Panelica vs VestaCP
VestaCP n’est plus maintenu depuis 2018 et a été touché par un incident de porte dérobée dans la chaîne d’approvisionnement, plusieurs CVE non corrigées (RCE, injection de commandes, élévation de privilèges) et l’absence de compatibilité avec PHP 8.x. Si vous utilisez encore VestaCP, la seule question est de savoir vers quelle solution migrer.
Ce que vous payez réellement chaque mois
VestaCP ne propose aucune offre payante. Le coût se mesure en risque pour votre sécurité, pas en dépenses.
Les points forts de Panelica et de VestaCP
Présence de chaque fonctionnalité sur chaque plateforme, sans module tiers. « Partielle » signifie que la fonctionnalité existe, mais qu’elle est limitée ou nécessite une extension payante.
| Fonctionnalité | Panelica | VestaCP |
|---|---|---|
| Maintenance active | ✓ Versions publiées chaque semaine | Abandonné depuis 2018 |
| Compatibilité avec PHP 8.3 / 8.4 | ✓ Toujours à jour | PHP 7.x uniquement |
| CVE publiques non corrigées | Aucune | Multiples vulnérabilités RCE / injections de commandes |
| Intégrité de la chaîne d’approvisionnement | Versions signées + sommes de contrôle | Incident de porte dérobée dans l’installateur en 2018 |
| Moteur web moderne | ✓ Apache 2.4.67 + Nginx 1.29 | Anciennes versions d’Apache/Nginx sans correctifs |
| Copilote IA intégré | OpsAI · 15 experts | , |
| Applications natives iOS et Android | ✓ sur l’App Store / Google Play | , |
| Isolation du noyau en 5 couches | ✓ cgroups + ns + chroot + FPM + permissions | FPM de base uniquement |
| Migration en un clic depuis VestaCP | ✓ Importateur préservant les mots de passe chiffrés | N/A |
| Gestionnaire Docker | ✓ 99 modèles | , |
| Boîte à outils WordPress | ✓ Boîte à outils complète + Redis Boost | , |
| Interface moderne | ✓ React 19 + SSE en temps réel | Interface de l’époque 2014 |
| Responsabilité commerciale en cas de compromission | Plus sûr au regard du RGPD avec une pile à jour | CVE non corrigées = risque de compromission |
Dans quels cas choisir l’un ou l’autre
Il n’y a aucune raison valable de conserver VestaCP. La seule décision honnête est de migrer. Reste à savoir vers quel panneau.
Choisissez Panelica si…
- Vous souhaitez une migration qui préserve les mots de passe chiffrés afin que les utilisateurs finaux puissent conserver leurs mots de passe actuels.
- Vous souhaitez une compatibilité avec PHP 8.3 / 8.4 pour que vos applications puissent réellement fonctionner.
- Vous souhaitez des correctifs de sécurité réguliers, et non une pile figée depuis 2018.
- Vous souhaitez bénéficier d’emblée d’applications natives d’IA et mobiles, du mode revendeur et de Docker.
- Vous devez réduire votre responsabilité en cas de violation de données dans le cadre du RGPD / CCPA et des audits sectoriels.
Pourquoi conserver VestaCP
- Nous n’en avons trouvé aucun en 2026. La porte dérobée de 2018, les RCE non corrigées et la version PHP 7.x figée font de toute utilisation continue en production un risque sérieux.
- HestiaCP est le successeur le plus proche dans l’esprit si vous souhaitez une interface similaire : il a dérivé de Vesta, corrigé la porte dérobée et poursuit la maintenance.
- Panelica est le choix naturel si vous souhaitez également une architecture de 2026 et un ensemble de fonctionnalités plus complet.
Migrer depuis VestaCP en un clic
L’outil d’importation Panelica se connecte à votre serveur VestaCP, détecte tous les sites, puis copie les fichiers, les bases de données MySQL, les boîtes mail Exim, les zones DNS et les certificats SSL, tout en préservant chaque empreinte de mot de passe octet pour octet. Les utilisateurs finaux n’ont jamais besoin de réinitialiser leur mot de passe. La migration est la seule façon sûre de quitter VestaCP.
Gratuit pour toujours. Vraiment.
Conservez gratuitement trois domaines pour toujours, sans carte bancaire, sans date d’expiration et sans fonctionnalités dégradées. Passez à Professional (4,99 $/mois) uniquement lorsque vos besoins dépassent cette offre.
Des prix réels, vérifiables sur notre page des tarifs. Aucune mise à niveau cachée, aucun frais supplémentaire, aucune tarification par niveau liée au compte.
Voir les tarifs de PanelicaÀ propos de la migration depuis VestaCP
VestaCP est-il vraiment mort ?
Oui. Le projet Vesta en amont n’est pratiquement plus maintenu depuis 2018, après la découverte d’une porte dérobée dans la chaîne d’approvisionnement de son programme d’installation officiel. Plusieurs CVE (RCE, injection de commandes, élévation de privilèges, XSS) ne sont toujours pas corrigées au niveau du panneau. L’écosystème PHP 8.x a évolué et VestaCP ne peut pas héberger d’applications PHP modernes.
Que s’est-il passé avec VestaCP en 2018 ?
Un attaquant a compromis le script d’installation officiel et y a intégré une porte dérobée qui exfiltrait des identifiants. Tous les serveurs installés pendant la période de compromission ont été infectés par cette porte dérobée. Peu après, le projet a perdu l’attention de ses responsables de maintenance. HestiaCP a dérivé du code, supprimé la porte dérobée et poursuit la maintenance, mais le code source original de VestaCP n’est pas sûr à installer.
Puis-je migrer de VestaCP vers Panelica ?
Oui. L’outil d’importation de Panelica se connecte à votre serveur VestaCP et copie les fichiers, les bases de données MySQL, les boîtes mail Exim, les zones DNS et les certificats SSL, tout en préservant octet pour octet les empreintes SHA512-CRYPT des mots de passe des e-mails et de MySQL. Les utilisateurs finaux n’ont jamais besoin de réinitialiser leur mot de passe. Testé sur des serveurs Vesta 0.9.8-x.
Qu’en est-il de HestiaCP, qui a dérivé de VestaCP ?
HestiaCP constitue une amélioration légitime : il est maintenu, le problème de chaîne d’approvisionnement a été corrigé et il couvre les fonctions essentielles. Si vous souhaitez réduire au minimum les changements par rapport à l’interface de VestaCP, HestiaCP est le choix naturel. Si vous souhaitez une architecture de 2026 (Go + React 19 + cgroups + IA + applications mobiles), Panelica est le choix naturel. Les deux sont gratuits.
La porte dérobée de VestaCP est-elle toujours active sur les installations ?
Les serveurs installés pendant la période de compromission de 2018 peuvent toujours contenir la porte dérobée. Même les serveurs installés avant ou après cette période peuvent encore exécuter du code de 2018 non corrigé, avec plusieurs CVE toujours ouvertes. La seule hypothèse sûre est que tout serveur VestaCP en production doit être migré et que le serveur source doit être considéré comme compromis.