Что нового в Nimbopanel (октябрь 2026)
О чём это
Это список того, что изменилось с прошлой подборки заметок, написанный так, как мы сами хотели бы его читать: что делает функция, где она находится и что мы доказали, а что нет. Всё перечисленное ниже входит в текущий публичный выпуск. Если что-то выключено, пока вы не включите, мы так и говорим.
Брандмауэр, которым нельзя заблокировать себя
Система → Безопасность → Брандмауэр позволяет администратору сервера открывать и закрывать порты и блокировать адреса в ufw или firewalld без сеанса SSH. Каждое изменение отменяется само через три минуты, если вы не нажмёте Сохранить изменения, и отмена переживает перезапуск панели или сервера. SSH и веб-порты закрыть нельзя, закрытые порты вроде Redis открыть нельзя, а собственный адрес заблокировать нельзя.
На той же карточке Host Access ограничивает SSH, FTP, вход в почту и базу данных списком до 15 адресов. Сайты и входящая почта никогда не ограничиваются. Повторный запуск установщика больше не открывает заново порт, который вы ограничили. Версии для ufw и для firewalld запускались на реальных серверах. Подробности — в разделе Брандмауэр сервера и Host Access.
ИИ-ассистент, который спрашивает перед действием
В панели может быть ассистент: спросите на своём языке, почему не приходит почта или сколько осталось места на диске, и он ответит на основе того, что разрешено видеть спросившему. Он выключен, пока владелец сервера не включит его со своим ключом. Вы выбираете одного из десяти именованных провайдеров (Anthropic, OpenAI, Google Gemini, Mistral, Groq, DeepSeek, xAI, OpenRouter, Together AI и Ollama на самом сервере) или вводите любой адрес, совместимый с OpenAI или Anthropic.
Сам он ничего изменить не может. Для некоторых изменений, например DNS-записи или приостановки аккаунта, он готовит карточку, которую формирует панель, и ничего не выполняется, пока человек не нажмёт Одобрить и не подтвердит. Предложение истекает через 30 минут.
Люди могут также подключить собственный ИИ-инструмент, например Claude Code, по MCP-адресу панели. Этот адрес отвечает 404, пока оператор его не разрешит. Токен можно ограничить несколькими из десяти областей и сделать доступным только для чтения, а удаление или приостановка чего-либо становится запросом, который одобряет владелец токена.
Честная часть: мы тестировали ассистента на имитации провайдера, а не на реальном сервисе каждого поставщика. См. ИИ-ассистент.
Инструменты для реселлеров и ваших собственных систем
- Двенадцать прав реселлера. Дайте реселлеру ровно те права, которые выберете, — создание, приостановка или удаление аккаунтов, вход под клиентом, DNS, резервные копии, пакеты, биллинг, поддержка, брендинг — или начните с готового набора, например «Служба поддержки». Одни и те же правила действуют в панели и для API-токенов. Реселлеры, настроенные раньше, сохраняют четыре права, которые у них были.
- Исходящие вебхуки. Панель обращается к вашему https-адресу, когда аккаунт создан, приостановлен, возобновлён или удалён. Каждый вызов подписан HMAC-SHA256 и меткой времени, неудачные вызовы повторяются в течение примерно двух с половиной часов, а администратор или реселлер узнаёт только о своих аккаунтах. См. Исходящие вебхуки.
Сертификаты и почта
- Библиотека SSL. Создайте закрытый ключ или запрос на сертификат в панели, сохраните сертификат, купленный где угодно, и установите его на основной домен. Ключи хранятся в зашифрованном виде и показываются только по запросу. Установленный вами сертификат больше не заменяется автоматическим продлением.
- Пересылка всего домена. Каждый адрес одного домена уходит на то же имя в другом домене — это удобно, когда компания меняет адрес сайта. Адреса с собственным почтовым ящиком продолжают получать свою почту.
- Антивирусная проверка на пути почты. Почту, приходящую на сервер или уходящую с него, можно проверять ClamAV, а письмо с вирусом отклоняется во время доставки. Функция выключена, пока вы её не включите, и пропускает почту без проверки, если сканер остановится.
- Редактор кода с подсветкой в файловом менеджере — для PHP, JavaScript, Python, shell, HTML, CSS и конфигурационных файлов.
Быстрее на загруженных серверах
Теперь панель перезагружает веб-сервер один раз на каждое изменение аккаунта вместо нескольких. В нашем тесте с 700 сайтами создание аккаунта заняло около 3,7 секунды против 7,2 раньше. Резервные копии от 1 ГБ теперь завершаются (лимит — три часа), одновременно выполняются две резервные копии или восстановления, а версии PHP, установленные позже из панели, сохраняют повышенный лимит открытых файлов.
Продажа доменов и приём платежей
Интеграция с регистратором доменов Namecheap проверена на тестовой среде Namecheap: покупка, продление, предоплаченный кошелёк для реселлеров, повтор после неудачного заказа, плановые продления и код для переноса домена к вам. Stripe тоже проверен на тестовой среде: проверка суммы платежа, возвраты, сохранённые карты, автоплатёж, оспаривание платежей и напоминание после отклонённой карты.
Ни то, ни другое пока не приняло ни одного реального заказа. А PayPal пока не доказан от начала до конца — ни в магазине, ни в биллинге внутри панели. Если вы принимаете платежи через PayPal, сначала сами сделайте одну небольшую реальную покупку.
На вашем языке
Около 540 дополнительных текстов панели теперь переведены на девять языков, кроме английского, причём переведены целыми предложениями для каждого действия, а не глаголом, вставленным в шаблон. Подсказки в полях, всплывающие подсказки и подписи для программ чтения с экрана тоже переведены.
Больше систем, на один веб-сервер меньше
Новые установки теперь проходят на Ubuntu 26.04.1 и AlmaLinux 9.8, а также на ранее протестированных
системах. Мастер настройки может предложить использовать собственное имя сервера в качестве адреса
панели. Импорт почтовых ящиков теперь работает с Dovecot 2.4. Распаковку архивов выполняет сама панель, а
не tar, что сохраняет включённым параметр защиты systemd, который иначе пришлось бы ослабить.
Кое от чего мы также отказались. Поддержка OpenLiteSpeed удалена, потому что он не передаёт панели
адрес посетителя, из-за чего ограничение частоты запросов, блокировка по IP и статистика перестали бы
видеть реальных посетителей. Для настоящей поддержки .htaccess используйте Apache для каждого аккаунта
за nginx или переключите на Apache весь сервер. См. .htaccess — два режима.
Что пока не доказано
Лучше, чтобы вы прочитали это здесь, чем узнали потом:
- Приём платежей через PayPal, в магазине и в биллинге панели, не доказан от начала до конца реальным платежом.
- ИИ-ассистент не тестировался на реальном сервисе каждого поставщика.
- Мы не тестировали 64-разрядный ARM-сервер, хотя сборки существуют.
- AlmaLinux и Rocky 10.0 и 10.1 не тестировались (10.2 — тестировался; установщик предлагает сначала обновиться).
- Восстановление резервной копии, сделанной настоящим сервером cPanel, многошаговое обновление через несколько выпусков и доставка в крупные почтовые сервисы с нового адреса тоже не тестировались.
- Независимый аудит безопасности специалистами не проводился.