HestiaCP
Бесплатная панель управления веб-хостингом с открытым кодом: сайты, домены, DNS-зоны, базы, FTP и пользователи через браузер, без правки конфигов по SSH. Развернули автоинсталлятором на Fatmetal Cloud Server в лин-профиле без почтового стека, замерили аппетиты и разобрали, где панель проще ISPConfig, а где упирается в свой предел.
Коротко: брать или нет
- Держите пул сайтов, доменов и БД и хотите управлять ими через веб, а не руками в SSH
- Нужна бесплатная замена ушедших с рынка РФ cPanel/Plesk без валютных платежей
- Хотите панель попроще ISPConfig: поставил автоинсталлятором и работаешь
- Крутите одно приложение в докере: панель избыточна, хватит compose
- Нужен деплой git push в прод: это класс Coolify/CapRover, не хостинг-панель
- Мультисервер и тонкая сегментация - тут ISPConfig гибче
Проверено на HestiaCP 1.9.9 (ветка release), Ubuntu 24.04, август 2026. На новых версиях результаты могут отличаться.
Что это и какую задачу решает
HestiaCP (Hestia Control Panel) - веб-панель, которая берет на себя рутину администрирования сервера под веб-хостинг. Через браузер она заводит сайты и виртуальные хосты, создает DNS-зоны, почтовые ящики, базы данных и FTP-аккаунты, выпускает Let's Encrypt, раздает файлы через файловый менеджер и делает бэкапы. Плюс встроенный установщик приложений (WordPress и другие CMS), cron и пользователи с уровнями доступа Admin / User. Все, что иначе делается правкой конфигов по SSH, здесь - формы и кнопки.
Ключевое отличие от привычных нам разборов в докере: HestiaCP ставится не контейнером, а собственным автоинсталлятором прямо на чистую ОС (Debian или Ubuntu). Одна команда собирает и настраивает целый веб-сервер и поднимает панель на порту 8083 по HTTPS. Это прямая бесплатная замена платных cPanel, Plesk и ISPmanager и open-source сосед ISPConfig.
Форк VestaCP и чем отличается от платных
HestiaCP вырос из VestaCP - когда-то популярной бесплатной панели, которая заглохла и имела инциденты безопасности. Сообщество продолжило проект как HestiaCP: поддержка свежих ОС, регулярные релизы, современный интерфейс и REST API. Вендора-компании, продающего лицензии, нет - софт полностью бесплатный (GPL-3.0), проект живет на донатах.
Для российского читателя это прямой заход: cPanel и Plesk фактически ушли с рынка РФ по вендорской линии и стоят валюту, ISPmanager - отечественный, но платный. HestiaCP закрывает ту же задачу за ноль рублей, а доступ к репозиториям и обновлениям панели из РФ не блокируется.
| Параметр | HestiaCP | Платные (cPanel/Plesk/ISPmanager) |
|---|---|---|
| Цена | 0 (GPL-3.0) | подписка на сервер, от ~1000 руб/мес и выше |
| Оплата из РФ | не нужна | cPanel/Plesk ушли; ISPmanager - рублями |
| Открытый код | да, GitHub | закрытый |
| Поддержка | сообщество, форум, GitHub | коммерческая, SLA |
| Установка | один автоинсталлятор | свой установщик |
Что у панели под капотом
HestiaCP - не свой стек, а управляющая надстройка над стандартными сервисами Linux. Веб-сервер - nginx как фронт-прокси плюс Apache2 как бэкенд (за .htaccess и PHP через PHP-FPM), база данных - MariaDB (или MySQL 8 / PostgreSQL на выбор), DNS - BIND9, FTP - VSFTPD, защита от перебора - Fail2Ban поверх iptables. Опционально включаются почта (Exim + Dovecot), антивирус и антиспам (ClamAV + SpamAssassin), MultiPHP и REST API.
Мы ставили лин-профиль без почтового стека и антивируса: web (nginx + apache + php-fpm), BIND9, MariaDB, VSFTPD, iptables + Fail2Ban и API. Причина простая: Exim/Dovecot и особенно ClamAV - самые прожорливые компоненты (антивирус один требует запаса памяти), а большинству сценариев почта на том же сервере не нужна. Полный стек с почтой ставят осознанно.
Практический вывод: сайты, которые панель создает, - обычные виртуальные хосты nginx/apache. Уйдете с HestiaCP - сайты переносятся как есть, теряется только удобство UI, а не данные.
В маркетплейсе Fatmetal
Не хотите ставить руками?
Этот стек есть в маркетплейсе Fatmetal - можно не повторять установку из этого разбора вручную. Заказываете сервер, за пару минут получаете рабочий домен, валидный TLS и файл с доступами.
Рекомендуемая конфигурация: CPU2-RAM4-DISK50
Как развернуть на Fatmetal Cloud Server
Заказали Fatmetal Cloud Server на тарифе CPU2-RAM4-DISK50 (2 vCPU / 4 ГБ / 50 ГБ) с чистой Ubuntu 24.04. Панель ставится одним автоинсталлятором прямо на ОС - без докера.
Скачать автоинсталлятор
Тянем скрипт из ветки release:
wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh.Запустить с нужным профилем
Запускаем в неинтерактивном режиме, отключив тяжелый почтовый стек и антивирус:
--exim no --dovecot no --clamav no --spamassassin no, и задаем hostname, email, логин и пароль admin флагами. Установщик сам подключает репозитории, ставит nginx/apache, PHP-FPM, MariaDB, BIND9 и саму панель. Заняло около 16 минут.Перезагрузить и войти
Инсталлятор просит перезагрузку - после нее панель поднимается сама. Открываем
https://<адрес>:8083, логин -admin, пароль - тот, что задали при установке. Вход двухшаговый: сначала имя, затем пароль.
Две грабли автоинсталлятора 1.9.9. Первая: в неинтерактивном режиме он все равно требует явный --username admin, иначе уходит в бесконечный цикл запроса имени. Вторая: если в системе уже есть пустая группа admin (бывает на преднастроенных образах), установщик падает с Username or Group allready exists - лечится groupdel admin перед запуском. В one-click карточке маркетплейса оба случая обработаны заранее.
Проверили не только вход: через панель и CLI завели два веб-домена (nginx + apache подняли vhost-ы), DNS-зону с 15 записями на BIND9 и базу MariaDB - все появилось в списках и реально обслуживается.
Сколько реально ест
В простое (сразу после установки, лин-профиль без почты) HestiaCP занимает ~595 МБ RAM из 4 ГБ и 4 ГБ на диске (8% от 48 ГБ). Для сравнения: чистая Ubuntu 24.04 до установки ела 425 МБ - то есть весь стек панели добавил всего около 170 МБ поверх ОС. Основной едок памяти - MariaDB (~143 МБ), дальше Apache2, PHP-FPM, BIND9, nginx и Fail2Ban по 30-46 МБ.
| RAM в простое | ~595 / 3915 МБ |
| Чистая ОС до установки | 425 МБ |
| Диск | 4 / 48 ГБ (8%) |
| Время установки | ~16 мин + ребут |
| MariaDB | ~143 МБ RSS |
| Apache2 / PHP-FPM | ~46 / 41 МБ RSS |
| BIND9 / nginx / Fail2Ban | ~37 / 33 / 32 МБ RSS |
Это заметно легче ISPConfig, который на аналогичном лин-профиле без почты держит около 820 МБ. HestiaCP спокойно живет на тарифе CPU2-RAM4-DISK50 (500 руб/мес) с запасом под реальный трафик нескольких сайтов. Но помните: включите полный почтовый стек с антивирусом - и аппетит вырастет в разы, ClamAV один требует гигабайта с лишним.
TLS панели. HestiaCP умеет сам выпустить Let's Encrypt на свой hostname через v-add-letsencrypt-host, если домен публично резолвится. У нас панель сразу открылась с валидным сертификатом Let's Encrypt на домене стенда - без ручной возни с certbot.
Как войти
Панель слушает отдельный порт 8083 по HTTPS. Адрес - https://<адрес-сервера>:8083. Логин администратора - admin, пароль задается при установке флагом (в one-click карточке маркетплейса им становится пароль вашего сервера). В отличие от ряда панелей, где пароль генерится и его надо выуживать из лога, здесь вы знаете его сразу.
Отсюда практическое следствие по безопасности: порт 8083 - единая точка входа ко всему серверу, и его стоит закрыть от всего интернета, пуская только со своих адресов или через VPN. Для делегирования отдельным сайтам заводите пользователей панели с ролью User - у них свой ограниченный доступ, без прав администратора.
Где может сломаться
Причина. Автоинсталлятор 1.9.9 даже в неинтерактивном режиме требует имя администратора и, не получив его из stdin, зацикливается.
Решение. Передавайте логин явным флагом --username admin. В one-click карточке это уже прописано.
Причина. На сервере уже есть группа с именем будущего admin-пользователя (частый случай - пустая системная группа admin на преднастроенных образах).
Решение. Удалите конфликтующую пустую группу (groupdel admin) перед установкой. В карточке маркетплейса это делается автоматически.
Наследие VestaCP и поверхность атаки
Корни HestiaCP - в VestaCP, у которой была история уязвимостей. Сам форк активно их закрывает, но панель на порту 8083 наружу - это поверхность атаки. Обязательно ограничьте доступ к порту панели фаерволом и держите автообновления включенными (по умолчанию так и есть).
Почтовый стек тяжелый
Полный набор с почтой и антивирусом (Exim + Dovecot + ClamAV + SpamAssassin) заметно прожорливее лин-профиля: один ClamAV требует гигабайта с лишним RAM. Включайте почту осознанно и закладывайте под нее память, а не по инерции «поставлю все сразу».
С чем стоит в одном ряду
- ISPConfig - бесплатный сосед по open-source: шире по возможностям (мультисервер, тоньше настройки), но UI аскетичнее и порог входа выше. HestiaCP проще и легче на старте.
- ISPmanager - платная российская панель: полированный UI, оплата рублями и коммерческая поддержка - если бюджет есть и нужна гарантия SLA.
- LEMP/LAMP по SSH - когда сайтов один-два: голый стек без панели дешевле по ресурсам и без лишнего слоя управления.
- Coolify / CapRover - другой класс задач: деплой приложений через git push, а не классический веб-хостинг сайтов.
Когда это НЕ ваш выбор
Одно приложение в докере
Если задача - крутить один сервис в контейнере, полноценная хостинг-панель избыточна. Возьмите Docker и compose, панель тут лишний слой.
Деплой как в Heroku
Нужен git push в прод с автосборкой - это класс Coolify или CapRover, а не панель управления хостингом. HestiaCP про сайты, домены и почту, а не про CI/CD приложений.
Мультисервер и тонкая сегментация
Распределенный энтерпрайз-хостинг с управлением несколькими серверами из одной точки и тонкими правами - здесь ISPConfig гибче. HestiaCP ориентирован в первую очередь на один сервер.
Частые вопросы
Это точно бесплатно?
Да. HestiaCP распространяется под GPL-3.0, платных тарифов и лицензий нет. Проект живет на донатах, а не на продаже лицензий.
Нужен ли Docker?
Нет. Панель ставится собственным автоинсталлятором прямо на чистую Ubuntu или Debian, без контейнеров.
Хватит ли 1 ГБ RAM?
Для лин-профиля без почты - да, панель поднимется (у нас в простое ~595 МБ). Но комфортно - от 2-4 ГБ, особенно если планируете почтовый стек: ClamAV один требует гигабайта с лишним.
Чем отличается от ISPConfig?
HestiaCP проще и легче на старте (наш замер: ~595 МБ против ~820 МБ у ISPConfig на схожем профиле), но охват возможностей меньше. ISPConfig - мультисервер и тоньше настройки, ценой более высокого порога входа.
Можно ли поставить только веб, без почты?
Да, именно так мы и ставили. Почта, антивирус и антиспам отключаются флагами установщика - это самые тяжелые компоненты, включайте их осознанно.
Есть ли SSL из коробки?
Да. Панель выпускает Let's Encrypt на свой hostname автоматически (если домен резолвится), и клиентским сайтам тоже - через веб-интерфейс, без ручного certbot.
Безопасно ли держать порт 8083 открытым?
Не держите его открытым для всего интернета. Панель под root-доступом ко всему серверу - ограничьте порт фаерволом до своих адресов или VPN и держите автообновления включенными.
Итог
HestiaCP - бесплатная open-source панель хостинга, форк VestaCP: сайты, DNS, базы, FTP и SSL через веб без работы в SSH. В лин-профиле без почты она заняла ~595 МБ RAM и 4 ГБ диска - легче ISPConfig и спокойно живет на тарифе CPU2-RAM4-DISK50 (500 руб/мес). Ставится одним автоинсталлятором за ~16 минут, сама выпускает Let's Encrypt. Для РФ это прямая замена ушедших cPanel/Plesk без валютных платежей. Оговорки честные: наследие VestaCP требует закрыть порт панели фаерволом, а полный почтовый стек тяжелый. Нужен мультисервер - смотрите ISPConfig; один сайт или контейнер - панель избыточна.
Замеры сняты на Fatmetal Cloud Server (CPU2-RAM4-DISK50, Ubuntu 24.04) в августе 2026, HestiaCP 1.9.9. Реальные IP, пароли и адреса серверов в публикацию не выносятся.