Les nouveautés de Nimbopanel (octobre 2026) — Blog

De quoi s'agit-il

Voici la liste de ce qui a changé depuis les dernières notes, écrite comme nous aimerions la lire : ce que fait la fonction, où elle se trouve, et ce que nous avons prouvé ou non. Tout ce qui suit figure dans la version publique actuelle. Lorsqu'une fonction est désactivée tant que vous ne l'activez pas, nous le disons.

Un pare-feu qui ne peut pas vous enfermer dehors

Système → Sécurité → Pare-feu permet à l'administrateur du serveur d'ouvrir et de fermer des ports et de bloquer des adresses sur ufw ou firewalld, sans session SSH. Chaque changement s'annule de lui-même au bout de trois minutes si vous n'appuyez pas sur Conserver les changements, et l'annulation survit à un redémarrage du panneau ou du serveur. SSH et les ports web ne peuvent pas être fermés, les ports privés comme Redis ne peuvent pas être ouverts, et vous ne pouvez pas bloquer votre propre adresse.

Sur la même carte, Host Access limite SSH, le FTP, les connexions de messagerie et la base de données à une liste d'au plus 15 adresses. Les sites web et le courrier entrant ne sont jamais limités. Relancer l'installateur ne rouvre plus un port que vous aviez limité. Les versions ufw et firewalld ont toutes deux été exécutées sur de vrais serveurs. Lisez le détail dans Pare-feu du serveur et Host Access.

Un assistant IA qui demande avant d'agir

Le panneau peut avoir un assistant : demandez dans votre propre langue pourquoi le courrier n'arrive pas ou combien d'espace disque il reste, et il répond à partir de ce que la personne qui pose la question a le droit de voir. Il est désactivé tant que le propriétaire du serveur ne l'active avec sa propre clé. Vous choisissez parmi dix fournisseurs nommés (Anthropic, OpenAI, Google Gemini, Mistral, Groq, DeepSeek, xAI, OpenRouter, Together AI, et Ollama sur le serveur lui-même) ou vous saisissez n'importe quelle adresse compatible OpenAI ou compatible Anthropic.

Il ne peut rien modifier par lui-même. Pour quelques changements, comme un enregistrement DNS ou la suspension d'un compte, il prépare une carte rédigée par le panneau, et rien ne s'exécute tant qu'une personne n'a pas appuyé sur Approuver et confirmé. Une proposition expire au bout de 30 minutes.

Chacun peut aussi connecter son propre outil d'IA, comme Claude Code, via une adresse MCP du panneau. Cette adresse répond 404 tant que l'opérateur ne l'autorise pas. Un jeton peut être limité à certains de dix domaines et réglé en lecture seule, et toute suppression ou suspension devient une demande que le propriétaire du jeton approuve.

La partie honnête : nous avons testé l'assistant avec un fournisseur de substitution, pas contre le service réel de chaque éditeur. Voir Assistant IA.

Des outils pour les revendeurs et pour vos propres systèmes

Douze droits de revendeur. Accordez à un revendeur exactement les droits que vous choisissez — créer, suspendre ou supprimer des comptes, se connecter en tant que client, DNS, sauvegardes, forfaits, facturation, assistance, image de marque — ou partez d'un préréglage comme Support desk. Les mêmes règles s'appliquent dans le panneau et aux jetons d'API. Les revendeurs que vous aviez configurés auparavant gardent les quatre droits qu'ils avaient.
Webhooks sortants. Le panneau appelle une adresse https de votre choix lorsqu'un compte est créé, suspendu, rétabli ou supprimé. Chaque appel est signé avec HMAC-SHA256 et un horodatage, les appels échoués sont retentés pendant environ deux heures et demie, et un administrateur ou un revendeur n'est informé que de ses propres comptes. Voir Webhooks sortants.

Certificats et courrier

Bibliothèque SSL. Créez une clé privée ou une demande de certificat dans le panneau, stockez un certificat acheté n'importe où et installez-le sur un domaine principal. Les clés sont stockées chiffrées et ne sont affichées que sur demande. Un certificat que vous avez installé n'est plus remplacé par le renouvellement automatique.
Redirection d'un domaine entier. Chaque adresse d'un domaine est transmise au même nom sur un autre domaine, ce qui aide lorsqu'une entreprise change d'adresse web. Les adresses qui ont leur propre boîte aux lettres gardent leur propre courrier.
Une analyse antivirus sur le chemin du courrier. Le courrier qui arrive sur le serveur ou en part peut être vérifié avec ClamAV, et un message contenant un virus est refusé pendant la remise. Elle est désactivée tant que vous ne l'activez pas, et elle laisse passer le courrier sans contrôle si l'analyseur s'arrête.
Un éditeur de code avec couleurs dans le gestionnaire de fichiers, pour les fichiers PHP, JavaScript, Python, shell, HTML, CSS et de configuration.

Plus rapide sur les serveurs chargés

Le panneau recharge désormais le serveur web une seule fois par modification de compte au lieu de plusieurs. Dans notre test avec 700 sites, la création d'un compte a pris environ 3,7 secondes, contre 7,2 auparavant. Les sauvegardes de 1 Go et plus aboutissent désormais (la limite est de trois heures), deux sauvegardes ou restaurations s'exécutent à la fois, et les versions de PHP installées plus tard depuis le panneau conservent la limite relevée de fichiers ouverts.

Vendre des domaines et encaisser des paiements

L'intégration du registraire de domaines Namecheap a été prouvée contre l'environnement de test de Namecheap : achat, renouvellement, portefeuille prépayé pour les revendeurs, nouvelle tentative après une commande échouée, renouvellements programmés et code de transfert entrant. Stripe a lui aussi été prouvé contre son environnement de test : vérification du montant d'un paiement, remboursements, cartes enregistrées, paiement automatique, rétrofacturations et relance après une carte refusée.

Aucun des deux n'a encore traité de commande réelle. Et PayPal n'est pas encore prouvé de bout en bout — ni dans la boutique ni dans la facturation du panneau. Si vous encaissez des paiements via PayPal, faites d'abord vous-même un petit achat réel.

Dans votre langue

Environ 540 textes supplémentaires du panneau sont désormais traduits dans les neuf langues autres que l'anglais, sous forme de phrases entières pour chaque action plutôt que d'un verbe inséré dans un gabarit. Les textes d'exemple, les infobulles et les étiquettes pour lecteurs d'écran sont eux aussi traduits.

Davantage de systèmes, un serveur web de moins

Les installations neuves passent désormais sur Ubuntu 26.04.1 et AlmaLinux 9.8, ainsi que sur les systèmes testés auparavant. L'assistant de configuration peut proposer d'utiliser le nom du serveur lui-même comme adresse du panneau. L'import de boîtes aux lettres fonctionne maintenant avec Dovecot 2.4. L'extraction des archives est faite par le panneau lui-même plutôt que par tar, ce qui permet de garder activé un réglage de durcissement systemd qu'il aurait sinon fallu assouplir.

Nous avons aussi retiré quelque chose. La prise en charge d'OpenLiteSpeed a été supprimée, car il ne transmet pas l'adresse du visiteur au panneau, ce qui aveuglerait la limitation de débit, le blocage d'IP et les statistiques. Pour une vraie prise en charge de .htaccess, utilisez Apache par compte derrière nginx, ou basculez tout le serveur sous Apache. Voir .htaccess — les deux modes.

Ce qui n'est toujours pas prouvé

Nous préférons que vous le lisiez ici plutôt que de le découvrir plus tard :

L'encaissement PayPal, dans la boutique et dans la facturation du panneau, n'a pas été prouvé de bout en bout avec un vrai paiement.
L'assistant IA n'a pas été testé contre le service réel de chaque éditeur.
Nous n'avons pas testé sur un serveur ARM 64 bits, bien que les versions existent.
AlmaLinux et Rocky 10.0 et 10.1 ne sont pas testés (la 10.2 l'est ; l'installateur propose d'abord de mettre à jour).
La restauration d'une sauvegarde faite par un vrai serveur cPanel, une mise à niveau en plusieurs étapes sur plusieurs versions, et la remise vers les grands fournisseurs de messagerie depuis une adresse neuve n'ont pas non plus été testées.
Aucun audit de sécurité humain indépendant n'a été réalisé.

Tout ce que le panneau inclut · Installation