Plesk customer panel lockout — guida operativa admin #

Obiettivo: i clienti non devono mai poter loggare nel pannello Plesk diretto. Tutta l’amministrazione hosting passa dalla dashboard Hostwebo (file manager, email, DB, SSL, DNS, etc — già esposti via REST proxy in hostwebo-dashboard/includes/rest/).

1. Lock Plesk panel login per clienti (lato Plesk) #

Plesk ha una capability per cliente chiamata “Allow login to the panel”. Disabilitandola, il cliente:

• Non può loggare a https://srv1.hostwebo.cloud:8443/login_up.php
• Non riceve email “your Plesk credentials” da Plesk
• Gli endpoint REST v2 che hostwebo-dashboard usa continuano a funzionare

(l’auth è admin via X-API-Key)

Come applicarla globalmente #

Opzione A — Service Plan template (consigliata)

In Plesk admin → Service Plans → Eco Mini (id 14):

1. Permissions tab
2. Disabilita “Login to the panel“
3. Disabilita “Reset password” (così non possono auto-recuperarla)
4. Disabilita “Manage hosting” (sicurezza extra)
5. Lascia abilitato “API access via X-API-Key” (necessario per hostwebo proxy)
6. Click “Save & Update Subscriptions” — applica retroattivamente a tutti i clienti del piano.

Ripeti per ogni Service Plan (WordPress, eCommerce, etc).

Opzione B — Via Plesk CLI (batch)

# Disabilita login per tutti i clienti esistenti
plesk bin customer --update-all 
  -no-cp-access 
  -no-password-recovery

2. Auto-applicarlo per i nuovi client creati da hostwebo-billing #

Il PleskBridge::create_client() oggi passa solo i campi base (login, email, name, password). Possiamo estendere il payload con i flag di restrizione:

POST /api/v2/clients
{
  "name":     "Mario Rossi",
  "email":    "...",
  "login":    "user42abc",
  "password": "...",
  "type":     "customer",
  "status":   "active",
  "phone":    "...",
  "company":  "...",
  "owner_id": 1,
  "additional_settings": {
    "panel_access_allowed": false,
    "password_recovery_allowed": false
  }
}

(Plesk REST v2 documenta additional_settings; i nomi esatti dei flag dipendono dalla versione Plesk — verificare con GET /api/v2/clients/{id}.)

3. Lato Hostwebo: nessun link a Plesk nell’email + dashboard #

Già fatto in welcome-email.php (commit 2026-05): Il template di benvenuto non cita più “Pannello Plesk”, non genera link a /login_up.php, e non spedisce le credenziali Plesk.

Per impostare nameserver coerenti (i nostri):

• ns1.hostwebo.cloud
• ns2.hostwebo.cloud

4. Verifica #

# 1. Login come cliente da incognito → deve fallire
curl -k https://srv1.hostwebo.cloud:8443/login_up.php 
  -d "login_name=user42abc&passwd=xxx"
# Atteso: 401 / "Login disabled"

# 2. API X-API-Key admin → deve funzionare
curl -k https://srv1.hostwebo.cloud:8443/api/v2/domains 
  -H "X-API-Key: ADMIN_KEY"
# Atteso: 200 + lista domini