Nimbopanel 新动态（2026 年 10 月）
这是什么
这是自上一轮说明以来的变更清单，按我们自己愿意读到的方式来写：功能做什么、位于哪里、我们证明了什么、又没有证明什么。下面的一切都在当前的公开发行版中。凡是在您开启之前处于关闭状态的，我们都会注明。
一个不会把您锁在门外的防火墙
System → Security → Firewall 让服务器管理员无需 SSH 会话，就能在 ufw 或 firewalld 上开放和关闭端口、封禁地址。每项更改在三分钟后都会自行撤销，除非您按下 Keep changes，而且该撤销在面板或服务器重启后依然有效。SSH 和网站端口无法被关闭，Redis 等私有端口无法被开放，您也无法封禁自己的地址。
在同一张卡片上，Host Access 把 SSH、FTP、邮箱登录和数据库限制为最多 15 个地址的列表。网站和收信永远不受限制。重新运行安装程序不会再重新开放您限制过的端口。ufw 和 firewalld 两个版本都已在真实服务器上运行过。详情请阅读 服务器防火墙与 Host Access。
先询问再行动的 AI 助手
面板可以拥有一个助手：用您自己的语言询问邮件为什么没有送达，或还剩多少磁盘空间，它会根据提问者本人有权查看的内容来回答。它在 服务器所有者用自己的密钥开启之前是关闭的。您可以从十个具名服务商（Anthropic、OpenAI、Google Gemini、Mistral、Groq、DeepSeek、xAI、OpenRouter、Together AI，以及服务器本机的 Ollama）中选择，或输入任何兼容 OpenAI 或兼容 Anthropic 的地址。
它自己无法更改任何内容。对于少数更改，例如 DNS 记录或暂停账户，它会准备一张由面板撰写的卡片，在有人按下 Approve 并确认之前，什么都不会执行。提议在 30 分钟后过期。
人们还可以通过面板上的 MCP 地址连接自己的 AI 工具，例如 Claude Code。在运营者允许之前，该地址会返回 404。令牌可以限定在十个领域中的部分领域并设为只读，而删除或暂停任何内容都会变成由令牌所有者批准的请求。
坦率的部分：我们是用一个替身服务商测试助手的，而不是针对各家厂商的线上服务。参见 AI 助手。
面向经销商和您自己系统的工具
- 十二项经销商权限。 准确授予经销商您所选择的权限——创建、暂停或删除账户、以客户身份登录、DNS、备份、套餐、计费、支持、品牌——也可以从“支持团队”等预设开始。面板和 API 令牌适用同样的规则。您之前设置的经销商保留他们原有的四项权限。
- 出站 Webhook。 面板会在账户被创建、暂停、恢复或删除时，调用您的一个 https 地址。每次调用都用 HMAC-SHA256 和时间戳签名，失败的调用会在大约两个半小时内重试，管理员或经销商只会收到自己名下账户的通知。参见 出站 Webhook。
证书与邮件
- SSL 库。 在面板中生成私钥或证书请求，保存在任何地方购买的证书，并把它安装到主域名上。私钥加密存储，仅在要求时才显示。您安装的证书不会再被自动续期替换。
- 整域名转发。 一个域名下的每个地址，都转发到另一个域名下的同名地址，这在企业更换网址时很有用。拥有自己邮箱的地址仍会收到发给它自己的邮件。
- 邮件路径上的病毒扫描。 到达或离开服务器的邮件可以用 ClamAV 检查，带病毒的邮件会在投递过程中被拒收。它在您开启之前是关闭的，而且如果扫描器停止，邮件会不经检查而通过。
- 文件管理器中 带颜色的代码编辑器，适用于 PHP、JavaScript、Python、shell、HTML、CSS 和配置文件。
繁忙服务器上更快
面板现在对每次账户变更只重载一次 Web 服务器，而不是多次。在我们的 700 个网站测试中，创建一个账户约需 3.7 秒，之前是 7.2 秒。1 GB 及以上的备份现在可以完成（上限为三小时），同时运行两个备份或恢复，之后从面板安装的 PHP 版本也会保留已调高的打开文件数上限。
销售域名与收款
与 Namecheap 的域名注册商集成已在 Namecheap 的测试环境中得到验证：购买、续费、面向经销商的预付钱包、订单失败后的重试、计划续费和转入码。Stripe 也已在其测试环境中得到验证：付款金额校验、退款、已保存的银行卡、自动付款、拒付，以及银行卡被拒后的提醒。
两者都还没有接过真实订单。而且 PayPal 尚未完成端到端验证——无论是商店里的，还是面板内的计费。如果您通过 PayPal 收款，请先自己做一笔小额真实购买。
您的语言
另有大约 540 条面板文本现在已翻译成除英语之外的九种语言，并且是针对每个操作按完整句子翻译，而不是把动词塞进模板。占位符、工具提示和屏幕阅读器标签也已翻译。
更多系统，少一个 Web 服务器
全新安装现在可在 Ubuntu 26.04.1 和 AlmaLinux 9.8 上通过，之前测试过的系统同样通过。设置向导可以提供使用服务器自己的名称作为面板地址。邮箱导入现在可用于 Dovecot 2.4。归档解压由面板自己完成，而不是通过 tar，这样可以保持开启一项否则不得不放宽的 systemd 加固设置。
我们还 撤下 了一样东西。OpenLiteSpeed 支持已被移除，因为它不会把访客地址传递给面板，这会让速率限制、IP 封禁和统计功能全部失明。如需真正的 .htaccess 支持，请使用 nginx 之后的按账户 Apache，或把整台服务器切换为 Apache。参见 .htaccess——两种模式。
仍未经证实的内容
我们宁愿让您在这里读到，也不愿让您日后才发现：
- PayPal 收款（商店里的和面板计费里的）尚未用真实付款完成端到端验证。
- AI 助手尚未针对各家厂商的线上服务测试过。
- 我们尚未在 64 位 ARM 服务器上测试，尽管构建版本已经存在。
- AlmaLinux 和 Rocky 10.0 与 10.1 未经测试（10.2 已测试；安装程序会提示先更新）。
- 恢复由真实 cPanel 服务器制作的备份、跨多个版本的多步升级，以及从全新地址向大型邮箱服务商投递邮件，同样尚未测试。
- 尚未进行独立的人工安全审计。