Instalar o HestiaCP em uma VPS (2026): painel de hospedagem Ubuntu, Nginx/Apache, e-mail, SSL, backups e reforço de segurança

O HestiaCP é um painel de controle de hospedagem de código aberto que permite gerenciar a partir de um único backend:

• Domínios web, templates de Nginx/Apache e múltiplas versões de PHP;
• Bancos de dados MariaDB/MySQL e phpMyAdmin;
• Zonas e registros DNS;
• Exim, Dovecot, Webmail, DKIM e contas de e-mail;
• Usuários, pacotes, cotas, tarefas agendadas e backups;
• Firewall, Fail2Ban, status dos serviços e atualizações do sistema.

É especialmente adequado para a necessidade de "poucas pessoas de operações gerenciando muitos sites". Se você está apenas implantando um aplicativo em contêiner, Docker Compose mais Caddy costuma ser mais transparente; se você precisa de equipes multiusuário, pacotes de sites e recursos tradicionais de hospedagem compartilhada, o HestiaCP economiza mais tempo.

Você pode ler primeiro a comparação de painéis de controle para VPS e depois decidir com base nas diferenças abaixo:

Se você se importa mais com hospedagem moderna de sites PHP e não precisa de e-mail auto-hospedado, também pode comparar com o tutorial de instalação do CloudPanel. Não instale vários painéis de controle que assumem o controle do Nginx, do banco de dados e do firewall no mesmo servidor.

Em agosto de 2026, a versão estável oficial mais recente do HestiaCP é 1.10.4. Ele oferece suporte oficial a AMD64/x86_64 e ARM64/aarch64 de 64 bits, e lista Debian 11, 12, 13, além de Ubuntu 22.04, 24.04, 26.04 LTS.

A configuração mínima oficial é 1 núcleo, 1 GB de RAM e 10 GB de disco, mas 1 GB só é adequado para um ambiente leve com ClamAV e SpamAssassin desativados. Na prática, escolha com base na combinação de serviços:

Prefira SSD/NVMe para o disco e confirme que a VPS usa KVM ou virtualização com todos os recursos. E-mail, bancos de dados e backups geram continuamente arquivos pequenos e E/S aleatória, e um disco com grande capacidade mas baixo desempenho aleatório vai deixar as operações do painel lentas.

O instalador do HestiaCP implanta e configura componentes como Nginx, Apache, PHP-FPM, MariaDB, Exim, Dovecot, BIND, Fail2Ban e iptables. Se a máquina já tem Baota, 1Panel, mapeamentos de portas do Docker, Nginx escrito à mão ou um banco de dados existente, o instalador pode sobrescrever configurações, ocupar as mesmas portas ou até deixar sites existentes fora do ar.

Antes da instalação você deve:

1. Usar um sistema Ubuntu 24.04 LTS 64 bits novo;
2. Salvar o método de login por console ou VNC da VPS;
3. Registrar o ponto de configuração de IPv4 público, IPv6 e DNS reverso;
4. Preparar um nome de host dedicado para o painel, por exemplo panel.example.com;
5. Fazer backup dos dados importantes em outra máquina ou armazenamento de objetos com antecedência;
6. Não "testar a instalação" em uma máquina que hospeda sites de produção existentes.

Snapshots podem ser usados para reverter a máquina inteira se a instalação falhar, mas não substituem backups em outra máquina. Se você não tem clareza sobre a diferença, leia primeiro Simulações de backup e restauração em VPS.

O nome de host do painel do HestiaCP deve usar um nome de domínio totalmente qualificado, não o domínio raiz diretamente:

panel.example.com

No seu provedor de DNS, adicione:

类型：A
名称：panel
内容：VPS 公网 IPv4
代理：关闭，仅 DNS

Se o servidor tiver IPv6 configurado corretamente, adicione também AAAA; caso contrário, não deixe registros AAAA apontando para o endereço errado. Resolução IPv6 incorreta pode causar falhas intermitentes na validação do Let's Encrypt ou no acesso ao painel.

Após entrar na VPS, verifique o nome de host atual:

hostnamectl
hostname -f
getent ahosts panel.example.com

Primeiro altere o nome de host do sistema para o domínio do painel:

sudo hostnamectl set-hostname panel.example.com

Verifique /etc/hosts para garantir que o nome de host resolve localmente, mas não copie o IP de exemplo literalmente:

127.0.0.1 localhost
服务器主IP panel.example.com panel

Se você pretende hospedar e-mail, também configure o PTR/DNS reverso para panel.example.com no painel do provedor da VPS, e faça-o resolver para o mesmo IP. Sem PTR correto, SPF, DKIM, DMARC e boa reputação de IP, mesmo que o painel mostre envio bem-sucedido, o e-mail pode cair no spam ou ser rejeitado.

Não abra todas as portas para toda a internet primeiro. Configure o firewall da nuvem e o firewall do Hestia de acordo com os componentes realmente habilitados:

Os grupos de segurança da plataforma de nuvem e o firewall do sistema são duas camadas de controle. Após instalar o painel, mantenha as regras pela página Firewall do Hestia; a documentação oficial avisa que, quando o Hestia atualiza o firewall, ele pode limpar regras temporárias de iptables não gerenciadas pelo Hestia.

Se o serviço funciona mas a rede externa não consegue acessar, verifique camada por camada conforme o guia de solução de problemas de portas, firewall e grupos de segurança, e não mantenha todos os firewalls desativados por longos períodos apenas para testar.

Entre como root, ou primeiro acesse um shell de root:

ssh root@服务器IP

Um usuário sudo comum pode executar:

sudo -i

Confirme o sistema e a arquitetura:

cat /etc/os-release
uname -m
free -h
df -h /

Atualize os pacotes base e reinicie:

apt update
apt full-upgrade -y
apt install -y ca-certificates wget curl
reboot

Após entrar novamente, verifique se ainda há uma reinicialização pendente:

uname -r
uptime

A combinação de instalação padrão do HestiaCP cobre web, DNS, e-mail, banco de dados, firewall e FTP, com recursos completos, mas também maior consumo de recursos e superfície de ataque. Antes de escolher, responda três perguntas:

1. O DNS já foi delegado a um provedor externo?
2. Você realmente quer enviar e receber e-mail nesta VPS?
3. O upload de arquivos pode usar apenas SSH/SFTP?

wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
less hst-install.sh
bash hst-install.sh

bash hst-install.sh -h

O HestiaCP pode usar por padrão o Nginx como proxy reverso frontal e o Apache para tratar as requisições dinâmicas do backend, ou você pode desativar o Apache e usar Nginx + PHP-FPM.

Não desative o Apache só porque "o Nginx é mais rápido". Primeiro confirme se o aplicativo depende de reescritas de .htaccess, regras de permissão de diretório ou módulos do Apache. Ao migrar sites antigos, a compatibilidade geralmente é mais importante do que economizar algumas centenas de MB de memória.

Também não instale todas as versões de PHP. Escolha com base nas necessidades reais do site, por exemplo 8.3 e 8.4; quanto mais versões, mais difícil é gerenciar atualizações, consistência de extensões e uso de disco.

Ao final da instalação, o terminal mostrará:

• O endereço de login do painel;
• O nome de usuário do administrador;
• Uma senha aleatória ou a senha que você definiu;
• O nome de host e a porta.

Salve essas informações em um gerenciador de senhas imediatamente e não tire prints para enviar em grupos de chat. A forma de acesso padrão ao painel é:

https://panel.example.com:8083

Se o certificado do domínio ainda não foi emitido, o navegador pode primeiro mostrar um certificado autoassinado. Após confirmar que o domínio realmente resolve para a sua VPS, você pode executar o comando oficial em um shell de root:

v-change-sys-hostname panel.example.com
v-add-letsencrypt-host

Verifique o painel:

curl -Ik https://panel.example.com:8083
ss -lntup
systemctl status hestia --no-pager

Conclua isto imediatamente após o primeiro login:

1. Alterar o administrador para uma senha forte;
2. Ativar a autenticação de dois fatores nas configurações da conta;
3. Verificar o e-mail do administrador e as notificações do sistema;
4. Desativar a API e o Web Terminal não utilizados;
5. Restringir 8083 apenas a IPs de administrador ou faixas de VPN;
6. Criar um usuário de gestão diária e evitar manter todos os sites sob a conta de maior privilégio a longo prazo.

Primeiro aponte os registros A/AAAA do domínio de negócio para a VPS, depois vá à página Web no HestiaCP para adicionar o domínio. Recomenda-se seguir esta ordem:

1. Criar um usuário comum do Hestia;
2. Adicionar um Web Domain com esse usuário;
3. Escolher o Web Template e o Backend Template adequados;
4. Ativar o SSL;
5. Marcar Let's Encrypt;
6. Ativar o redirecionamento forçado para HTTPS conforme necessário;
7. Criar um banco de dados e um usuário de banco de dados separados;
8. Enviar o site ou usar o Quick Install App.

Cada site deve usar seu próprio usuário do sistema, banco de dados e senha. Não permita que vários sites de clientes compartilhem o usuário admin ou a mesma conta de banco de dados, caso contrário, se um site for comprometido, fica mais fácil ler lateralmente os arquivos de outros sites.

Tomando o WordPress como exemplo, após a instalação você também deve configurar atualizações automáticas, restringir logins de administrador, excluir plugins e temas não usados e copiar os backups do site para outra máquina. Para uma configuração mais detalhada da camada de aplicação, consulte as ideias de cache, backup e restauração do tutorial de Docker e reforço de segurança do WordPress, mas não aplique diretamente a configuração de portas do Docker daquele artigo ao host do HestiaCP.

Quando a solicitação do certificado do painel ou do site falhar, verifique na ordem:

getent ahosts panel.example.com
curl -I http://panel.example.com
ss -lntp | grep -E ':(80|443|8083)\b'
ls -lah /var/log/hestia/

As causas comuns incluem:

• O registro A ainda não entrou em vigor;
• Um registro AAAA incorreto direciona o tráfego de validação para outro host;
• O firewall da nuvem não abre 80/TCP;
• O status do proxy da Cloudflare ou o modo SSL entra em conflito com o fluxo de validação;
• A configuração do Nginx/Apache não foi recarregada;
• Solicitações repetidas em pouco tempo acionam os limites de taxa do Let's Encrypt.

A documentação oficial do Hestia recomenda verificar o LE-用户-域名.log correspondente em /var/log/hestia/. Resolva primeiro o DNS e a acessibilidade HTTP-01, depois solicite novamente, e não clique uma dúzia de vezes seguidas.

A parte difícil do e-mail auto-hospedado não é criar caixas de e-mail, mas a entregabilidade, a reputação de IP, o antispam, o DNS e a operação contínua. Se você só precisa que o WordPress envie códigos de verificação, notificações de pedidos ou redefinições de senha, usar um relay SMTP confiável costuma ser mais estável do que auto-hospedar um servidor de e-mail completo.

Antes de decidir hospedar e-mail, confirme:

• Se a VPS permite saída para 25/TCP;
• Se o IP tem histórico de spam;
• Se o provedor consegue configurar PTR;
• Se você está disposto a manter SPF, DKIM, DMARC e políticas antispam;
• Se você tem backups e monitoramento separados em outra máquina.

A documentação oficial do Hestia também observa que muitos provedores bloqueiam a porta 25 de saída por padrão; se não for possível abri-la, você pode configurar um relay SMTP em Global SMTP ou nas configurações do domínio de e-mail.

A      mail                 VPS_IP
MX     @                    mail.example.com
TXT    @                    v=spf1 a mx ip4:VPS_IP -all
TXT    _dmarc               v=DMARC1; p=quarantine; rua=mailto:[email protected]
TXT    Hestia生成的DKIM名称    Hestia生成的DKIM公钥
PTR    VPS_IP               mail.example.com

Vá em Server Settings → Firewall e exclua ou restrinja as regras desnecessárias:

• 8083/TCP: permitir apenas o IP fixo do administrador ou a faixa de VPN;
• 22/TCP: permitir apenas origens de operações; mudar a porta não substitui a autenticação por chave;
• DNS, FTP, POP3: desativar se o serviço correspondente não estiver habilitado;
• Portas de banco de dados: não abrir para a internet pública;
• Portas web: abrir apenas 80/443.

Ver os listeners e regras atuais:

ss -lntup
iptables -S
fail2ban-client status

As atualizações do firewall do Hestia reconstroem as regras. Se você realmente precisar de personalização avançada, coloque os scripts da forma oficial em:

/usr/local/hestia/data/firewall/custom.sh

Antes de modificar, mantenha uma sessão de console da VPS aberta e teste se o script não vai bloquear o seu acesso SSH. Não sobrescreva repetidamente a mesma porta com UFW, iptables manual, o firewall da nuvem e as regras do painel ao mesmo tempo, ou no final será muito difícil saber qual camada está em vigor.

Primeiro configure uma chave pública SSH para o administrador diário e verifique em outro terminal que você consegue entrar:

install -d -m 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Após confirmar que o login por chave funciona, considere desativar o login de root por senha. Antes de editar a configuração do SSH, mantenha um método de acesso por console:

sshd -t
systemctl reload ssh

Os usuários de site não devem obter privilégios SSH desnecessários por padrão. Quando o acesso Shell for realmente necessário, use o mínimo privilégio e evite adicionar usuários do painel ao grupo sudo ou Docker. O grupo Docker está próximo dos privilégios de root e não é adequado como ferramenta de conveniência para usuários comuns de sites.

O HestiaCP pode gerar backups por usuário; o comando comum é:

v-backup-user 用户名
ls -lh /backup

Antes de restaurar, ensaie em um ambiente de teste:

v-restore-user 用户名 用户名.日期-时间.tar

O backup local /backup ainda está na mesma VPS que o site. Se o disco do sistema falhar, a conta for excluída ou a máquina inteira for perdida, os backups locais também podem ser perdidos, então copie-os para pelo menos um outro local de armazenamento em outra máquina.

O Hestia oferece suporte oficial a hosts de backup FTP, SFTP e Rclone. Ao usar SFTP, prefira chaves e não trate senhas em texto simples como solução de longo prazo. O Hestia 1.9 e posteriores também incluem um processo de backup incremental baseado em Restic; o restic.conf gerado ao criar o repositório pela primeira vez contém a chave necessária para a restauração e deve ser copiado separadamente com segurança.

Conclua pelo menos um ensaio de restauração antes de entrar em produção:

1. Acionar manualmente um backup de usuário;
2. Confirmar que o objeto em outra máquina realmente existe e tem tamanho razoável;
3. Restaurar em um usuário de teste ou VPS de teste;
4. Verificar os arquivos do site, os bancos de dados, as caixas de e-mail e a configuração de DNS;
5. Registrar a duração da restauração e os itens faltantes.

"A tarefa de backup mostra sucesso" não é suficiente; só um backup que pode ser restaurado conta como backup válido.

O painel de controle tem capacidade administrativa próxima de root e não deve permanecer em uma versão antiga por muito tempo. 1.10.4 é a versão estável atual no momento em que este artigo foi escrito, mas continuará mudando; antes de operar de fato, consulte as Releases oficiais e a página de atualização do painel.

Antes de atualizar:

v-backup-user 用户名
df -h
free -h
apt update
apt list --upgradable

Depois:

1. Ler as notas de versão entre a versão atual e a versão de destino;
2. Salvar a configuração do painel, os backups de usuário e as cópias em outra máquina;
3. Confirmar que há espaço suficiente de disco e inodes;
4. Realizar a atualização pela página de atualização do Hestia em horários de baixo movimento;
5. Após atualizar, verificar web, banco de dados, e-mail, certificados, tarefas agendadas e backups;
6. Não atualizar o Ubuntu entre distribuições diretamente sem instruções oficiais.

As versões recentes incluem várias correções de segurança, o que mostra ainda mais que "o painel abre, então não precisa atualizar" não é uma estratégia de segurança. Também não ative o Web Terminal e a API não utilizados, para evitar ampliar a superfície de gestão exposta.

• Usar um sistema de 64 bits novo com suporte oficial;
• panel.example.com resolve corretamente para a VPS;
• O painel tem um certificado HTTPS válido emitido;
• A senha do administrador é única e a autenticação de dois fatores está ativada;
• 8083 e o SSH estão restritos a origens de administrador;
• DNS, FTP, e-mail, API e Web Terminal não utilizados estão desativados;
• Cada site usa seu próprio usuário, banco de dados e senha;
• Sites, bancos de dados, caixas de e-mail e certificados do painel foram testados;
• Os backups foram copiados para outra máquina e um ensaio de restauração foi concluído;
• Os métodos de atualização, solução de problemas e login de emergência foram documentados.

O valor do HestiaCP não é "clicar para instalar o WordPress", mas colocar vários sites, usuários, bancos de dados, certificados, DNS, e-mail, firewall e backups em um processo de gestão repetível. O que realmente determina a estabilidade é usar um sistema limpo antes da instalação, habilitar apenas os componentes necessários, restringir a entrada do painel, isolar os usuários dos sites e colocar os backups em outra máquina e verificar que podem ser restaurados.

Quando você hospeda apenas sites, prefira Ubuntu 24.04, Nginx/PHP-FPM, MariaDB e Fail2Ban, e desative e-mail, BIND, FTP, API e Web Terminal; quando você realmente precisar de e-mail auto-hospedado, reserve custo operacional extra para PTR, DNS, portas, reputação de IP e backups em outra máquina.

• HestiaCP Getting Started e parâmetros de instalação
• HestiaCP 1.10.4 Releases
• HestiaCP SSL Certificates
• HestiaCP Firewall
• HestiaCP Backup & Restore
• HestiaCP Email and mail server