Manual de XBI Panel

Guía completa para instalar, asegurar y gestionar tu servidor con XBI Panel — panel de administración y panel de usuario.

📘 Introducción

XBI Panel es un panel de control web para servidores Linux que reúne en una sola interfaz todo lo necesario para ofrecer hosting profesional: cuentas y paquetes, dominios, correo electrónico seguro, DNS, bases de datos, PHP multi-versión, seguridad (WAF), copias de seguridad, un auto-instalador de aplicaciones y un asistente con IA.

Está construido sobre tecnologías estándar (Apache, Nginx, Postfix, Dovecot, BIND9, PostgreSQL, MariaDB) y se ejecuta como una API en Go con una interfaz en Next.js. Hay dos paneles: el de administración (gestión global del servidor) y el de usuario (acotado a la cuenta de cada cliente).

Este manual cubre la versión 1.0.83 y posteriores. Las capturas y nombres de menú están en español por defecto; el panel soporta 24 idiomas.

🧰 Requisitos

Sistema operativo: Debian 12 limpio (recomendado).
Arquitectura: x86_64 / amd64.
Recursos: 2 GB de RAM mínimo (4 GB+ recomendado) y 20 GB de disco.
Red: IPv4 pública estática.
Acceso: root por SSH.
Licencia: clave de XBI Panel activa, validada por IP.

Para que el panel obtenga HTTPS (Let's Encrypt) durante la instalación, el registro DNS A del hostname debe apuntar a la IP del servidor ANTES de instalar. Si no, el panel arranca con certificado autofirmado y podrás emitir el de Let's Encrypt después desde «Cambiar Hostname».

⚙️ Instalación

Conéctate como root y lanza el instalador. Es interactivo (elige idioma y pide la clave de licencia) y automatiza todo el aprovisionamiento.

# <Debian 12 · root>
curl -sO https://repo.bintelcom.com/install.sh && bash install.sh

Qué hace el instalador

Valida la licencia contra WHMCS (por IP) y descarga el producto.
Instala y configura Apache (backend 8181/8443), Nginx (frente 80/443), Postfix, Dovecot, BIND9, PostgreSQL, MariaDB, Redis y el cortafuegos.
Compila un motor PHP de usuario en segundo plano (/opt/php) además del PHP del sistema.
Aplica las migraciones de base de datos y arranca la API y la interfaz.

Al terminar verás «¡INSTALACIÓN COMPLETADA CON ÉXITO!» y las credenciales temporales en pantalla.

🚀 Primeros pasos

Acceder al panel

Entra por HTTPS en tu dominio (puerto 443). El usuario root inicia sesión con la contraseña del sistema operativo. Tras instalar o actualizar, vuelve a iniciar sesión.

El puerto :3001 es la interfaz en HTTP plano (uso interno). Para HTTPS usa https://tu-dominio sin :3001.

Configurar el hostname y el HTTPS

En Configuración del Servidor → Cambiar Hostname, escribe el FQDN del panel y pulsa «Comprobar DNS». Cuando resuelva a la IP del servidor, aplícalo: el panel fija /etc/hosts, desactiva la gestión de cloud-init y emite el certificado Let's Encrypt sin interrumpir el servicio.

👥 Cuentas y paquetes

En Cuentas de Usuario gestionas las cuentas de hosting y los paquetes (planes con límites de disco, dominios, bases de datos, cuentas de correo, etc.).

Crea una cuenta asignándole un paquete, un dominio principal y un usuario del sistema propio (aislado en /home).
Suspende, reactiva o elimina cuentas; el borrado limpia dominios, buzones, bases de datos y ficheros (sin huérfanos).
En Características de la cuenta activas funciones por cliente y configuras el Branding (marca blanca).

🌐 Dominios y PHP

Cada cuenta puede tener varios dominios y subdominios. El panel crea el vhost de Nginx (frente) y Apache (backend) y la raíz del sitio en /home del usuario.

PHP por dominio

Cada dominio o subdominio puede usar su propia versión de PHP (los motores compilados en /opt/php, no solo las del sistema). Desde PHP Settings editas el php.ini por dominio (genera un .user.ini) con un catálogo de directivas o personalizadas.

✉️ Correo electrónico

El correo usa Postfix (SMTP) y Dovecot (IMAP/POP3). Al crear una cuenta de correo se genera automáticamente DKIM (OpenDKIM) y se publican SPF, DKIM y DMARC en la zona DNS, completos y entrecomillados.

Por cada buzón

Uso/cuota con barra, activar/desactivar y cambio de contraseña.
Autologin al webmail Roundcube con un clic.
«Configurar cliente»: datos IMAP/POP3/SMTP y perfil .mobileconfig para iPhone/iPad/Mac.

Más funciones

Reenvíos (forwarders), autorespondedores (vacaciones), filtros y estadísticas de entrega (pflogsumm). Si aún no hay tráfico, las estadísticas muestran un aviso en lugar de un error.

🌍 DNS

El DNS Manager gestiona las zonas con BIND9 (servicio named). Cada dominio obtiene su zona con los registros A, CNAME, MX y TXT, además de los SPF/DKIM/DMARC del correo.

Los registros TXT se publican completos y entrecomillados para que el «;» de DMARC/SPF no se interprete como comentario.

🗄️ Bases de datos

El Gestor de BD soporta MySQL/MariaDB y PostgreSQL. Crea bases de datos y usuarios, y entra a phpMyAdmin con autologin desde el menú.

Cada cliente ve solo sus bases de datos; el administrador las ve todas.
phpMyAdmin se sirve desde una capa interna localhost, proxiada por el panel y protegida por sesión.

🛡️ Seguridad

WAF ModSecurity + OWASP CRS

Cortafuegos de aplicaciones web sobre Apache con el conjunto de reglas OWASP CRS. Configurable por dominio y subdominio (Activado / Solo detección / Desactivado / Heredar). Cada cambio pasa por apache configtest, así que nunca puede tumbar los sitios. Por defecto arranca en «Solo detección».

Acceso: Passkeys, 2FA y tokens de API

Passkeys (WebAuthn): acceso con huella o Face ID; disponible cuando el panel se sirve por HTTPS con un dominio real. Para clientes y administradores.
2FA: verificación en dos pasos con app autenticadora.
Tokens de API: autentican de verdad las llamadas y se restringen por recurso (leer / crear / borrar).

Aislamiento de paneles

El enrutado por rol es estricto: un cliente solo accede a /user/* y nunca al shell del administrador. Toda la identidad se deriva de la sesión (JWT).

💾 Copias de seguridad

El panel genera copias de seguridad descargables de las cuentas (ficheros, bases de datos y configuración). Desde el panel de usuario, cada cliente puede descargar las suyas.

Cuotas de disco

En Disk Quota puedes instalar y activar las cuotas de disco (/etc/fstab) y monitorizar el uso por cuenta.

📦 Auto-instalador (Soft Store)

El Soft Store ofrece más de 459 aplicaciones para instalar en un clic, incluido WordPress (con configuración automática de base de datos y wp-cli). Selecciona el dominio de destino y la app se despliega lista para usar.

🤖 Asistente IA y creador web

El panel incluye un asistente de IA que no ejecuta ningún modelo en tu servidor: solo reenvía las consultas por HTTPS a la nube (Claude, OpenAI o Gemini). El administrador configura una clave central con cuota por cliente; opcionalmente cada cliente puede usar su propia clave.

Creador de webs

El cliente describe la web que quiere y la IA genera y publica un sitio responsive en su dominio (con copia del anterior). Aislamiento estricto: el asistente solo actúa sobre la cuenta y los dominios del propio cliente, nunca sobre otros.

🔔 Notificaciones y comunicados

Avisos por WhatsApp (Meta Cloud API) y correo ante eventos: caídas de servicios o dominios, pedidos, aprovisionamientos, alarmas y 2FA. El administrador configura las credenciales centrales; el cliente solo recibe.

Comunicados

Desde Cuentas → Comunicados, el administrador envía mensajes a todos o a un cliente (panel, correo y WhatsApp), con nivel de importancia, programación para una fecha futura y descarte individual por cliente.

📊 Monitorización y logs

En Monitorización tienes métricas en tiempo real (carga, CPU, memoria, disco y red) con histórico, lista de procesos, puertos e interfaces. El Visor de Logs muestra los registros del sistema y por dominio (Apache/Nginx de acceso y error) sin necesidad de SSH.

⬆️ Actualizaciones

El panel comprueba si hay una versión más nueva y permite actualizar con un clic. La auto-actualización corre en la ventana de medianoche o manualmente. Las contraseñas y la sesión se conservan entre actualizaciones.

Consejo: en servidores cloud, deja el registro DNS apuntando al servidor para que el HTTPS se renueve sin pasos manuales.

🧑‍💻 Panel de usuario

Cada cliente final tiene su propio panel, acotado a su cuenta. Incluye: dominios y subdominios, correo (cuentas, reenvíos, autorespondedores, filtros), bases de datos MySQL y PostgreSQL, ajustes de PHP (.user.ini), SFTP, Git, antivirus (ClamAV), Cloudflare, copias de seguridad descargables, estado de ModSecurity, redirecciones web y notificaciones.

Todo está limitado a los recursos propios del cliente: dominios, carpetas /home y bases de datos suyas. El asistente IA y el creador web también están confinados a su cuenta.

❓ Resolución de problemas

El navegador dice que el certificado no es válido

Probablemente estás entrando por https://...:3001 (HTTP plano) o el certificado aún es autofirmado. Entra por https://tu-dominio (443) y, si hace falta, emite Let's Encrypt desde «Cambiar Hostname» cuando el DNS apunte al servidor.

«Cambiar Hostname» da error por HTTPS

Resuelto en 1.0.83: la renovación del certificado ya no interrumpe el servicio web. Asegúrate de estar actualizado.

Tras actualizar no puedo entrar («Credenciales inválidas»)

Resuelto en 1.0.83: el instalador ya no rota la contraseña de la base de datos en cada actualización. En instalaciones antiguas, contacta con soporte para realinear la clave.