Thay thế aaPanel: tiêu chí chọn panel an toàn hơn và cách chuyển

Nếu bạn đang tìm phần mềm thay thế aaPanel, hãy bắt đầu từ lý do bạn muốn rời đi. Cần một panel mã nguồn mở hoàn toàn có mail và DNS: xem HestiaCP. Chỉ chạy ứng dụng web và để mail ở nơi khác: CloudPanel. Cần cách ly từng tài khoản, panel không chạy bằng root và có đường bán hosting (đại lý, WHMCS): ZoPanel. Cần hệ sinh thái lớn nhất và chấp nhận giá theo số tài khoản: cPanel hoặc DirectAdmin.

aaPanel là panel miễn phí rất phổ biến ở Việt Nam và châu Á, dễ cài, giao diện nhiều công cụ. Bài này không nhằm chê aaPanel, mà giúp bạn trả lời ba câu hỏi: có nên rời đi không, nếu rời thì chọn gì, và chuyển sang như thế nào mà không gián đoạn. Mọi thông tin về các panel khác được lấy từ nguồn công khai tại thời điểm viết (tháng 10/2026); hãy kiểm tra lại trước khi quyết định. Chúng tôi làm ra ZoPanel nên có lợi ích riêng, và đã cố gắng giữ tiêu chí công bằng.

Vì sao nhiều người tìm thay thế aaPanel?

Từ các câu hỏi chúng tôi nhận được và thảo luận trong cộng đồng, có bốn lý do lặp lại:

1. Lịch sử bảo mật. aaPanel có một số lỗ hổng đã được công bố, ví dụ:

CVE	Phiên bản	Mô tả ngắn
CVE-2020-14950	tới 6.6.6	Người dùng đã đăng nhập có thể chạy lệnh tuỳ ý (đã vá ở bản sau)
CVE-2021-37840	tới 6.8.12	Chiếm phiên WebSocket của terminal web
CVE-2022-26252	6.8.21	Duyệt thư mục, lộ private key SSH của root
CVE-2026-29859	7.57.0	Upload file tuỳ ý dẫn tới thực thi mã, công bố 3/2026

Mọi phần mềm lớn đều có lỗ hổng, kể cả panel trả phí. Nhưng với control panel, câu hỏi then chốt là kẻ tấn công có được gì khi khai thác thành công: một panel nắm quyền root thì một lỗ hổng ở giao diện web có thể thành toàn quyền trên server.

2. Cách cài đặt. Tại thời điểm viết, lệnh cài trên trang tải về của aaPanel tải script với tuỳ chọn bỏ qua kiểm tra chứng chỉ (curl -k hoặc wget --no-check-certificate). Có thể nhà phát triển làm vậy vì lý do tương thích, nhưng với một script chạy bằng root, nhiều quản trị viên muốn kết nối được xác thực đầy đủ.

3. Cách ly giữa các website. Khi bạn host website cho nhiều khách, câu hỏi không chỉ là "website chạy được không" mà là "website A bị hack thì website B có an toàn không". Hãy tự kiểm tra trên server của bạn: các website chạy dưới user Linux nào, PHP-FPM có pool riêng không, có giới hạn CPU, RAM theo từng site không.

4. Hỗ trợ hệ điều hành và mô hình bán. Phần hỏi đáp trên trang tải về liệt kê danh sách hệ điều hành cụ thể; nếu bạn muốn dùng bản phân phối mới nhất, hãy đối chiếu trước. Một số tính năng nằm ở bản Pro, mà tại thời điểm viết đang được khuyến mãi 399 USD trọn đời.

Chưa chuyển được ngay? Gia cố aaPanel hôm nay

Chuyển panel cần thời gian. Trong lúc đó, hãy làm ngay những việc sau, vì chúng áp dụng cho bất kỳ panel nào:

1. Cập nhật aaPanel lên bản mới nhất và theo dõi thông báo bảo mật của dự án.

2. Không để cổng panel mở ra internet. Chỉ cho phép IP văn phòng hoặc IP VPN của bạn bằng tường lửa:

   # ví dụ với UFW, thay 7800 bằng cổng panel của bạn
   sudo ufw allow from 203.0.113.7 to any port 7800 proto tcp
   sudo ufw deny 7800/tcp
   

   Hoặc truy cập qua SSH tunnel: ssh -L 7800:127.0.0.1:7800 user@server rồi mở https://127.0.0.1:7800 trên máy mình.

3. Giữ "security entrance" (đường dẫn đăng nhập ngẫu nhiên) và đổi tên đăng nhập, mật khẩu mặc định.

4. Tắt những gì không dùng: plugin, terminal web, phpMyAdmin công khai.

5. Backup ra ngoài server: theo tài liệu tham chiếu của aaPanel, backup mặc định nằm trong /www/backup trên chính server, nên một sự cố ransomware sẽ lấy luôn chúng. Hãy chép bản sao lên kho lưu trữ khác.

6. Kiểm tra dấu hiệu xâm nhập: tiến trình lạ (ps aux --sort=-%cpu | head), cron lạ (crontab -l, /etc/cron.d), user UID 0 thừa (awk -F: '$3==0' /etc/passwd).

Tiêu chí chọn panel thay thế aaPanel

Đừng so độ dài danh sách tính năng. Hãy hỏi từng panel năm câu sau:

1. Tiến trình nào chạy bằng root? Giao diện web có chạy bằng root không, hay có lớp tách quyền?
2. Website được cách ly ra sao? User riêng, PHP riêng, giới hạn CPU, RAM, tiến trình, I/O cho từng tài khoản?
3. Cài đặt và cập nhật được xác minh thế nào? Có chữ ký số, checksum, tự rollback khi lỗi không?
4. Hỗ trợ hệ điều hành nào, trong bao lâu?
5. Mô hình giá khi bạn lớn lên: miễn phí hoàn toàn, theo số tài khoản hay theo server?

Bài Vì sao control panel hosting không bao giờ nên chạy bằng root giải thích chi tiết câu hỏi đầu tiên.

So sánh các lựa chọn thay thế aaPanel

	HestiaCP	CloudPanel	ZoPanel	cPanel & WHM
Mô hình	Mã nguồn mở GPLv3	Miễn phí	Free (10 website), Pro theo server	Trả phí theo số tài khoản
Mail, DNS	Có, có	Không, không	Có, có (thành phần tuỳ chọn)	Có, có
Hệ điều hành	Debian 12, 13; Ubuntu 22.04, 24.04, 26.04	Ubuntu 22.04, 24.04, 26.04; Debian 12, 13	Ubuntu 22.04, 24.04; Debian 12, 13	Xem tài liệu cPanel
Hợp với	Hosting truyền thống tự quản	Developer, ứng dụng PHP/Node/Python	Agency, công ty hosting, cần cách ly	Shared hosting quy mô lớn, hệ sinh thái rộng

HestiaCP là lựa chọn gần với aaPanel nhất về "một server, đủ web, mail, DNS", nhưng hoàn toàn mã nguồn mở theo GPLv3. Bạn sẽ thiếu kho ứng dụng một chạm và phải tự làm quen giao diện khác.

CloudPanel miễn phí, gọn, chạy PHP, Node.js, Python và reverse proxy trên x86 lẫn ARM64, yêu cầu tối thiểu 2 GB RAM. Nhà phát triển cố tình không làm mail server, nên nếu bạn đang dùng mail trên aaPanel, phải chuyển mail sang dịch vụ khác.

cPanel & WHM có hệ sinh thái lớn nhất. Tại thời điểm viết, bảng giá cPanel bắt đầu từ 29,99 USD/tháng cho 1 tài khoản (Solo) và 69,99 USD/tháng cho tối đa 100 tài khoản (Premier), thêm 0,49 USD cho mỗi tài khoản vượt mức. Hợp lý khi bạn cần sự quen thuộc với khách hàng, kém hợp lý với VPS cá nhân.

ZoPanel được thiết kế cho đúng những điểm ở phần trên:

• Panel web không chạy bằng root. Panel chạy bằng user không đặc quyền; một agent root riêng chỉ nhận danh sách thao tác cố định và kiểm tra lại mọi tham số.
• Mỗi tài khoản một sandbox systemd với user Linux, PHP-FPM pool và giới hạn CPU, RAM, tiến trình, I/O riêng; tiến trình của khách khác bị ẩn; ứng dụng Docker chạy trong user namespace.
• Cài đặt có xác minh. Script cài kiểm tra chữ ký Ed25519 của bản phát hành và checksum SHA-256 trước khi cài; bản cập nhật được agent root xác minh chữ ký và tự rollback nếu phiên bản mới không ổn.
• Lớp bảo vệ có sẵn: UFW, Fail2ban cho SSH và panel, xác thực hai lớp, giới hạn IP vào panel, WAF ModSecurity với OWASP CRS, quét mã độc hằng tuần, Trung tâm bảo mật chấm điểm server.

Hạn chế cần biết: ZoPanel chỉ chạy trên Ubuntu 22.04/24.04 và Debian 12/13, cần cài trên server mới, và hệ sinh thái còn trẻ hơn aaPanel. Gói Free cho 10 website, 10 database và 3 tài khoản hosting; đại lý, API cho WHMCS và backup mã hoá lên S3 cần gói Pro. Xem chi tiết trong tài liệu Bảo mật.

Cách chuyển website từ aaPanel sang panel khác

Hiện không có công cụ nhập trực tiếp backup aaPanel vào các panel trên (trình nhập của ZoPanel đọc backup cPanel và DirectAdmin). Trình cài ZoPanel cũng từ chối cài lên server đang có aaPanel, nên bạn cần một VPS mới. Cách làm an toàn là chuyển từng website:

Bước 1: Chuẩn bị VPS mới và hạ TTL

Cài panel mới lên VPS mới. Với ZoPanel:

curl -fsSL https://get.zopanel.net | sudo bash

Trước ngày chuyển khoảng 24 giờ, hạ TTL của các bản ghi A, AAAA, MX xuống 300 giây.

Bước 2: Lấy file và database từ aaPanel

Theo tài liệu tham chiếu của aaPanel, website nằm mặc định trong /www/wwwroot/. Trên server cũ:

cd /www/wwwroot
tar czf /root/example.com-files.tar.gz example.com
mysqldump -u root -p --single-transaction --default-character-set=utf8mb4 example_db | gzip > /root/example_db.sql.gz

Mật khẩu root MariaDB/MySQL xem trong mục Database của aaPanel. Chép hai file sang máy mới bằng scp hoặc rsync.

Bước 3: Tạo website và nhập dữ liệu trên ZoPanel

1. Website → Thêm website, chọn loại PHP (hoặc WordPress nếu muốn cài mới), đúng phiên bản PHP website đang dùng.
2. Tạo database ở trang Cơ sở dữ liệu, rồi dùng Import / khôi phục để tải file .sql.gz lên.
3. Tải file website vào domains/example.com/public_html bằng Quản lý file (tải file nén lên rồi Giải nén) hoặc SFTP.
4. Sửa wp-config.php hoặc .env theo tên database, user, mật khẩu mới.
5. Nếu website dựa vào quy tắc .htaccess, bật chế độ Apache trong tab Công cụ của website, hoặc chuyển quy tắc sang Nginx.

Với WordPress, sau khi chuyển xong, tab WordPress đọc được bản cài có sẵn để cập nhật an toàn, staging và kiểm tra bảo mật. Xem website đầu tiên để biết đường dẫn và cài đặt SFTP.

Bước 4: Kiểm tra qua file hosts rồi đổi DNS

Thêm dòng IP-VPS-MỚI example.com www.example.com vào file hosts trên máy bạn, kiểm tra website, đăng nhập quản trị, thử form. Ổn thì đổi bản ghi A sang VPS mới; chứng chỉ Let's Encrypt được cấp tự động khi tên miền phân giải về. Giữ server aaPanel chạy thêm một đến hai tuần. Quy trình chi tiết, nhất là phần email, có trong bài chuyển hosting cPanel sang VPS: các bước kiểm kê, TTL, file hosts và email áp dụng y hệt.

Kết luận

aaPanel giúp rất nhiều người bắt đầu với VPS. Khi số website và khách hàng tăng, những câu hỏi về quyền root, cách ly và quy trình cập nhật trở nên quan trọng hơn số lượng tính năng. Nếu chưa chuyển, hãy gia cố aaPanel ngay hôm nay. Nếu chuyển, hãy chọn theo tiêu chí, thử trên VPS mới và chuyển từng website. ZoPanel Free cho phép bạn chuyển thử tới 10 website mà không tốn phí; xem bảng giá khi cần nhiều hơn.

Câu hỏi thường gặp

Panel nào thay thế aaPanel tốt nhất?

Tuỳ nhu cầu: HestiaCP nếu muốn mã nguồn mở có mail và DNS; CloudPanel nếu chỉ chạy ứng dụng web; ZoPanel nếu cần cách ly từng tài khoản và bán hosting; cPanel nếu cần hệ sinh thái lớn nhất và chấp nhận giá theo tài khoản. Hãy cài thử hai lựa chọn trên VPS mới trước khi chuyển.

aaPanel có an toàn không?

aaPanel có một số lỗ hổng đã công bố và đã được vá theo thời gian, như mọi phần mềm lớn. Mức an toàn thực tế phụ thuộc nhiều vào việc bạn cập nhật kịp thời, giới hạn IP vào trang quản trị và có backup ngoài server.

Có chuyển được từ aaPanel sang ZoPanel tự động không?

Hiện chưa. Trình nhập của ZoPanel đọc backup cPanel và DirectAdmin; với aaPanel, bạn chuyển từng website bằng file nén và bản dump database, như hướng dẫn trong bài. ZoPanel cũng cần một server mới, không cài đè lên server đang chạy aaPanel.

Có cài ZoPanel song song với aaPanel trên cùng server được không?

Không nên. Trình cài ZoPanel dừng lại khi phát hiện aaPanel, cPanel hoặc DirectAdmin, vì hai panel cùng quản lý Nginx, PHP và database sẽ ghi đè cấu hình của nhau. Hãy dùng VPS mới rồi chuyển dần website.

Chuyển từ aaPanel có làm website gián đoạn không?

Không, nếu bạn dựng và kiểm tra website trên VPS mới trước, hạ TTL trước một ngày, rồi mới đổi DNS. Với website bán hàng, hãy dump database lần cuối ngay trước khi đổi DNS để không mất đơn.