TNS Panel
Comenzar

Guía del cliente

La interfaz de cliente está en https://<host>:2083. Los administradores y los revendedores ven las mismas pantallas de las cuentas que administran (sin suplantar) en su propia interfaz. Lo que puede hacer un cliente depende de su plan y, si ingresa como sub-usuario, de los permisos de ese ingreso.

Los planes pueden limitar: sitios, subdominios, dominios estacionados, dominios de correo, casillas, bases, cuentas de FTP, zonas, contenedores, tareas programadas, correos por hora, disco, inodos, transferencia y CPU/RAM/IO/procesos. Cuando se alcanza un límite, el panel lo indica con un mensaje específico (ver Preguntas frecuentes).

Ingreso, clave y segundo factor

  • Los clientes pueden usar un segundo factor (TOTP). Es opcional para los clientes y obligatorio para los administradores y revendedores.
  • Olvidé la clave en la página de ingreso envía por correo un enlace de un solo uso (válido una hora) a la dirección de recuperación guardada en la cuenta. La respuesta es idéntica exista o no la cuenta. Cambiar esa dirección de recuperación requiere su clave actual.
  • Cambiar la clave o el segundo factor cierra todas sus sesiones.

Sitios, dominios y alias

Un cliente tiene un usuario UNIX y un directorio home; cada sitio es un dominio con una raíz pública. La raíz del primer sitio es /home/<cliente>/public_html; los sitios adicionales usan /home/<cliente>/<dominio>/public_html (la misma convención que CWP y DirectAdmin).

  • Los alias son nombres adicionales que sirve el mismo sitio.
  • Los dominios estacionados son nombres adicionales agregados a un sitio; los cubre el certificado comodín del sitio y nunca piden un certificado propio.
  • Los subdominios se crean como sitios.
  • Las redirecciones, páginas de error, listado de índice, tamaño de subida, protección contra hotlinking, bloqueo por IP, HTTP→HTTPS y HSTS, y directorios protegidos con contraseña se eligen entre opciones fijas en Sitios web → sitio → Opciones, no editando la configuración del servidor. La redirección a HTTPS y HSTS vienen activados por defecto (su plan fija el valor predeterminado; puede cambiarlo por sitio). HSTS sólo se envía en sitios con un certificado válido. Los directorios protegidos con contraseña usan hashes SHA-512 guardados fuera de su raíz pública.
  • .htaccess es compatible, con sobrescrituras completas en Apache.
  • Las directivas de servidor personalizadas (texto crudo de Apache/nginx) son un permiso que concede el administrador, desactivado por defecto, porque equivalen a root en el nodo.
  • Un sitio nuevo no puede usar un nombre que pertenezca al dominio, zona o árbol de subdominios de otro cliente, ni los nombres reservados del nodo.

Certificados

Los certificados los emite y renueva automáticamente Let's Encrypt. Si la zona DNS del dominio la sirve este nodo, un certificado comodín (*.ejemplo.com y ejemplo.com) cubre el sitio y cualquier subdominio que agregue después. Si no, cada nombre obtiene un certificado normal por HTTP-01, así que el dominio ya tiene que apuntar al nodo.

  • La emisión bajo demanda tiene un límite de frecuencia por dominio para proteger la cuota compartida de Let's Encrypt.
  • Suba su propio certificado (Sitios web → sitio → Certificado propio): certificado, clave y cadena; la clave tiene que corresponder.
  • Generador de CSR: cree una clave y una solicitud de firma para un certificado comercial; la clave privada se guarda cifrada para instalarla cuando llegue el certificado.

DNS

Si el nodo sirve su DNS, DNS le permite administrar zonas y registros (A, AAAA, CNAME, MX, TXT, SRV, NS, CAA). Los registros se validan; un TXT de más de 255 bytes (como una clave DKIM) se divide correctamente. Los destinos sin punto final se rechazan, porque se convierten en silencio en nombre.zona.zona.

  • Las zonas nuevas salen de una plantilla. Los revendedores y el administrador pueden definir sus propias plantillas de zona (servidores de nombres, MX, TXT, CNAME).
  • DNSSEC: se activa por zona; el panel muestra el registro DS para darle a su registrador.
  • PTR (DNS inverso): el panel muestra cómo debe ser el PTR. Sólo puede publicarlo si su proveedor de IP delega la zona inversa a este nodo; si no, configúrelo en el panel del proveedor.
  • Un nombre de zona que se superpone con el árbol de otro cliente (padre o subdominio) se rechaza.
  • Los registros de correo (SPF, DKIM, DMARC con p=none) se publican automáticamente al agregar un dominio de correo, sólo si este nodo sirve la zona.

Si su DNS está en otro lugar, el panel le entrega los registros que debe agregar.

Correo

Correo → Dominios de correo agrega un dominio al sistema de correo del nodo. Sólo puede agregar un dominio que ya exista en su cuenta como zona o sitio. Después:

  • Casillas con cuota. Las claves se guardan con hash; el panel nunca las guarda en texto plano.
  • Alias (reenvíos) y un catch-all (por defecto se rechaza).
  • Webmail (Roundcube) en https://webmail.<dominio>: los usuarios ingresan con su dirección y la clave de la casilla. No se necesita una cuenta del panel.
  • La autoconfiguración para Thunderbird y Outlook/Apple Mail se publica por defecto en cada dominio.
  • Filtros, respuesta automática y listas de bloqueo/permitido (Correo → Filtros): se eligen entre opciones fijas; el panel escribe el script de Sieve. El reenvío en los filtros tiene un tope por casilla. La respuesta automática siempre limita las respuestas repetidas.
  • Listas de discusión: si el administrador habilitó un motor de listas, puede crear listas desde Correo → Listas.
  • Rastreo de entrega (Correo → Rastreo) muestra qué pasó con un mensaje (entregado, rebotado, diferido), filtrado sólo a sus propios dominios.
  • DKIM: la firma es automática. Para rotar una clave, use el flujo de tres pasos: Preparar (clave nueva, registro DNS nuevo, sigue firmando con la anterior), esperar a que el DNS se propague, Confirmar (cambiar la firma) y luego Retirar (borrar el registro anterior).
  • Envío desde sitios web: mail() de PHP funciona y está limitado por los correos por hora de su plan. El envío autenticado por el puerto 587 cuenta contra el mismo límite horario. Si un mensaje no puede atribuirse a una cuenta, se rechaza con un error temporal y el remitente reintenta. Los usuarios autenticados sólo pueden enviar con su propia dirección.
  • La firma DKIM se aplica al envío autenticado (puertos 587/465), firmado con el dominio del remitente del sobre. El correo de mail() de PHP no lleva firma DKIM; use SMTP autenticado desde su aplicación cuando necesite correo firmado.

La migración remota de casillas desde otro servidor IMAP (Correo → Casilla → Importar) está disponible para los administradores; la casilla de destino tiene que ser nueva y estar vacía.

Bases de datos

Bases de datos crea bases y usuarios de MariaDB o PostgreSQL. Los nombres son <cliente>_<nombre>; el prefijo se agrega automáticamente.

  • Cree una base, cree un usuario de base y otorgue al usuario acceso a la base. Un usuario puede tener acceso a varias bases.
  • phpMyAdmin / Adminer se abren desde el panel con un clic, ya con sesión iniciada. Sólo son accesibles a través del panel, nunca en una URL pública.
  • Acceso remoto (Bases de datos → Acceso remoto): el administrador elige la política del nodo: cerrado (por defecto), abierto a todos, o sólo a las direcciones IP que usted registre. Con la tercera política usted agrega sus propias direcciones; los permisos de MySQL quedan limitados a esos hosts además del cortafuegos.
  • Los usuarios de base no tienen privilegios globales y nunca pueden otorgar acceso a otros.
  • El personal de soporte puede abrir una base con una identidad temporal que vence a los 30 minutos; su clave real nunca se les muestra.

FTP y SFTP

FTP crea cuentas virtuales llamadas <cliente>_<nombre>, cada una anclada en un subdirectorio de su home.

  • FTP requiere TLS (FTPS, explícito); el FTP plano está desactivado. Puertos pasivos 30000-30100.
  • Las cuentas FTP virtuales no son usuarios UNIX; los archivos que suben le pertenecen a usted y el servidor web puede leerlos.
  • SFTP con el usuario UNIX de su cuenta funciona para toda cuenta activa. SFTP es el acceso que tiene cada cuenta por defecto.
  • Claves SSH (Acceso → Claves SSH): agregue una clave pública para su cuenta. Una clave no concede acceso por sí sola: lo que puede hacer la cuenta lo decide su configuración de shell (sólo SFTP o SFTP más shell). El panel sólo administra las claves que agregó.
  • El acceso a shell, si su proveedor lo habilitó, corre dentro de una jaula que muestra sólo sus archivos, sus procesos y su tmp. El reenvío de puertos y los túneles por SSH están desactivados.

Administrador de archivos

Acceso → Administrador de archivos lista, sube (hasta 1 GiB por archivo, en flujo continuo), descarga, crea carpetas, renombra, borra, cambia permisos, comprime y descomprime .zip. Funciona sólo dentro de su home, como su usuario, y está limitado por su cuota de disco. No se pueden fijar los bits setuid/setgid/sticky. Los listados grandes se paginan.

Terminal

Acceso → Terminal abre una consola en su navegador (WebSocket) dentro de la misma jaula que SSH. Sólo está disponible si el proveedor habilitó el acceso a shell para su cuenta; si no, la página le indica que lo solicite. Como máximo 3 terminales por cuenta; las terminales inactivas se cierran a los 30 minutos; los sub-usuarios no pueden abrirla. Suspender la cuenta cierra las terminales abiertas.

Tareas programadas (cron)

Tareas programadas: programe un comando con una programación de cinco campos o con @hourly, @daily, @weekly, @monthly, @yearly. @reboot no está permitido. Las tareas se ejecutan como su usuario, dentro de la misma jaula que SSH, y dentro de los límites de CPU/RAM de su cuenta. El % en un comando se maneja automáticamente. Puede desactivar una tarea sin borrarla. Si una tarea no se ejecuta, revise el tope de tareas programadas del plan y que cron esté activo (el administrador lo ve en Servicios).

Aplicaciones de un clic

Sitios web → Aplicaciones instala desde un catálogo cerrado, con versiones fijadas, dentro de un sitio:

WordPress, Drupal, Joomla, Nextcloud, Moodle, PrestaShop, OpenCart, phpBB, osTicket y Kanboard.

  • El panel crea la base y el usuario y escribe la configuración. Para WordPress, Drupal, Joomla y otras que terminan la instalación en el navegador, usted completa el último paso en el sitio.
  • Algunas aplicaciones necesitan extensiones de PHP o una versión de PHP que el nodo puede no tener; en ese caso el panel se niega antes de descargar nada e indica cuál falta (HTTP 409). Por ejemplo, PrestaShop sólo admite hasta PHP 8.1.
  • La instalación se verifica mirando el resultado en disco, no confiando en el código de salida del instalador.
  • Matomo, Dolibarr, Piwigo y Odoo no se ofrecen.

Herramientas de WordPress (Sitios web → WordPress): detectar instalaciones, revisar plugins y temas con vulnerabilidades conocidas, actualizar el núcleo o un componente, modo mantenimiento, y clonar un sitio con su base.

Despliegue desde Git y staging

Sitios web → Git despliega un sitio desde un repositorio.

  • Sólo URL HTTPS. Para un repositorio privado, agregue un token de acceso (guardado cifrado). No se aceptan URL de SSH ni de git://.
  • El panel clona en un directorio de trabajo fuera de su raíz pública y luego publica en la raíz del sitio sin el directorio .git. No se siguen los submódulos.
  • Staging: crea staging.<dominio> como un sitio real, marcado noindex en los tres servidores web. Publicar copia los archivos del staging sobre el sitio en producción, borrando los archivos del sitio en producción que ya no existen en el staging. No toca la base de datos, y crear un sitio de staging no clona la base: hasta que apunte la configuración del staging a otra base, escribe en la misma que producción.

Contenedores y preajustes de aplicaciones

Sitios web → Contenedores (requiere licencia) ejecuta una aplicación como contenedor Podman sin privilegios de root, propiedad de su cuenta, con su propio subdominio y certificado. Usted elige:

  • un preajuste: ASP.NET Core, Node.js, Python, Ruby o Java, con la imagen oficial y el puerto y los volúmenes correctos ya cargados (la página le indica dónde poner su código y en qué puerto escuchar; las aplicaciones deben escuchar en 0.0.0.0); o
  • una imagen que usted indique.

Un contenedor no abre ningún puerto en el host; los visitantes llegan a él por su subdominio en el 443, y corre en una red privada que sólo comparten sus contenedores. Los contenedores cuentan contra su plan y su cuota de disco, y se detienen cuando se suspende la cuenta. Vuelven después de un reinicio del nodo.

Un manifiesto de Kubernetes (YAML de Pod/Deployment) se puede desplegar por la API (POST /api/contenedores/kube) y se ejecuta con podman kube play; los puertos del host, la red del host y los contenedores privilegiados se rechazan. Todavía no hay una pantalla para esto (Próximamente).

Sub-usuarios

Acceso → Sub-usuarios le permite crear ingresos adicionales para su cuenta (un empleado, una agencia) y marcar las áreas que puede usar cada uno: sitios, DNS, correo, bases, FTP, archivos, backups, almacenamiento, cron, contenedores, certificados, estadísticas. Todos pueden ver su propio consumo y cambiar su propia clave. Los sub-usuarios no pueden crear otros sub-usuarios, cambiar sus propios permisos, abrir la terminal, ni hacer nada que pertenezca al administrador o al revendedor. Quitar un permiso surte efecto de inmediato al cerrar las sesiones de ese sub-usuario.

Backups y restauración

El nodo respalda todas las cuentas, haya o no contratado un plan de backup. Lo que usted puede ver y restaurar por sí mismo depende de su plan de backup (días de historia a los que puede acceder; 0 significa sin límite). Sin plan no puede explorar ni disparar backups, y la página lo indica; consulte a su proveedor.

  • Su backup incluye su directorio home y sus bases de datos (volcadas de forma consistente) y las identidades de las bases (como hashes, para que las claves sobrevivan a una restauración).
  • Respaldar ahora: permitido, con una espera de una hora entre ejecuciones manuales.
  • Restaurar por ítem (Backups → Restaurar): explore una instantánea, elija archivos/carpetas o una base, y restaure junto al original (por defecto; no se sobrescribe nada, los archivos aparecen en una carpeta dentro de su home) o encima del original. Una restauración se rechaza si no entra en su cuota de disco, y un ítem que no está en la instantánea es un error, no un éxito. Las bases se restauran completas.
  • Descarga: genera un .tar.gz de una instantánea para descargar. El panel lo prepara en segundo plano y luego vence; uno a la vez por cuenta.
  • Su propio destino de backup (Backups → Mi destino): elija adónde van también sus copias: SFTP, S3 o B2 directamente; FTPS y almacenamiento en la nube de consumo (Google Drive, OneDrive, Dropbox, Box) mediante rclone. Es un repositorio aparte, así que pierde la deduplicación frente a otros clientes. Los destinos que apunten a loopback, redes privadas, direcciones link-local o de metadatos de la nube se rechazan. Para SFTP el panel genera una clave para el destino y le muestra la mitad pública; usted la agrega en su servidor y confirma la huella del servidor antes de la primera copia. Los destinos en la nube usan tokens que pueden vencer o revocarse, y el backup se detiene en silencio hasta que lo renueve: el asesor informa los destinos que no se ejecutaron.

Almacenamiento externo (FTPS/SFTP/S3 montado en su home)

Backups → Almacenamiento: un almacenamiento remoto que conectó su proveedor (SFTP, S3 o FTPS) se monta en ~/storage. Se ve como cualquier carpeta, aparece por FTP y en el administrador de archivos, y no se incluye en los backups de su home ni en los escaneos de malware. La cuota es la del proveedor remoto, no la del nodo. El almacenamiento SFTP necesita que se confirme su huella de servidor antes de montarse. Si el remoto es inalcanzable, el montaje simplemente no aparece.

Próximamente: devolverle ese almacenamiento como endpoint S3 con sub-usuarios.

Estadísticas

Estadísticas muestra visitantes, páginas, referencias y tráfico por sitio a partir de sus propios registros de acceso, usando GoAccess; el informe se procesa una vez por rotación de registros, y los registros viejos pueden rotarse o borrarse sin perder el historial. El informe se abre en su propia pestaña por motivos de seguridad. La transferencia mensual frente a su plan se muestra en Consumo, y se aplica la política de excedente de su plan.

Registros y consumo

  • Registros: vea la última parte del registro de acceso, de errores, de PHP y de consultas lentas de cada sitio, o descárguelo. La consulta queda auditada porque los registros de acceso contienen las direcciones IP de los visitantes.
  • Consumo: historial de disco, inodos, transferencia y CPU/RAM/IO de su cuenta.
  • Escaneo de malware: revisa sus propios archivos e informa; nunca borra. Los informes muestran un indicador, no el contenido de los archivos.