HestiaCP ou CyberPanel : sur quel panneau libre vendre de l’hébergement ?

Tous deux libres. Tous deux sans coût de licence. Tous deux choisis par des hébergeurs qui ont regardé le tarif de cPanel et décidé de garder cet argent. Et tous deux pris en charge en production par Provibr, ce qui signifie que nous gagnons exactement la même chose quel que soit celui que vous exploitez : ce comparatif n’a rien à vous vendre.

Les deux se ressemblent moins que l’étiquette commune « panneau de contrôle gratuit » ne le laisse croire. HestiaCP est un panneau centré sur le compte, sur une pile nginx/Apache classique. CyberPanel est un panneau centré sur le site, bâti autour d’OpenLiteSpeed. Cette différence va jusque dans la manière dont vous suspendez un client qui ne paie pas, et ce n’est pas là que la plupart des gens la cherchent.

Les chiffres de santé des projets

Mesurés via l’API GitHub le 21 août 2026. Dans un an ils seront faux, et c’est pour cela que la date est ici plutôt qu’en note de bas de page.

HestiaCP est le projet le plus jeune, avec environ quatre fois plus de contributeurs et un rythme de publication visiblement plus rapide. CyberPanel affiche un nombre de forks comparable (on construit bel et bien dessus), mais un groupe bien plus restreint de personnes qui livrent des changements, et une large pile de tickets ouverts.

Ce sont des décomptes, pas des jugements. Une grande pile peut signaler une communauté engagée qui rapporte proprement ; un rythme élevé peut aussi signaler de l’agitation. Ce qu’ils vous disent, en revanche, c’est la vitesse à laquelle un bogue qui vous touche a des chances d’être regardé, et c’est un critère légitime pour un hébergeur.

Là où ils diffèrent au quotidien

Tout ce qui figure dans ce tableau a été mesuré pendant la construction et le déploiement des deux intégrations Provibr, contre des panneaux en fonctionnement.

Plusieurs de ces lignes décident de choses réelles.

La suspension est celle qui vous surprendra. Sur HestiaCP, suspendre un compte suspend le compte. Sur CyberPanel, c’est une astuce du serveur web : le site devient injoignable, mais le FTP, le courrier et les bases de données continuent de fonctionner, et l’utilisateur unix n’est pas bloqué. Si la suspension est votre moyen de faire respecter le paiement, ce n’est pas le même outil sur les deux panneaux.

CyberPanel ne mesure pas l’usage. Ce n’est pas quelque chose qu’une intégration peut ajouter. Le trafic est calculé puis jeté, et l’usage disque provient d’un cache resté vide sur un site neuf : un zéro rapporté ne se distingue donc pas d’une absence de mesure. Provibr n’affiche volontairement aucun graphique d’usage pour CyberPanel : une courbe qui reste éternellement à zéro ressemble à une mesure. HestiaCP transporte la limite et l’usage de chaque compte à chaque interrogation, en mégaoctets, sans appel supplémentaire. Si vous vendez au disque ou au trafic, cette différence, c’est votre facturation.

Changer de paquet sur CyberPanel change la comptabilité et pas grand-chose d’autre. Mesuré depuis l’intérieur d’un serveur après un déplacement vers un paquet aux limites différentes : le quota disque est resté ce qu’il était, et la configuration du serveur web a conservé ses anciennes valeurs. Le panneau affiche le nouveau nom. Lisez ce nom comme de l’administration, non comme une limite qui aurait suivi.

L’appel de création de CyberPanel ne dit pas ce qui s’est passé. La première réponse arrive en trois secondes environ et ne dit rien, pas même si le domaine était encore libre. Le véritable résultat tombe une cinquantaine de secondes plus tard. Tout ce qui automatise cela doit attendre cette seconde réponse plutôt que de croire la première.

Deux conditions de CyberPanel font trébucher avant la première commande. L’accès à l’API est désactivé par défaut, par utilisateur, et le panneau vérifie cet interrupteur avant le mot de passe : un mot de passe correct donne donc exactement le même API Access Disabled qu’un mot de passe erroné, et tout désigne vos identifiants alors que le problème se trouve une case à cocher plus loin. Par ailleurs, une partie de l’API refuse tout nom d’administrateur autre que admin ; un administrateur renommé n’est tout simplement pas utilisable. Aucun des deux n’est un réglage que l’on contourne par la parole.

HestiaCP a ses propres angles vifs, et l’un d’eux mord fort. Le panneau bannit une adresse après cinq connexions refusées, et une commande hors des permissions d’une clé compte comme l’une d’elles ; après quoi le panneau cesse complètement de répondre, avec un délai d’attente plutôt qu’une erreur. Rien ne doit jamais réessayer automatiquement un appel HestiaCP. Son API tient en outre une liste d’adresses autorisées, vide sur une installation neuve, et vide signifie personne et non tout le monde : tant que l’adresse de votre agent n’y figure pas, une clé parfaitement valable est refusée à chaque appel. Notez aussi que, chez HestiaCP, le contrat n’est pas le code de statut HTTP mais l’en-tête Hestia-Exit-Code. Un changement réussi revient en 204, et « déjà suspendu » arrive en 401.

Un dernier point d’exploitation, et il joue contre CyberPanel : HestiaCP vous laisse créer une clé d’accès révocable à elle seule, sans toucher au mot de passe du panneau. CyberPanel n’a aucun jeton d’API couvrant les quatre commandes qui créent, suspendent, changent de paquet et suppriment un site : toutes réclament le mot de passe. Ce que vous confiez à votre automatisation est donc le mot de passe complet de l’administrateur.

Lequel choisir ?

Choisissez HestiaCP si vous facturez au disque ou au trafic, si la suspension est votre moyen de faire respecter le paiement, si vous voulez un identifiant révocable séparément, ou si le rythme de correction des bogues compte pour vous. Pour une activité d’hébergement, c’est le choix par défaut le plus sûr.

Choisissez CyberPanel si vous voulez précisément OpenLiteSpeed : c’est une vraie raison, et c’est pour cela que CyberPanel est retenu. Entrez-y en sachant que vous ferez vous-même votre mesure d’usage, que la suspension fait moins que son nom ne le laisse croire, et qu’un changement de paquet est une étiquette.

N’en choisissez encore aucun si vous n’avez pas décidé comment vous faites respecter le non-paiement. La réponse diffère entre ces deux panneaux, et il est plus simple de choisir le panneau autour de votre processus que de plier votre processus au panneau.

Vous pouvez aussi exploiter les deux

La plupart des hébergeurs qui posent cette question ont déjà un panneau et pensent à l’autre. Cette transition est la partie coûteuse, pas le logiciel : deux connexions, deux façons de compter ce que vous avez vendu, deux endroits où regarder quand un client appelle.

Provibr relie les deux, dans le même compte. Un compte HestiaCP et un site CyberPanel apparaissent dans la même liste de serveurs, comptent dans la même capacité et atterrissent sur la même facture mensuelle. L’agent appelle vers l’extérieur depuis votre propre réseau : aucun des deux panneaux n’a besoin d’ouvrir un port, et rien n’est installé sur l’un ni sur l’autre. Les comptes et les sites que vous n’avez pas créés via Provibr restent intacts jusqu’à ce que vous les importiez : c’est ainsi que l’on déplace un panneau existant sans rien y reconstruire.

À lire ensuite

• Configurer HestiaCP : la clé d’accès, la liste d’adresses, les paquets et l’import de comptes.
• Configurer CyberPanel : activer l’accès à l’API, l’exigence admin, et ce qui reste dans le panneau.
• Le module WHMCS pour CyberPanel : ce qu’un module peut et ne peut pas faire, car l’API CyberPanel fixe le plafond.

Les étoiles, forks, contributeurs, tickets et rythmes de publication ont été mesurés via l’API GitHub le 21 août 2026. Tout ce qui est décrit ici au sujet des deux API a été mesuré contre des panneaux en fonctionnement pendant la construction des intégrations Provibr.