Monitorizare hosting partajat, fără root: ce primești

Pe un cont de hosting (de obicei cPanel) nu ai root, dar ai fișierele site-ului, cronul și logurile de acces. Agentul rulează în cont, sub utilizatorul lui, iar site-ul e verificat în paralel din afară.

  • agent în cont, fără root
  • raport la 5 min, sondă la 1 min

Ce primești

Ce instalezi

Agentul, cu aceeași comandă ca pe VPS, rulată din terminalul contului, fără root. Se pune singur în crontab-ul contului și își găsește singur webroot-ul.

Ce vede din interior

Amprentele sha256 ale fișierelor din webroot (până la 40.000), tipare de malware în fișierele noi sau modificate, logurile de acces ale contului, crontab-ul, numărul de fișiere și cota.

Ce vede din afară

Zece verificări pe domeniul site-ului: disponibilitate la minut, DNS, certificat TLS, liste de blocare, scripturi și defacement, fișiere expuse, expirarea domeniului, antete, SPF/DMARC și calitatea TLS.

Ce te anunță

Malware în site, campanii de atac în logurile de acces, site căzut, schimbare de DNS, certificat aproape expirat, IP listat, defacement, fișiere expuse, domeniu aproape expirat, agent tăcut.

Ce poate repara

Una, doar cu aprobarea ta: muți fișierele infectate în carantină, în afara webroot-ului, și le poți pune înapoi cu un clic. Fișierele de configurare (wp-config.php, .htaccess) sunt refuzate.

Ce nu vede

Procese, porturi, autentificări SSH, CPU și memorie. Nu sunt ale contului, ci ale serverului, iar a le raporta ca ale tale ar fi dezinformare, nu date. Nici scanare de porturi: toate conturile ies pe același server.

Ce vezi în panou

Fișa hostului are filele Overview, Availability, Resources, Security, Files, Inventory, Checks, Activity și Agent (panoul e în engleză): cota, traficul web, fișierele cu carantina lor, verificările din afară și starea agentului.

Cât ocupă din plan

Un host din plan, cu verificările din afară pe domeniul lui. Alt domeniu din același cont se adaugă separat, ca site extern.

Lista completă, rând cu rând

Fiecare rând spune cât de des se uită, ce compară și ce face: te anunță, apare doar în fișa hostului sau e o remediere pe care o aprobi tu.

din cont

  • Amprente sha256 pe fișierele din webroot (la 5 min) [în fișa hostului]: Comparăm amprentă cu amprentă, nu data modificării, care se poate falsifica. Se recitesc doar fișierele cu dimensiunea, inode-ul sau data schimbării (ctime) diferite: pe aceasta proprietarul fișierului nu o poate pune la loc. Pe un site pe care nu s-a atins nimeni, o rulare nu citește niciun fișier. Până la 40.000 de fișiere pe cont, inventariate în tranșe de cel mult 2.000 pe rulare; peste plafon, panoul spune pe față că inventarul e trunchiat. Pe lângă PHP, HTML și JS sunt urmărite .htaccess, .user.ini, php.ini, extensiile rare (.php3 până la .php8, .phps, .pht, .phar, .shtml) și extensiile duble (x.php.jpg). Un fișier nou, modificat sau șters apare în fișă, fără alertă.
  • Tipare de injecție în conținutul fișierelor (la 5 min) [te anunță]: Webshell-uri, eval ofuscat, uploadere, PHP sub uploads și linii riscante în .htaccess sau .user.ini, căutate în primii și ultimii 64 KB ai fișierelor care oricum se recitesc, deci costul e aproape zero. Un tipar sigur deschide incident critic. Fișierul nu pleacă de pe server: primești fragmentul potrivit (cel mult 40 de caractere) și numărul liniei.
  • Logurile de acces ale contului (la 5 min) [te anunță]: Logurile de acces ale contului (domlogs), rezumate pe fiecare sursă: câte căi diferite încearcă, câte erori primește, unelte de scanare și cereri POST în rădăcină. O campanie susținută deschide un incident.
  • Crontab-ul contului (la 5 min) [în fișa hostului]: Orice sarcină nouă sau ștearsă, cu comanda completă. E una dintre formele de persistență la îndemâna unui cont fără root; celelalte (.htaccess, fișierele prepend, scripturile lăsate în site) sunt urmărite prin inventarul de fișiere.
  • PHP-ul site-urilor, față de PHP2Shell (la 5 min) [te anunță]: Versiunea PHP aleasă pentru site-urile contului (MultiPHP, PHP Selector) și pachetul ei: dacă e afectată de PHP2Shell (CVE-2026-109618, CVE-2026-109619) sau dacă furnizorul a pus deja fixul. Inventarul se reface la 6 ore; o versiune afectată aflată în uz deschide incident.
  • Curățare cu un clic, cu aprobarea ta (la cerere) [cu aprobarea ta]: Bifezi fișierele infectate și le muți în carantină cu un singur clic, care propune lotul, nu îl execută: fiecare mutare se aprobă în panou, cu toate căile la vedere. Fișierele se mută în afara webroot-ului, deci nu mai sunt accesibile din web, dar rămân ca dovadă și se pun înapoi tot cu un clic. Nu rescriem niciodată conținutul unui fișier. wp-config.php, .htaccess, configuration.php și settings.php sunt refuzate: dacă unul dintre ele e infectat, se rezolvă editându-l, nu scoțându-l, altfel o infecție devine o pană totală.

din afară

  • Disponibilitate HTTP (la 1 min) [te anunță]: Cod, timp de răspuns și redirecturi, de pe un server fără legătură cu al tău. Un apex care trimite spre alt domeniu rămâne avertisment, nu verde. O cădere se confirmă cu a doua sondă, după 15 secunde, înainte de alertă.
  • Înregistrări DNS și delegare (la 1 oră) [te anunță]: A, NS și MX, comparate cu linia de bază. Interogăm resolvere publice, nu pe cel al serverului, ca o pană locală să nu treacă drept domeniu dispărut. O schimbare de A sau NS e incident critic.
  • Certificat TLS (la 6 ore) [te anunță]: Emitent, lanț și zile rămase. Avertisment la 21 de zile, critic la 7, ca reînnoirea să nu cadă în weekend. Schimbarea autorității emitente e raportată separat.
  • Liste de blocare (la 6 ore) [te anunță]: Spamhaus ZEN, SpamCop și Barracuda: trei liste care chiar afectează livrarea mailului. Un IP listat e incident critic; o listă care nu răspunde înseamnă „nu știm”, nu „curat”.
  • Scripturi terțe, cookie-uri și defacement (la 6 ore) [te anunță]: Ce se încarcă din afară, ce cookie-uri se scriu fără protecție și cum se schimbă structura paginii. Un script nou apare în fișă; semnele de defacement (mesaj de tip „hacked by”, cuvinte de spam în titlu, JavaScript ofuscat) deschid incident critic.
  • Fișiere sensibile expuse (la 12 ore) [te anunță]: .git, .env, backup-uri, dumpuri și phpinfo. O sondă de control cu nume aleatoriu stabilește întâi cum arată „nu există”, ca un site care redirecționează tot să nu pară plin de fișiere expuse.
  • Domeniu expirat (la 12 ore) [te anunță]: Prin RDAP, cu whois ca rezervă. Avertisment la 30 de zile, critic la 7. Pentru .ro registrul nu publică data, deci urmărim starea domeniului: blocat sau expirat e critic.
  • Antete de securitate (la 6 ore) [în fișa hostului]: HSTS, X-Content-Type-Options, X-Frame-Options, CSP și Referrer-Policy, măsurate pe pagina finală, nu pe redirect. Ce lipsește apare în fișă și în scor, fără alertă.
  • SPF, DMARC, DKIM, CAA, DNSSEC (la 12 ore) [în fișa hostului]: Sintaxă, duplicate și politici prea permisive, inclusiv cazul a două înregistrări SPF, unde standardul cere exact una. Apare în fișă, fără alertă; excepția sunt DNSSEC oprit pe o zonă care era semnată și un emitent nou adăugat în CAA, care deschid incident.
  • Calitatea TLS: protocoale și cifruri (la 12 ore) [în fișa hostului]: Versiuni depășite încă acceptate, cifruri slabe și chei RSA sub 2048 de biți, testate prin handshake real, nu deduse din banner. Apare în fișă, fără alertă.

de pe partea noastră

  • Agent tăcut: incident critic (permanent) [te anunță]: Dacă trei rapoarte la rând nu vin, contul e fie suspendat, fie agentul a fost scos din cron. Ambele merită știute.
  • Colector care nu mai poate citi (la 5 min) [te anunță]: Un webroot mutat sau un log de acces care nu se mai citește: colectorul afectat e numit, cu motivul, nu tratat ca liniște.

pe nouă conturi reale, într-o singură comparație: 1508 fișiere apărute, 509 șterse, 107 modificate față de amprentele de dinainte

Cum pornești

  1. În panou alegi „Add a host”, tipul „Shared hosting”, cu domeniul site-ului.
  2. Rulezi comanda de instalare din terminalul contului (SSH sau Terminal din cPanel), fără root.
  3. Instalatorul pune o linie în crontab-ul contului și găsește singur webroot-ul (public_html, www, htdocs).
  4. Prima baleiere inventariază fișierele în tranșe; până se termină, nimic nu apare ca „fișier nou”.

Întrebări despre acest tip de host

Merge pe orice hosting?

Pe orice cont unde poți rula o comandă și ai crontab. Agentul caută webroot-ul în public_html, www, htdocs, httpdocs și domains/*/public_html; altfel i-l spui la înrolare. Logurile de acces le citește din locurile folosite de cPanel; pe alte panouri, fila de trafic poate rămâne goală, iar fișa spune de ce.

Ce nu vede pe un hosting partajat?

Procesele, porturile, autentificările SSH, procesorul și memoria: sunt ale serverului, nu ale contului. Pentru ele îți trebuie serverul însuși, ca VPS cu agent.

Ce se întâmplă când apare un fișier infectat?

Un tipar sigur deschide incident critic, cu fișierul, linia și fragmentul potrivit. Din panou bifezi fișierele și le muți în carantină, după ce aprobi; fișierul rămâne ca dovadă și se pune înapoi cu un clic. Conținutul nu e rescris niciodată.

Am mai multe site-uri în același cont. Cum se numără?

Agentul urmărește fișierele tuturor webroot-urilor găsite în cont (până la 30). Verificările din afară se fac pe domeniul hostului; un alt domeniu îl adaugi ca site extern, care ocupă încă un host din plan.

Celelalte tipuri de host

VPS cu agent · Site extern · Reseller cPanel/WHM