Changelog de COSMIN Host

v0.10.0 Actual 1 nuevo · 1 mejora · 2 de seguridad 16/10/2026

Nuevo «Cerrar las demás sesiones» en Ajustes › Seguridad (administrador) y en la pestaña Seguridad del portal de clientes, con el número de sesiones abiertas.

Mejora El rol «técnico» del portal ya no puede borrar buzones de correo, borrar bases de datos ni restaurar copias; esas acciones quedan para el propietario de la cuenta.

Seguridad Las contraseñas del administrador, del portal de clientes y del portal de revendedores se guardan con PBKDF2-HMAC-SHA256 (600 000 iteraciones y sal propia), según la recomendación de OWASP. Las existentes se actualizan solas en el siguiente inicio de sesión.

Seguridad Cambiar la contraseña del administrador cierra todas sus demás sesiones.

v0.9.0 1 nuevo 16/10/2026

Nuevo Changelog público también en el formato común de los proyectos de cosmin.es (GET /api/changelog, igual que Webmail y Don Carta), para la ficha de COSMIN Host en cosmin.es/proyectos.

v0.8.0 2 nuevos · 1 mejora · 1 corrección 16/10/2026

Nuevo DNS propio en producción: el panel usa el PowerDNS primario oculto del nodo, que replica a los secundarios públicos a/b/c/d.sysns.es.

Nuevo instalar-nodo.sh abre el puerto 53 solo a los cuatro secundarios DNS (IPv4 e IPv6).

Mejora Las zonas DNS nuevas se crean como primarias dentro de la zona de catálogo, así aparecen al momento en los cuatro secundarios. La zona de catálogo ya no se muestra en la lista de zonas.

Fix Recargar el cortafuegos del nodo vaciaba la lista de IPs con acceso remoto a bases de datos; ahora se conserva.

v0.7.1 1 corrección 02/10/2026

Fix La etiqueta de versión del menú estaba fija en «v0.3.0»: ahora muestra la versión real del changelog (y el commit al pasar el ratón). Ajustes › Nodo y /api/v1/salud (campo semver) también la indican.

v0.7.0 2 nuevos 02/10/2026

Nuevo API pública del changelog: GET /api/v1/changelog (todas las versiones; ?limite=N) y GET /api/v1/changelog/{versión|ultima}, en JSON, con CORS abierto y caché de 5 minutos.

Nuevo Este changelog, con versionado semántico y etiquetas vX.Y.Z en Git.

v0.6.0 2 nuevos · 1 corrección 02/10/2026

Nuevo IPv6: nginx escucha también en [::]:80 y [::]:443 en el bloque del panel (instalar-nodo.sh), en los vhosts de cliente y en la página de suspensión. panel.cosmin.es tiene AAAA.

Nuevo Suspensión: la página se sirve también por 443 con el certificado de la cuenta y para todos sus dominios (antes solo por 80 y solo el dominio principal).

Fix La renovación SSL, el WAF, los dominios y otras regeneraciones del vhost reabrían en la práctica una cuenta suspendida (daba 502 contra el contenedor parado). Ahora respetan la suspensión; «reactivar» restaura el vhost normal.

v0.5.0 6 nuevos · 2 mejoras · 4 correcciones · 3 de seguridad 29/09/2026

Nuevo Hito 43: usuarios SFTP adicionales (mismo uid, chroot a subcarpeta, máx. 10) y roles del portal propietario/técnico/facturación.

Nuevo Hito 44: autorespondedor y filtros por buzón (Sieve vía Mailcow); acceso remoto a BD por IP.

Nuevo Hito 45: caché de página nginx por cuenta (reglas WP/Woo/PrestaShop, purga, prueba X-Cache), Redis por cuenta (socket, LRU) e imagen PHP v2 (opcache, gd, intl, zip, redis, wp-cli).

Nuevo Ajustes reestructurados en /admin/ajustes/<sección> (General, Nodo, Correo, DNS, WebMail, Alertas, Copias, Seguridad, API, Registro).

Nuevo Copia nocturna del panel (pg_dump + configuración, retención 14) y copia externa por rsync/SSH con alerta si pasan más de 36 h sin copia.

Nuevo Swap de 2 GB en instalar-nodo.sh; alertas de memoria y de reinicio pendiente.

Mejora Lockfiles (package-lock.json, go.sum) en Git para builds reproducibles; el pipeline ejecuta npm ci, go vet y go test.

Mejora instalar-nodo.sh: reinicio de nginx tras instalar ModSecurity, auditoría en JSON; añade apache2-utils.

Fix SFTP extra: al eliminar un usuario se matan sus procesos (una sesión viva bloqueaba el borrado).

Fix Caché nginx: permisos del directorio para los workers www-data (daba 500).

Fix WordPress: si aún no existe el paquete es_ES de la última versión, instala en_US más el idioma.

Fix Detección de WordPress por prefijo en «Conectar WordPress».

Seguridad A1/A2/M4: helper shq para toda entrada de usuario en shell (cron, WP/Joomla, htpasswd); redirecciones validadas; SQLi en BD remota cerrada.

Seguridad M5/M3/M1/B1: firewall nftables con policy drop y lista explícita, sin flush ruleset; nginx con server_tokens off, solo TLS 1.2/1.3 y cabeceras de seguridad; usuario ubuntu bloqueado; PermitRootLogin no.

Seguridad B3: contenedores PHP con --cap-drop ALL y solo las capacidades necesarias; Adminer con límites y no-new-privileges.

v0.4.0 10 nuevos · 3 mejoras · 3 correcciones 28/09/2026

Primer despliegue en producción (HOST-VPS-FR).

Nuevo instalar-nodo.sh: provisión reproducible e idempotente de un nodo (Ubuntu 24.04).

Nuevo Hito 35: DNS con Cloudflare en vivo (lectura y escritura directa en su API, MX/SRV/CAA, proxied) y edición de registros en la UI.

Nuevo Rutas reales /admin/<sección>[/<param>] en lugar de #hash.

Nuevo Hito 36: 2FA TOTP para el admin, el portal de cliente y el de revendedor (8 códigos de recuperación).

Nuevo Hito 37: botón «Webmail» por buzón con SSO firmado HMAC (60 s, nonce).

Nuevo Hito 38: diagnóstico de dominio (NS, A/AAAA, MX, SPF, DKIM, DMARC, MTA-STS, autoconfig) con correcciones aplicables.

Nuevo Hito 39: SSL con lego 5.x, DNS-01 por Cloudflare con wildcard, HTTP-01 de respaldo y renovación diaria a las 04:10.

Nuevo Hito 40: alertas (disco, certificados, contenedores, copias) por email SMTP y webhook; copias automáticas por cuenta.

Nuevo Hito 41: Adminer con SSO (usuario temporal de BD de 2 h y token de un solo uso).

Nuevo Hito 42: seguridad — fail2ban con baneos desde el panel, WAF ModSecurity + OWASP CRS por cuenta, escaneo ClamAV semanal.

Mejora Diseño v2, sobrio y profesional (radios 6/4, tablas densas, KPIs estáticos).

Mejora HTML de entrada sin caché y assets con hash cacheables 1 año: los despliegues se ven sin recarga forzada.

Mejora Tablas adaptables; etiquetas del lab sustituidas por el nodo real.

Fix SSL: se emite para los dominios reales de la cuenta (no para el interno *.lab).

Fix nftables: nunca flush ruleset (borraba las cadenas NAT de Docker).

Fix Redirección canónica /adminer → /adminer/.

v0.3.0 2 nuevos · 2 correcciones 17/08/2026

Nuevo Importador de Plesk con reconfiguración automática de WordPress y PrestaShop 1.6/1.7 (credenciales de BD y URL).

Nuevo Selector de versión de PHP al importar (sitios legacy en PHP 7.4).

Fix Reconfiguración: elige la BD correcta del dominio y encuentra WordPress en subcarpetas (hasta 2 niveles); search-replace también de la variante www..

Fix Instancia nueva: sonda HTTP con reintentos (evita el 502 mientras arranca php-fpm).

v0.2.0 8 nuevos · 3 correcciones 13/08/2026

Nuevo Hito 21: catálogo del autoinstalador (WordPress, Joomla, sitio en blanco).

Nuevo Hito 22: terminar cuenta (borrado en cascada seguro).

Nuevo Hitos 23 y 25: inspector y aplicación de backups de Plesk (cuentas, web, BDs); formato de almacenamiento .tar de .tzst en streaming (Hito 33).

Nuevo Hitos 24 y 26: revendedores y su portal self-service.

Nuevo Hito 27: DNS propio con PowerDNS.

Nuevo Hito 28: vistas globales de Dominios, SSL y Backups.

Nuevo Hitos 29 y 30: motor de venta propio (productos, servicios, facturas con numeración H/AAAA.NNN), área de cliente ampliada y API de facturación para contabilidad.

Nuevo Hitos 31 y 32: gestión de planes y paquetes por tipo (hosting, correo, VPN, carpetas), vinculados a los productos de Ventas.

Fix El vhost sirve index.html/index.htm (los sitios estáticos daban 403); la web importada recibe permisos o+rX.

Fix Limpieza de dependencias (FK) al borrar revendedores y al terminar cuentas.

Fix Arranque: columnas de host_planes con DEFAULT.

v0.1.0 1 nuevo 11/08/2026

Nuevo Importación inicial del código (backend en Go y frontend Vite multi-entrada) con los hitos 1–20 de la fase de laboratorio: instancias Docker reales, SFTP, BD self-service, portal de clientes, suite de correo contra MX1, instalador de WordPress en 1 clic, API de aprovisionamiento, modelo de cuentas y planes, métricas y ajustes de PHP.

El hosting que no deja de mejorar.

Historial de versiones

¿Quieres tu web en COSMIN Host?