima — CVSS 10.0, CVE-2024-51378 — che permetteva di saltare l'autenticazione ed eseguire comandi da remoto. Censys contò circa 61.000 portali esposti; nel giro di giorni almeno tre famiglie di ransomware (PSAUX, C3RB3R e una variante di Babuk) si misero a cifrare i server di chi non aveva aggiornato, decine di migliaia di macchine. Chi aveva un sito solo, e nessuno che guardava gli aggiornamenti, se l'è trovato cifrato la mattina dopo.

La lezione non è "CyberPanel fa schifo" — la falla è stata chiusa, e qualunque software può averne una. La lezione è che per chi ha un sito solo conta più di tutto una cosa: che il pannello si aggiorni da solo, e che tu te ne accorga se non ci riesce. È l'unica voce della tabella che ti può costare il sito.

Su questo: CloudPanel e HestiaCP si aggiornano con i pacchetti del sistema (e Ubuntu può installare da sola i soli aggiornamenti di sicurezza); Plesk e cPanel hanno un aggiornatore proprio, collaudato da anni; Koapanel scarica aggiornamenti firmati, li verifica e li annulla da solo se il pannello non risponde entro un minuto — sulla carta è il meccanismo più curato del gruppo, ma è anche quello con meno chilometri addosso.

E allora quale

Se il sito è tuo e personale e non ti serve la posta sul server: CloudPanel. È gratis, è leggero, fa una cosa sola e la fa bene, e non ti chiede niente in cambio nemmeno fra tre anni.

Se ti serve anche la posta: HestiaCP. Gratis, completo, di nessuno, e ti bastano il VPS da 1 GB e dieci minuti. È la scelta noiosa, ed è un complimento.

Se il sito è di lavoro e vuoi la posta e le comodità in un piano gratuito, Koapanel è l'offerta più ricca sulla carta — tutte le funzioni, antimalware, copia di prova di WordPress, 14 MB di RAM — ma il gratuito vale solo per uso personale e il prodotto è giovanissimo. Su un sito che paga le bollette, oggi, è una scommessa; su un progetto tuo, è la cosa più interessante in circolazione. Riparliamone fra sei mesi, quando avrà macinato qualche mese di produzione.

Se arrivi da un hosting condiviso con Apache, .htaccess e un sistemista che conosce cPanel, paga: Plesk Web Admin a 14,29 € ti evita una settimana di conversioni. cPanel Solo a 29,99 $ per un sito solo ha senso in un caso e uno solo: che il tuo lavoro dipenda da qualcuno che sa usare solo quello.

E se sei arrivato fin qui pensando "ma io so fare tutto da riga di comando": allora non installare niente. Venti minuti di nginx e certbot, gli aggiornamenti di sicurezza automatici di Ubuntu, e hai una porta aperta in meno.