Sécuriser un serveur CyberPanel

• firewalld est ce que pilote l'écran Firewall de CyberPanel : chaque règle que vous y ajoutez devient une rich rule firewalld dans la zone public, suivie d'un firewall-cmd --reload (source).
• CSF peut être installé à la place depuis le menu Security de CyberPanel. Son installeur télécharge toujours CSF depuis download.configserver.com (source), le serveur de ConfigServer, coupé à la fermeture de la société le 31 août 2025. Ne le lancez pas sur un nouveau serveur. Si CSF est déjà installé, il continue de fonctionner, mais ses mises à jour ne viennent plus de ConfigServer.

Quel que soit votre choix, limitez à vos propres adresses, quand c'est possible, l'accès au port d'administration de CyberPanel (8090 par défaut), et gardez SSH sur clés.

• Il reconnaît CyberPanel à partir de /usr/local/CyberCP et l'affiche dans le tableau de bord, et il détecte OpenLiteSpeed ou LiteSpeed Enterprise même s'ils sont installés hors des chemins habituels.
• Il ne touche pas à la configuration de LiteSpeed. L'agent ne modifie pas la configuration de LiteSpeed et n'y installe aucune règle ModSecurity. Les bots réglés sur Bloquer sont bannis au niveau du pare-feu à la place (Bots).
• Il lit le trafic de chaque site : les journaux des virtual hosts d'OpenLiteSpeed et les fichiers par domaine /home/*/logs/*.access_log de CyberPanel, avec les mêmes règles d'attaques web que sur tout serveur (Pare-feu web).
• Il analyse les sites à la recherche de malwares, à partir de la racine de documents de chaque virtual host d'OpenLiteSpeed (Malware).
• Il arrête la force brute SSH au niveau du pare-feu, peut fermer les ports de base de données ouverts sur internet quand vous le demandez depuis le tableau de bord, et surveille le trafic sortant, le DNS et l'intégrité des fichiers, comme sur tout serveur Linux.

Ses règles vivent dans ses propres chaînes INFRAFENCE, et il ne modifie jamais les règles d'un autre outil. Si un outil réécrit le pare-feu encore et encore, l'agent le signale comme un conflit de pare-feu, en indiquant où regarder (Coexistence).

1. Lancez d'abord le contrôle en lecture seule : le --dry-run de l'installeur signale ce qui pourrait gêner, sans rien modifier.
2. Dans le tableau de bord, Serveurs › Ajouter un serveur crée un jeton d'installation, valable une heure.
3. Lancez la commande d'installation en root via SSH. Rien ne doit changer dans CyberPanel.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

L'agent est testé sur 15 distributions avant chaque version, dont Ubuntu et AlmaLinux (Distributions prises en charge).