Securizarea unui server VPS cu cPanel nu trebuie făcută doar după apariția unui incident. Un VPS oferă acces root și posibilitatea de a controla aproape întreaga configurație a serverului, ceea ce înseamnă mai multă flexibilitate, dar și mai multă responsabilitate.
Un server configurat necorespunzător poate fi expus atacurilor brute force, accesului neautorizat prin SSH, exploatării unor componente software neactualizate sau tentativelor automate asupra serviciilor cPanel, WHM, FTP și email.
În 2026, securizarea unui VPS cu cPanel înseamnă mai mult decât schimbarea portului SSH sau instalarea unui firewall. Actualizările, autentificarea prin chei SSH, 2FA, cPHulk și monitorizarea configurației trebuie să funcționeze împreună.
Mai jos sunt șase dintre cele mai importante măsuri pe care trebuie să le verifici pe un server VPS cu cPanel/WHM.
1. Menține cPanel, sistemul de operare și pachetele actualizate
Actualizările reprezintă una dintre primele măsuri de securitate pentru orice server.
Un VPS cu cPanel conține mai multe componente care trebuie menținute la zi:
- cPanel & WHM;
- sistemul de operare;
- kernel-ul;
- PHP;
- serviciile de email;
- baza de date;
- pachetele și bibliotecile sistemului.
Pentru configurarea actualizărilor cPanel accesează:
WHM → Server Configuration → Update Preferences
De aici poți selecta release tier-ul utilizat și modul în care sunt aplicate actualizările.
cPanel aplică în mod normal actualizările critice de securitate pentru versiunea instalată, iar această funcție este recomandat să rămână activă.
Pentru o actualizare manuală a cPanel & WHM poți accesa:
WHM → cPanel → Upgrade to Latest Version
sau poți executa prin SSH, ca root:
/usr/local/cpanel/scripts/upcp
Pentru pachetele sistemului de operare poate fi utilizată și interfața:
WHM → Software → System Update
Înaintea unui upgrade major este recomandat să verifici compatibilitatea sistemului și să ai un backup recent.
2. Folosește parole lungi, unice și protejează accesul root
Atacurile automate încearcă permanent combinații de utilizatori și parole pentru servicii precum WHM, cPanel, SSH, FTP sau email.
O parolă bună trebuie să fie în primul rând lungă și unică.
Este recomandat să:
- folosești o parolă diferită pentru fiecare serviciu important;
- eviți numele companiei, domeniul, numerele de telefon sau alte informații ușor de ghicit;
- folosești un manager de parole;
- nu trimiți parola root prin email, WhatsApp sau alte canale nesigure;
- schimbi parola imediat dacă există suspiciunea că aceasta a fost compromisă.
Nu este necesar să schimbi automat o parolă sigură la fiecare 30 sau 90 de zile doar pentru că a trecut o anumită perioadă. Schimbările periodice forțate pot determina utilizatorii să aleagă parole mai previzibile.
Mai important este ca parola să fie unică, suficient de lungă și să fie schimbată imediat atunci când există indicii că a fost compromisă.
Pentru conturile importante este recomandată și activarea autentificării în doi pași.
Poți consulta și ghidul nostru Generator Parole – Creează o parolă sigură pentru cPanel.
3. Securizează accesul SSH cu chei
SSH oferă acces direct la server și trebuie tratat ca unul dintre cele mai importante puncte de acces.
În loc să te bazezi exclusiv pe autentificarea cu utilizator și parolă, este recomandată utilizarea SSH Keys.
În WHM, cheile SSH pentru root pot fi administrate din:
WHM → Security Center → Manage root’s SSH Keys
După configurarea și testarea autentificării cu cheia SSH, autentificarea prin parolă poate fi dezactivată din:
WHM → Security Center → SSH Password Authorization Tweak
Prin dezactivarea autentificării prin parolă, serverul va solicita utilizarea unei chei SSH valide pentru conectare.
Important: nu dezactiva autentificarea cu parolă înainte să verifici că te poți conecta corect cu cheia SSH și că ai o metodă de recuperare a accesului în cazul unei probleme.
Restricționarea SSH pe bază de IP
Dacă serverul este administrat doar din locații care folosesc IP-uri fixe, accesul poate fi restricționat suplimentar pe baza adresei IP.
În cPanel & WHM modern poți utiliza:
WHM → Security Center → Host Access Control
Host Access Control permite aplicarea regulilor pentru servicii precum:
- SSH;
- WHM;
- cPanel;
- FTP;
- SMTP;
- POP3;
- IMAP.
De exemplu, dacă accesul SSH trebuie permis doar de la IP-ul administratorului, regula poate fi configurată astfel încât celelalte surse să fie respinse.
Nu folosi acest tip de restricție dacă ai un IP dinamic fără să ai și o metodă alternativă de acces. În caz contrar, îți poți bloca singur accesul la server.
Mai trebuie schimbat portul SSH?
Schimbarea portului standard SSH poate reduce o parte dintre scanările automate care verifică portul 22, dar nu trebuie considerată principala metodă de securizare.
Un atacator poate identifica și un port SSH mutat pe alt număr.
Mult mai importante sunt:
- autentificarea prin chei SSH;
- dezactivarea autentificării prin parolă atunci când este posibil;
- restricțiile pe bază de IP;
- cPHulk;
- firewall-ul.
Dacă modifici totuși portul SSH, verifică înainte ca noul port să fie permis în firewall. O configurație greșită poate bloca accesul remote la server.
Pentru conectarea la server poți consulta și ghidul Cum ne conectăm în SSH?.
4. Activează autentificarea în doi pași pentru WHM și cPanel
Two-Factor Authentication – 2FA adaugă un al doilea nivel de protecție peste parola contului.
Chiar dacă parola este compromisă prin phishing, malware sau o breșă de securitate, atacatorul mai are nevoie și de codul temporar de autentificare.
Pentru activarea 2FA la nivelul serverului accesează:
WHM → Security Center → Two-Factor Authentication
Activează politica 2FA, apoi configurează autentificarea pentru contul root.
Pentru conturile individuale cPanel, funcția poate fi configurată din:
cPanel → Security → Two-Factor Authentication
cPanel utilizează coduri TOTP generate de aplicații de autentificare compatibile.
Pentru mai multe informații poți consulta articolul nostru Securitate cPanel: de ce 2FA nu mai este opțional.
5. Activează și configurează cPHulk Brute Force Protection
cPHulk Brute Force Protection este una dintre funcțiile de securitate incluse în cPanel & WHM.
Rolul său este să detecteze tentativele repetate de autentificare și să limiteze accesul adreselor IP sau conturilor care generează un număr mare de încercări eșuate.
cPHulk protejează servicii precum:
- cPanel;
- WHM;
- SSH;
- Exim și Dovecot;
- Pure-FTPd.
Configurarea se realizează din:
WHM → Security Center → cPHulk Brute Force Protection
Este recomandat să verifici inclusiv:
- protecția pe bază de IP;
- numărul maxim de autentificări eșuate;
- durata blocărilor;
- lista de whitelist;
- lista adreselor blocate.
Dacă administrezi serverul de la un IP fix, poți adăuga acel IP în whitelist pentru a reduce riscul unei blocări accidentale.
Totuși, whitelist-ul trebuie utilizat doar pentru IP-uri de încredere.
Un avantaj important este că cPHulk nu blochează autentificarea SSH realizată prin cheie publică. Astfel, dacă o adresă este blocată pentru autentificări pe bază de parolă, accesul administrativ prin SSH Key poate rămâne disponibil.
6. Utilizează un firewall și verifică Security Advisor
Firewall-ul controlează conexiunile care pot ajunge la serviciile serverului și reprezintă un element important într-o configurație VPS.
Pe serverele cPanel este utilizat frecvent ConfigServer Security & Firewall – CSF.
Există însă o schimbare importantă față de versiunile mai vechi ale acestui articol.
Începând cu 31 august 2025, dezvoltatorii originali ConfigServer nu mai oferă mentenanță și suport pentru CSF. Pentru versiunile cPanel & WHM suportate există în prezent o versiune menținută de WebPros pentru actualizări de securitate și stabilitate.
Pe AlmaLinux, CloudLinux sau Rocky Linux cu cPanel, pachetul actual poate fi instalat folosind:
yum install cpanel-csf
După instalare, configurarea se realizează din:
WHM → Plugins → ConfigServer Security & Firewall
Verifică întotdeauna porturile permise înainte să activezi firewall-ul, în special pentru:
- SSH;
- cPanel;
- WHM;
- HTTP și HTTPS;
- DNS;
- SMTP;
- IMAP și POP3;
- serviciile suplimentare utilizate pe server.
Nu recomandăm copierea unei liste universale de valori CSF precum limite fixe pentru procese sau memorie de la un server la altul.
O valoare potrivită pentru un server cu câteva website-uri poate provoca probleme pe un server care găzduiește magazine online, importuri sau aplicații cu procese de lungă durată.
Configurația firewall-ului trebuie adaptată la serviciile și aplicațiile care rulează efectiv pe VPS.
Pentru administrarea adreselor IP poți consulta și ghidul Administrare CSF din linia de comandă.
Rulează periodic Security Advisor
Pe lângă firewall, cPanel oferă și instrumentul Security Advisor.
Îl găsești în:
WHM → Security Center → Security Advisor
La accesare, cPanel analizează configurația serverului și afișează recomandări pentru problemele de securitate identificate.
Security Advisor nu înlocuiește administrarea serverului, dar reprezintă un punct bun de pornire pentru identificarea unor setări care au rămas neconfigurate sau care necesită atenție.
Nu uita de backup
Backup-ul nu previne un atac, dar este una dintre cele mai importante măsuri pentru recuperarea după un incident.
Un VPS poate fi securizat corect și totuși să apară probleme din cauza unei vulnerabilități noi, unei erori umane sau compromiterii unei aplicații găzduite pe server.
De aceea, serverul trebuie să aibă copii de siguranță periodice pentru:
- website-uri;
- baze de date;
- conturi cPanel;
- emailuri;
- configurațiile importante.
Este recomandat ca cel puțin o copie să fie păstrată separat de serverul principal. Un backup aflat exclusiv pe același VPS nu oferă protecție suficientă în cazul pierderii sau compromiterii complete a serverului.
Securitatea aplicațiilor rămâne la fel de importantă
Securizarea VPS-ului nu rezolvă automat vulnerabilitățile website-urilor găzduite pe acesta.
Dacă un WordPress, WooCommerce sau alt CMS rulează versiuni vechi și pluginuri vulnerabile, aplicația poate fi compromisă chiar dacă firewall-ul și SSH-ul sunt configurate corect.
Menține actualizate:
- CMS-ul;
- pluginurile;
- temele;
- framework-urile;
- versiunile PHP;
- aplicațiile instalate manual.
Serverul și aplicația trebuie securizate separat, deoarece protejează niveluri diferite ale infrastructurii.
Checklist pentru securizarea unui VPS cu cPanel
După configurarea serverului, verifică cel puțin următoarele:
- cPanel & WHM sunt actualizate;
- actualizările critice de securitate sunt active;
- sistemul de operare și pachetele sunt actualizate;
- parola root este lungă și unică;
- SSH Keys sunt configurate;
- autentificarea SSH prin parolă este dezactivată dacă infrastructura permite;
- 2FA este activ pentru WHM și conturile importante cPanel;
- cPHulk este activ;
- IP-urile administrative de încredere sunt configurate corect;
- firewall-ul este activ și permite doar porturile necesare;
- Security Advisor nu raportează probleme importante;
- există backup-uri recente și separate de serverul principal;
- website-urile și aplicațiile găzduite sunt actualizate.
Securizarea unui VPS trebuie făcută pe mai multe niveluri
Nu există o singură setare care să securizeze complet un server.
O configurație bună combină actualizările automate, parolele și cheile SSH, autentificarea 2FA, protecția brute force, firewall-ul și monitorizarea periodică.
Schimbarea portului SSH sau instalarea unui firewall pot fi utile, dar nu înlocuiesc autentificarea sigură și actualizarea serviciilor.
Dacă utilizezi un server VPS NameBox cu cPanel, ai acces root/SSH și posibilitatea de a configura serverul în funcție de cerințele proiectului. Pentru serverele VPS cu cPanel, echipa tehnică NameBox poate oferi suport pentru configurarea și administrarea serviciilor disponibile.
O securizare corectă realizată de la început este mult mai simplă decât recuperarea unui server după compromiterea contului root, infectarea website-urilor sau utilizarea serverului pentru activități malițioase.