485 lines
15 KiB
Markdown
485 lines
15 KiB
Markdown
---
|
|
name: cwp
|
|
description: Meta-skill CWP (CentOS Web Panel, servidor 176.9.3.158) cobrindo gestão de contas, backups, email/Postfix/DKIM, PHP Switcher/Selector, segurança CSF/LFD, SSL/acme.sh, webservers Apache/Nginx e referência completa dos scripts oficiais. Triggers — cwp, centos web panel, cwp_api, /scripts/, csf, lfd, acme, autossl, postfix, dkim, php selector, php switcher, varnish, httpd, nginx cwp, user_backup, whoowns, list_users, hostname ssl, mail queue, fix_perms.
|
|
---
|
|
|
|
# /cwp - Meta-skill CWP (CentOS Web Panel)
|
|
|
|
Skill unificada para o servidor **CWP Principal `176.9.3.158`** (MCP `ssh-unified`, user `root`). Substitui as antigas cwp-accounts, cwp-backup, cwp-email, cwp-php, cwp-scripts, cwp-security, cwp-ssl, cwp-webserver.
|
|
|
|
**REGRA #38 — ZERO INVENÇÃO:** NUNCA improvisar comandos. Verificar estado actual ANTES de alterar. Pesquisar wiki CWP se necessário. Usar APENAS scripts oficiais (`/scripts/*` e `/scripts/cwp_api`). Se não souber: PERGUNTAR.
|
|
|
|
## Documentação base
|
|
|
|
- Wiki: https://wiki.centos-webpanel.com/cwp-admin-api , /cwp-scripts , /csf-firewall-command-line
|
|
- Hub manuais: `Hub/06-Operacoes/Documentacao/Manuais/CWP/` (`CWP-Manual-Completo.md` 503KB, `CWP-Ferramentas-Desenvolvimento.md` 82KB, `CWP-Guia-do-Utilizador.md`, `CWP-Guia-do-Revendedor.md`)
|
|
- QR: `Hub/06-Operacoes/Documentacao/Quick-Reference/QR-CWP.md`
|
|
- NotebookLM CWP: `0ded7bd6-69b3-4c76-b327-452396bf7ea7`
|
|
- NotebookLM Cibersegurança WordPress (para secção segurança): `5f60adfd-2435-4725-8c12-9c11c5f51d75`
|
|
|
|
```
|
|
mcp__notebooklm__notebook_query notebook_id:"0ded7bd6-69b3-4c76-b327-452396bf7ea7" query:"<adaptar>"
|
|
```
|
|
|
|
---
|
|
|
|
## 1. Contas (accounts)
|
|
|
|
### Consulta (read-only)
|
|
```bash
|
|
sh /scripts/list_users
|
|
sh /scripts/list_domains
|
|
sh /scripts/list_subdomains
|
|
sh /scripts/whoowns DOMINIO
|
|
```
|
|
|
|
### API gestão
|
|
```bash
|
|
/scripts/cwp_api account remove_user USERNAME
|
|
/scripts/cwp_api account suspend_user USERNAME
|
|
/scripts/cwp_api account unsuspend_user USERNAME
|
|
/scripts/cwp_api account fix_perms USERNAME # OBRIGATÓRIO após qualquer SSH manual
|
|
/scripts/cwp_api account list_domains USERNAME
|
|
```
|
|
|
|
### Bandwidth
|
|
```bash
|
|
/scripts/cwp_api account unsuspend_bandwidth USERNAME # após aumentar limites
|
|
/scripts/cwp_api account reset_bandwidth USERNAME
|
|
```
|
|
|
|
### Massa
|
|
```bash
|
|
/scripts/cwp_api account update_diskquota_all
|
|
/scripts/cwp_api account update_limits_all # quota, hourly_emails, cgroups, nproc, apache_nproc, inode, nofile
|
|
/scripts/cwp_api account mail_fix_permissions
|
|
/scripts/cwp_api account update_policyd_all
|
|
```
|
|
|
|
### DNS
|
|
```bash
|
|
/scripts/cwp_api account rebuild_etc_named_conf
|
|
/scripts/cwp_api account rebuild_var_named_all
|
|
/scripts/cwp_api account rebuild_var_named USERNAME DOMAIN
|
|
```
|
|
|
|
### Auxiliares
|
|
```bash
|
|
sh /scripts/ulimit_user_check USERNAME
|
|
sh /scripts/cwpsrv_rebuild_user_conf
|
|
```
|
|
|
|
### Workflows típicos
|
|
1. Suspender: `suspend_user` -> `list_users | grep`.
|
|
2. Reactivar: `unsuspend_user` -> `fix_perms`.
|
|
3. Pós-SSH manual: SEMPRE `fix_perms USERNAME`.
|
|
|
|
### Validação
|
|
```bash
|
|
sh /scripts/list_users | grep USERNAME
|
|
/scripts/cwp_api account list_domains USERNAME
|
|
curl -sI http://DOMINIO | head -5
|
|
```
|
|
|
|
### Anti-patterns
|
|
Remover sem backup | editar ficheiros manualmente | esquecer fix_perms após SSH | suspender sem avisar cliente.
|
|
|
|
---
|
|
|
|
## 2. Backups
|
|
|
|
### Comando principal
|
|
```bash
|
|
sh /scripts/user_backup USERNAME # backup completo: ficheiros, BD, emails, configs
|
|
```
|
|
|
|
Localização padrão: `/backup/`. Cron: `/usr/local/cwpsrv/htdocs/resources/admin/include/cron_backup.php`.
|
|
|
|
### Workflow
|
|
```bash
|
|
df -h /backup # 1. espaço
|
|
sh /scripts/whoowns DOMINIO # 2. identificar
|
|
du -sh /home/USERNAME/ # 3. tamanho conta
|
|
sh /scripts/user_backup USERNAME # 4. backup
|
|
ls -lh /backup/ | grep USERNAME # 5. verificar
|
|
tar -tzf /backup/FILE.tar.gz > /dev/null && echo OK || echo CORRUPTO # 6. integridade
|
|
```
|
|
|
|
### Restauro manual (GUI restore não é fiável segundo doc)
|
|
```bash
|
|
mkdir /tmp/restore_test
|
|
tar -xzf /backup/FILE.tar.gz -C /tmp/restore_test
|
|
# copiar manualmente para localização correcta
|
|
chown -R USERNAME:USERNAME /home/USERNAME/public_html/
|
|
rm -rf /tmp/restore_test
|
|
```
|
|
|
|
### Boas práticas
|
|
Backup antes de operações destrutivas | manter cópias remotas (GDrive/S3) | testar restauro periodicamente | limpar >30 dias | nunca confiar só em locais.
|
|
|
|
---
|
|
|
|
## 3. Email (Postfix, DKIM, Mail Queue)
|
|
|
|
### Scripts oficiais
|
|
| Script | Função |
|
|
|--------|--------|
|
|
| `/scripts/install_cbpolicyd` | Instalar limites emails/hora |
|
|
| `/scripts/check_postqueue` | Verificar mail queue |
|
|
| `/scripts/mail_queue_stats` | Estatísticas queue |
|
|
| `/scripts/mail_roundcube_update` | Update RoundCube |
|
|
| `/scripts/mail_vmail_import` | Importar contas /var/vmail |
|
|
| `/scripts/mail_rebuild_sni_certs` | Rebuild certificados mail |
|
|
|
|
### DKIM/SPF
|
|
1. CWP.admin -> Postfix Manager -> rebuild com DKIM&SPF activos.
|
|
2. DKIM Manager -> adicionar key por domínio.
|
|
3. Testar: enviar para `check-auth@verifier.port25.com` (deve responder "DKIM check: pass").
|
|
4. DKIM 2048-bit: dividir TXT record ao meio, ambas partes em quotes.
|
|
|
|
### Mail queue
|
|
```bash
|
|
sh /scripts/check_postqueue
|
|
sh /scripts/mail_queue_stats
|
|
postqueue -p # ver
|
|
postqueue -f # flush
|
|
postcat -q QUEUE_ID # ver mensagem
|
|
postsuper -d ALL # CUIDADO: limpa tudo
|
|
```
|
|
|
|
### Policyd
|
|
```bash
|
|
sh /scripts/install_cbpolicyd
|
|
/scripts/cwp_api account update_policyd_all
|
|
```
|
|
|
|
### Após SSL: rebuild certs mail
|
|
```bash
|
|
sh /scripts/mail_rebuild_sni_certs
|
|
```
|
|
|
|
### Anti-spam
|
|
- rDNS: só configurável pelo provider de hosting.
|
|
- Blacklists: https://mxtoolbox.com/blacklists.aspx.
|
|
- DMARC recomendado.
|
|
|
|
### Validação
|
|
```bash
|
|
echo "Test" | mail -s "Subject" dest@example.com
|
|
tail -100 /var/log/maillog
|
|
```
|
|
|
|
### Anti-patterns
|
|
Limpar queue sem ver | ignorar blacklists | DKIM sem testar | editar postfix directamente.
|
|
|
|
---
|
|
|
|
## 4. PHP (Switcher / Selector / FPM)
|
|
|
|
3 ferramentas: **PHP Switcher** (versão default), **PHP Selector** (por pasta), **PHP-FPM Selector**.
|
|
|
|
Versões suportadas (Selector): 4.4, 5.2-5.6, 7.0-7.4, 8.0, 8.1.
|
|
|
|
### Paths
|
|
| Path | Descrição |
|
|
|------|-----------|
|
|
| `/usr/local/cwpsrv/htdocs/resources/conf/el7/php_switcher/` | Configs CentOS 7 |
|
|
| `/usr/local/cwpsrv/htdocs/resources/conf/el8/php_switcher/` | Configs CentOS 8 |
|
|
| `/var/log/php-rebuild.log` | Log compilação |
|
|
|
|
### Comandos
|
|
```bash
|
|
php -v
|
|
php -i | grep -E 'memory_limit|upload_max|post_max|max_execution'
|
|
php -i | grep -E 'opcache.enable|opcache.memory_consumption'
|
|
ps aux | grep php-fpm | wc -l
|
|
sh /scripts/phpfpm_rebuild_user_conf
|
|
tail -f /var/log/php-rebuild.log # monitorizar instalação versão PHP
|
|
```
|
|
|
|
### Desactivar funções perigosas
|
|
```bash
|
|
echo "disable_functions = exec, system, popen, proc_open, shell_exec, passthru, show_source" \
|
|
> /usr/local/php/php.d/disabled_function.ini
|
|
```
|
|
(cada versão PHP tem path próprio)
|
|
|
|
### Flags compilação
|
|
Editar `/usr/local/cwpsrv/htdocs/resources/conf/el7/php_switcher/7.0.ini`:
|
|
```ini
|
|
[nome-unico]
|
|
default=0
|
|
option="--enable-opcao"
|
|
```
|
|
**Aviso doc:** "CWP update will overwrite these files" — documentar para reaplicar.
|
|
|
|
### Anti-patterns
|
|
Editar .ini sem documentar | compilar PHP manualmente | ignorar php-rebuild.log.
|
|
|
|
---
|
|
|
|
## 5. Segurança (CSF / LFD)
|
|
|
|
### Paths
|
|
`/etc/csf/csf.conf` | `/etc/csf/csf.pignore` | `/var/log/lfd.log`
|
|
|
|
### Controlo firewall
|
|
| Comando | Descrição |
|
|
|---------|-----------|
|
|
| `csf -e` | Activar |
|
|
| `csf -x` | Desactivar |
|
|
| `csf -r` | Restart iptables |
|
|
| `csf -ra` | Restart completo (iptables + LFD) |
|
|
| `service lfd restart` | Restart só LFD |
|
|
|
|
### IPs
|
|
| Comando | Descrição |
|
|
|---------|-----------|
|
|
| `csf -g IP` | Verificar bloqueio e razão |
|
|
| `csf -d IP` | Bloquear permanente |
|
|
| `csf -td IP 86400` | Bloquear temp (segundos) |
|
|
| `csf -dr IP` | Desbloquear |
|
|
| `csf -a IP` | Whitelist permanente |
|
|
| `csf -a 192.168.0.0/24` | Whitelist range |
|
|
| `csf -ta IP 86400` | Whitelist temp |
|
|
| `csf -tf` | Limpar bloqueios temp |
|
|
| `csf -df` | Limpar bloqueios permanentes |
|
|
|
|
```bash
|
|
grep "IP" /var/log/lfd.log
|
|
```
|
|
|
|
### Configuração portas
|
|
`/etc/csf/csf.conf` -> `TCP_IN`, `TCP_OUT`, `UDP_IN`, `UDP_OUT`. Após alterar: `csf -r`.
|
|
|
|
### Ignorar país
|
|
```
|
|
CC_IGNORE = "PT"
|
|
```
|
|
|
|
### Scripts segurança
|
|
```bash
|
|
sh /scripts/cwp_bruteforce_protection
|
|
sh /scripts/security_is_my_server_hacked # verifica sinais de hack
|
|
sh /scripts/cwpsecure_update_rules
|
|
```
|
|
|
|
### Hardening documentado
|
|
- **SSH port:** alterar `/etc/ssh/sshd_config` -> actualizar `csf.conf` TCP_IN -> `service sshd restart`.
|
|
- **tmpfs:** `/etc/fstab` -> `tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0`.
|
|
- **Kernel panic:** `/etc/sysctl.conf` -> `vm.panic_on_oom=1`, `kernel.panic=10`, `sysctl -p`.
|
|
- **MySQL:** `[mysqld] max_user_connections=45`, `service mysql restart`.
|
|
|
|
### Validação
|
|
```bash
|
|
csf -l | head -20
|
|
csf -g IP
|
|
service lfd status
|
|
```
|
|
|
|
### Anti-patterns
|
|
Bloquear sem `csf -g` | desactivar firewall | editar iptables directamente | ignorar logs LFD.
|
|
|
|
---
|
|
|
|
## 6. SSL (acme.sh nativo CWP)
|
|
|
|
### Paths oficiais
|
|
| Path | Descrição |
|
|
|------|-----------|
|
|
| `/root/.acme.sh/cwp_certs/` | Certificados CWP |
|
|
| `/root/.acme.sh/acme.sh.log` | Log acme.sh |
|
|
| `/var/log/cwp/autossl.log` | Log AutoSSL |
|
|
| `/usr/local/apache/autossl_tmp/` | **Webroot validação** (única pasta válida) |
|
|
| `/etc/pki/tls/certs/` | Certs Nginx |
|
|
| `/etc/pki/tls/private/` | Chaves Nginx |
|
|
|
|
### Scripts
|
|
```bash
|
|
sh /scripts/install_acme # reinstalar acme.sh
|
|
sh /scripts/autossl_reload
|
|
sh /scripts/generate_hostname_ssl
|
|
sh /scripts/hostname_ssl_restart_services
|
|
```
|
|
|
|
### Comandos chave
|
|
```bash
|
|
ls /root/.acme.sh/cwp_certs/
|
|
grep "Le_NextRenewTimeStr" /root/.acme.sh/cwp_certs/www.DOMINIO_ecc/www.DOMINIO.conf
|
|
|
|
# FORÇAR renovação (oficial)
|
|
/root/.acme.sh/acme.sh --renew -d DOMINIO --force --home /root/.acme.sh/cwp_certs
|
|
|
|
# Verificar produção
|
|
echo | openssl s_client -connect DOMINIO:443 2>/dev/null | openssl x509 -noout -dates
|
|
|
|
tail -100 /root/.acme.sh/acme.sh.log | grep DOMINIO
|
|
tail -100 /var/log/cwp/autossl.log
|
|
```
|
|
|
|
Cron renovação CWP: `23 2 * * *` (diário 02:23). `crontab -l | grep -i acme`.
|
|
|
|
### Workflow listar todos
|
|
```bash
|
|
for d in $(ls /root/.acme.sh/cwp_certs/); do
|
|
echo "=== $d ==="
|
|
grep -E 'Le_NextRenewTimeStr|Le_Alt' /root/.acme.sh/cwp_certs/$d/*.conf 2>/dev/null | head -3
|
|
done
|
|
```
|
|
|
|
### Troubleshooting documentado
|
|
- **Muitos subdomínios em Le_Alt** (mail/ftp/cpanel): qualquer falha bloqueia tudo. **Solução:** editar `.conf` e reduzir `Le_Alt` ao domínio principal.
|
|
- **Webroot incorrecto:** Nginx CWP serve validação de pasta GLOBAL `/usr/local/apache/autossl_tmp/`. NUNCA usar `/home/user/.../.well-known/`.
|
|
|
|
### Thresholds
|
|
| Expira | Acção |
|
|
|--------|-------|
|
|
| >30d | OK |
|
|
| 15-30d | Monitorizar |
|
|
| <15d | Crítico — renovar |
|
|
| Expirado | Forçar renovação |
|
|
|
|
### Anti-patterns
|
|
**Usar certbot** (conflito com acme.sh nativo) | incluir mail/ftp/cpanel em `Le_Alt` | hooks manuais (sobrescritos em update) | editar certs em `/etc/pki/`.
|
|
|
|
---
|
|
|
|
## 7. WebServers (Apache / Nginx / Varnish)
|
|
|
|
### API webservers
|
|
```bash
|
|
/scripts/cwp_api webservers rebuild_all
|
|
/scripts/cwp_api webservers rebuild_user USERNAME
|
|
/scripts/cwp_api webservers restart
|
|
/scripts/cwp_api webservers reload
|
|
```
|
|
|
|
### Scripts
|
|
```bash
|
|
sh /scripts/restart_httpd
|
|
sh /scripts/cwpsrv_rebuild_user_conf
|
|
sh /scripts/varnish_clear_cache
|
|
sh /scripts/apache_mpm_calculator
|
|
```
|
|
|
|
### Verificações
|
|
```bash
|
|
systemctl status httpd --no-pager | head -15
|
|
systemctl status nginx --no-pager | head -15
|
|
httpd -t # SEMPRE testar antes de restart
|
|
nginx -t
|
|
httpd -S 2>&1 | grep -E 'port|namevhost' | head -20
|
|
```
|
|
|
|
### Restart vs Reload
|
|
| Operação | Quando |
|
|
|----------|--------|
|
|
| Reload | Alterações pequenas, sem downtime |
|
|
| Restart | Alterações grandes, módulos |
|
|
|
|
### Workflow rebuild completo
|
|
```bash
|
|
/scripts/cwp_api webservers rebuild_all
|
|
/scripts/cwp_api webservers restart
|
|
```
|
|
|
|
### Validação
|
|
```bash
|
|
systemctl is-active httpd nginx
|
|
curl -sI localhost | head -5
|
|
curl -sI http://DOMINIO | head -5
|
|
tail -20 /var/log/httpd/error_log
|
|
tail -20 /var/log/nginx/error.log
|
|
```
|
|
|
|
### Anti-patterns (críticos)
|
|
Inventar comandos (PHP desactivado, site offline) | restart sem `httpd -t` | editar vhosts manualmente (sobrescritos) | ignorar erros teste | restart em vez de reload | alterar sysctl sem pesquisar | `kill -9` em processos CWP.
|
|
|
|
---
|
|
|
|
## 8. Scripts oficiais CWP — referência completa
|
|
|
|
Forma de execução: `sh /scripts/NOME` ou `/scripts/NOME`.
|
|
|
|
### Sistema CWP
|
|
| Script | Descrição |
|
|
|--------|-----------|
|
|
| `cwp_version` | Ver versão CWP |
|
|
| `update_cwp` | Actualizar CWP |
|
|
| `restart_cwpsrv` / `reload_cwpsrv` | Restart/reload painel |
|
|
| `cwp_monitor` | Verificar load |
|
|
| `cwp_set_memory_limit` | Alterar memory limit |
|
|
| `add_alert` | Adicionar alerta |
|
|
|
|
### Utilizadores
|
|
`list_users`, `list_domains`, `list_subdomains`, `whoowns DOMINIO`, `user_backup USERNAME`, `ulimit_user_check`, `cwpsrv_rebuild_user_conf`.
|
|
|
|
### SSL
|
|
`install_acme`, `autossl_reload`, `autossl_fix_tmp_path`, `autossl_generate_apache_conf`, `generate_hostname_ssl`, `hostname_ssl_restart_services`.
|
|
|
|
### MySQL
|
|
`upgrade_mysql`, `mysql_pwd_reset`, `mysql_fix_myisam_tables`, `mysql_phpmyadmin_update`, `mysql_set_max_connections`, `mysql_show_max_connections`, `checkdb`.
|
|
|
|
### Email
|
|
`install_cbpolicyd`, `check_postqueue`, `mail_queue_stats`, `mail_roundcube_update`, `mail_vmail_import`, `mail_rebuild_sni_certs`.
|
|
|
|
### WebServers
|
|
`restart_httpd`, `apache_mpm_calculator`, `varnish_clear_cache`.
|
|
|
|
### PHP
|
|
`phpfpm_rebuild_user_conf`, `php_big_file_upload`, `update_ioncube`, `cron_fix_openbasedir`, `dso_handler_remove`.
|
|
|
|
### Segurança
|
|
`cwp_bruteforce_protection`, `security_is_my_server_hacked`, `cwpsecure_update_rules`.
|
|
|
|
### FTP
|
|
`reinstall_pure-ftpd`, `install_pure-ftpd_tls`.
|
|
|
|
### DNS
|
|
`dns_sync_slave2`.
|
|
|
|
### Aplicações
|
|
`install_imagick`, `install_maldet`, `install_net2ftp`, `install_terminal`, `install_supportKey`, `softaculous_fix_update`.
|
|
|
|
### Antivírus
|
|
`freshclam`, `reinstall_clamd_amavisd`, `clamd_fix_100_cpu_usage`.
|
|
|
|
### API
|
|
`install_api`, `check_api`.
|
|
|
|
### Outros
|
|
`chroot_add`/`chroot_remove`, `bandwidth_run`, `disk_check`, `cgroups_blkio`, `net_show_connections`, `open_basedir-suphp`, `image_rebuild_server_config`, `cpanel_addhandlers`, `el8_stream_convert_to_cwp_stable`.
|
|
|
|
### Top 10 mais usados
|
|
1. `user_backup USERNAME`
|
|
2. `whoowns DOMINIO`
|
|
3. `list_users`
|
|
4. `security_is_my_server_hacked`
|
|
5. `mysql_pwd_reset`
|
|
6. `restart_httpd`
|
|
7. `check_postqueue`
|
|
8. `cwp_version`
|
|
9. `update_cwp`
|
|
10. `varnish_clear_cache`
|
|
|
|
### API unificada — outras secções
|
|
|
|
**Apps:**
|
|
```bash
|
|
/scripts/cwp_api apps install_softaculous
|
|
/scripts/cwp_api apps remove_softaculous
|
|
/scripts/cwp_api apps install_sitepad
|
|
/scripts/cwp_api apps remove_sitepad
|
|
```
|
|
|
|
---
|
|
|
|
**Versão:** 2.0.0 (consolidação 8->1, 07-04-2026) | **Autor:** Descomplicar®
|
|
**Fonte:** wiki.centos-webpanel.com, docs.control-webpanel.com
|
|
|
|
## Healing Log
|
|
|
|
```jsonl
|
|
{"date":"","issue":"","fix":"","source":"user|auto"}
|
|
```
|