Einen cPanel & WHM-Server mit InfraFence absichern: ein echter Fall

Ein echter Fall, anonymisiert: einer unserer eigenen cPanel & WHM-Produktionsserver, betrieben von dem Unternehmen hinter InfraFence, am 24. und 25. Oktober 2026. Die Zahlen sind die dieses Servers, in unserem Fall; ein anderer Server zeigt andere.

System

AlmaLinux 8.10, cPanel & WHM 138

Konten und Websites

5 cPanel-Konten, 19 Websites

Schon auf dem Server

cPHulk, fail2ban, ModSecurity und ImunifyAV

Erste 24 Stunden

Rund 285 Angriffe, davon rund 98 % Portscans

1. Installation, in Minuten. Erst der Agent, dann das WHM-Plugin. Der Agent fand cPHulk, fail2ban, ModSecurity und ImunifyAV und arbeitete neben ihnen: Während der Installation wurde nichts neu gestartet und kein Dienst angefasst.
2. Die ersten 10 Minuten. Die ersten Portscanner wurden gesperrt.
3. Die erste Prüfung. Bei 26 der 50 Härtungsprüfungen gab es etwas zu beheben, und der Sicherheitswert lag bei 74 von 100, Note C.
4. Ein kritisches Ereignis: Datenbank aus dem Internet erreichbar. Der MySQL-Port 3306 antwortete dem ganzen Internet. Wir haben ihn im Dashboard geschlossen: Der Port war in unter 2 Sekunden zu, danach prüfte der Agent, dass SSH und alle 19 Websites weiter antworteten, und das taten sie. Das Ereignis steht jetzt auf Behoben.
5. Eine Dateiänderung. Die Dateiintegritätsprüfung meldete eine Änderung an /root/.ssh/authorized_keys: Ein Administrator hatte einen alten Schlüssel entfernt. Die Analyse stufte das als geringes Risiko ein, Schlüssel entfernt statt hinzugefügt, und wir haben es als erwartet markiert.
6. Nach 24 Stunden. Rund 285 Angriffe, davon rund 98 % Portscans, vor allem aus Frankreich und Kanada. Zeitweise waren 91 Adressen gleichzeitig gesperrt.

In WHM sieht root denselben Tag in der Übersicht des Plugins: den Wert und seine Note, die kritischen Ereignisse der letzten 24 Stunden, was Punkte kostet, und eine Karte, woher die Angriffe kamen. In InfraFence öffnen führt zur Seite des Servers im Dashboard, wo der Port geschlossen wurde.

Das Plugin liegt unter WHM » Plugins » InfraFence. Die Screenshots sind mit Beispieldaten aus dem Plugin erzeugt, nicht vom Server oben.

• Sperren

  Jede gesperrte Adresse mit Grund und Herkunft. Nur auf diesem Server entsperren oder auf die Whitelist setzen.

  

• Ereignisse

  Die letzten Sicherheitsereignisse: was passiert ist, wie ernst es ist und woher es kam.

  

• Funde

  Malware und Verstöße gegen die Dateiintegrität auf dem Server, mit Schweregrad und Status.

  

• Websites und Domains

  Domains und Document Roots jedes Kontos, ob der geplante Malware-Scan sie abdeckt, und „Jetzt scannen“ für eine einzelne Website.

  

• Koexistenz

  Die anderen Sicherheitswerkzeuge auf dem Server und was InfraFence neben jedem davon tut.

  

Jeder Bildschirm und seine Optionen stehen in der Anleitung zum WHM-Plugin; die Seite zur cPanel & WHM-Integration erklärt, wie das Plugin mit dem Agent spricht.

• Die Konfiguration von cPanel bleibt bei cPanel. Der Agent bleibt in seinen eigenen Firewall-Ketten. Er ändert nie csf.conf, csf.allow oder csf.deny, fügt unter cPanel keine ModSecurity-Regeln hinzu, lässt cPHulk unverändert und lässt Firewall, Adresslisten und Web-Firewall von Imunify360 in Ruhe.
• Nur root. Das Plugin zeigt alle Konten des Servers, deshalb sieht es nur root. Reseller und cPanel-Nutzer nie.
• Keine Zugangsdaten im Panel. Das Plugin speichert keinen InfraFence-Schlüssel und kein Token: Es fragt den Agent auf demselben Server über einen lokalen Socket, den nur root öffnen kann.
• Jede Änderung bestätigt und protokolliert. Entsperren, Erlauben und Scannen fragen vorher nach, und jede Aktion kommt im Dashboard als Ereignis mit dem Namen des WHM-Nutzers an.
• Änderungen geprüft oder zurückgenommen. Wenn ein Port geschlossen oder eine Korrektur angewendet wird, prüft der Agent danach SSH und deine Websites und nimmt die Änderung selbst zurück, wenn etwas nicht mehr antwortet.

Details zu jedem Werkzeug stehen unter Koexistenz.

InfraFence ist nicht das einzige Sicherheitsprodukt in WHM: Imunify360 ist vollständig in WHM integriert, CSF hat seine Seite in WHM, und auch BitNinja und CrowdSec haben WHM-Plugins. Allgemeine Linux-Werkzeuge wie fail2ban, Wazuh oder OSSEC bringen kein WHM-Plugin mit. InfraFence bringt einen vollständigen Sicherheitsblick in WHM und ein Dashboard für alle deine Server, zu einem festen Preis pro Server.

Stand Oktober 2026, aus der öffentlichen Dokumentation und den Preisseiten der Hersteller. Preise ändern sich: Prüfe sie, bevor du entscheidest. Die vollständigen Vergleiche: CSF, Imunify360, fail2ban.

Wo Imunify360 stärker ist. Proactive Defense überwacht PHP-Skripte, während sie laufen, was InfraFence nicht tut, und Imunify360 kommt vom CloudLinux-Team und passt eng zu cPanel und CloudLinux, mit Bildschirmen für Hosting-Kunden und automatischer Malware-Bereinigung. Wenn du Shared Hosting verkaufst, behalte es: InfraFence läuft daneben.

Das WHM-Plugin ist in den bezahlten Tarifen ohne Aufpreis enthalten: Basic 8,90 €, Pro 18,90 € und AutoMode 28,90 € pro Server und Monat, 20 % weniger bei jährlicher Abrechnung, gleich für 1 Konto oder 300. Starter, kostenlos für einen Server, enthält das Plugin nicht. Jedes neue Konto startet mit 14 Tagen AutoMode kostenlos, ohne Karte. Siehe Preise.

1. Erstelle dein Konto und füge den Server hinzu: Server › Server hinzufügen gibt dir einen einzeiligen Befehl, den du als root ausführst. Er prüft den Server, bevor er etwas ändert.
2. Im Dashboard gibt dir Panel-Plugins › cPanel & WHM den Installationsbefehl für das Plugin: das RPM für AlmaLinux 8, 9 und 10, CloudLinux und Rocky, das .deb für Ubuntu 24.04 oder das Tarball. cPanel & WHM 11.110 oder neuer.
3. Öffne WHM » Plugins » InfraFence.

Mehr für Hosting-Teams auf der Hosting-Seite.