VinzaPanel
Mari mulai dengan sesuatu yang mungkin tidak Anda duga dari artikel perbandingan seperti ini: rekam jejak keamanan aaPanel yang bisa diukur justru lebih baik daripada beberapa panel besar.
Dalam enam tahun terakhir hanya ada dua entri di Exploit-DB, tidak ditemukan modul Metasploit, dan — yang paling menonjol — nol entri di katalog CISA KEV, katalog kerentanan yang terbukti dieksploitasi di dunia nyata. Sebagai pembanding, cPanel, CyberPanel, CWP, dan Webmin semuanya punya entri di sana. Kecepatan tambalnya juga baik; satu contoh yang bisa diverifikasi, CVE-2025-48702, dilaporkan 21 Mei 2025 dan ditambal 23 Mei 2025.
Kami membuka dengan ini karena kalau Anda mencari alasan untuk menakut-nakuti soal aaPanel, artikel ini bukan tempatnya. Beredar banyak tuduhan di internet — soal pemanenan IP lewat WebRTC, soal backdoor pemerintah — dan saat kami telusuri ke sumbernya, tidak satu pun bisa dibuktikan. Tidak ada larangan pemerintah mana pun, tidak ada peringatan dari CISA, ENISA, maupun NCSC. Kami tidak akan mengulanginya.
Perbedaan yang sesungguhnya ada di tempat lain, dan itu soal transparansi.
Ringkasan
| Aspek | VinzaPanel | aaPanel |
|---|---|---|
| Tingkat gratis | Situs tanpa batas | Situs tanpa batas (maks. 5 akun pengguna) |
| Berbayar | $49–$249/tahun | $28,80/bln · $198/th · $699 seumur hidup |
| Lisensi | Per server, tidak terikat IP | Per server, terikat satu IP |
| Web server | Nginx, Apache, OpenLiteSpeed | Nginx, Apache, OpenLiteSpeed — setara |
| Cakupan OS | Ubuntu 20.04/24.04, Debian 13 | Lebih luas — Ubuntu, Debian, CentOS, Alma, Rocky |
| Kelola banyak server | Ya, bawaan | Tidak — tiap server butuh lisensi Pro sendiri |
| Lisensi | Proprietary, ada tingkat gratis | Source-available, bukan open source |
| Ekosistem plugin | 50 plugin, 38 gratis, kontrak siklus hidup terdokumentasi | 63 aplikasi resmi terdokumentasi |
| Entri CISA KEV | Nol | Nol |
1. Apa yang dikirim panel Anda ke pembuatnya
Bagian ini berdasarkan pembacaan langsung atas kode sumber yang aaPanel publikasikan sendiri di GitHub, pada commit tertanggal 6 Juli 2026. Kami menyebutkan itu supaya Anda bisa memeriksanya ulang.
Fungsi fetch_env_info() mengumpulkan sidik jari perangkat keras server Anda: alamat IP, sistem operasi, alamat MAC, nomor seri disk, total RAM, ID CPU, dan nama host. Dari situ dibentuk install_code — gabungan hash MAC, hostname, dan model CPU — yang menjadi pengenal mesin yang stabil dan tidak bisa direset. Fungsi ini dipanggil dari 26 tempat, antara lain saat Anda mengunduh plugin atau memuat daftar aplikasi.
Ada juga pelaporan galat otomatis. Ketika terjadi error, panel mengirim URI permintaan lengkap beserta query string, seluruh isi formulir yang barusan Anda kirim, user agent, IP klien, dan jejak galat penuh. Ada mekanisme penyensoran untuk sembilan kunci sensitif, tapi terdapat salah ketik: kode menguji db_password sementara yang dituliskan db_pwd, sehingga db_password lolos dalam kondisi terbaca. Jalur kedua, err_collect(), tidak menyensor apa pun sama sekali karena struktur datanya sudah diubah menjadi teks sebelum penyensoran sempat berjalan.
Sekarang bagian yang adil, dan ini penting. Banyak yang mengatakan aaPanel tidak menyediakan opsi keluar. Itu tidak benar. Ada mode offline yang membuat semua permintaan ke server vendor gagal, dan itu memang mematikan pelaporan galat. Tapi ada dua batasannya: mode itu bersifat semua-atau-tidak sama sekali — ikut mematikan pembaruan panel dan pemasangan plugin — dan tetap tidak menghentikan pengiriman sidik jari perangkat keras, karena sebagian pemanggilan menggunakan jalur HTTP langsung yang melewati penjaga tersebut.
Yang menurut kami paling layak dicatat: kebijakan privasi aaPanel tidak menyebutkan hal ini sama sekali. Dokumen itu hanya membahas email dan data penggunaan situs web seperti IP, peramban, dan cookie. Tidak ada penjelasan bahwa perangkat lunak yang terpasang mengirimkan sidik jari perangkat keras. Menariknya, perjanjian lisensi aaPanel sendiri pada pasal 1.5 menyatakan bahwa "dilarang mengumpulkan data pengguna dengan cara apa pun tanpa izin pengguna".
Dan apa yang VinzaPanel kirim
Akan tidak jujur kalau kami membahas hal di atas tanpa menyebut praktik kami sendiri, jadi ini rinciannya.
VinzaPanel menghubungi server kami saat verifikasi lisensi dan mengirim empat hal: kunci lisensi, alamat IP server, sebuah pengenal perangkat keras yang diambil dari /etc/machine-id, dan versi panel. Selain itu panel memeriksa pembaruan versi dan mengambil daftar plugin dari katalog. Tidak ada alamat MAC, nomor seri disk, ID CPU, maupun pelaporan galat otomatis yang membawa isi formulir Anda.
Jadi perbedaannya adalah derajat dan pengungkapan, bukan "kami tidak mengumpulkan apa pun". Panel berlisensi mana pun perlu mengikat lisensi ke suatu mesin, dan kami pun melakukannya. Yang kami anggap layak dipersoalkan pada aaPanel bukan keberadaan sidik jarinya, melainkan bahwa sidik jari itu jauh lebih rinci, dikirim dari lebih banyak titik termasuk saat memuat daftar plugin, dan tidak disebutkan sama sekali di kebijakan privasi mereka.
2. Jalur pembaruan yang tidak diverifikasi
Masih dari kode yang sama, pada class/ajax.py: bila API pembaruan milik vendor mengembalikan penanda force bernilai benar, panel akan mengunduh sebuah arsip zip dari server vendor, membongkarnya menimpa direktori panel, lalu memulai ulang dirinya — tanpa konfirmasi pengguna.
Satu-satunya pemeriksaan integritas yang dilakukan adalah memastikan ukuran berkas di atas 1 MB. Tidak ada verifikasi tanda tangan digital, tidak ada pencocokan checksum. Pengangkutannya memang lewat HTTPS.
Kami ingin menyebutnya dengan tepat: ini bukan backdoor, dan kami tidak menuduh vendornya berniat buruk. Ini adalah jalur pemasangan kode jarak jauh yang dikendalikan vendor, tanpa verifikasi integritas. Artinya keamanan server Anda ikut bergantung pada keamanan infrastruktur distribusi mereka.
Ada tiga jalur lain yang juga bekerja tanpa pengamanan penuh dan masih aktif di build internasional: sinkronisasi waktu yang mengambil data lewat HTTP polos lalu menjalankan date -s sebagai root; pengambilan modul PAM untuk autentikasi SSH menggunakan curl -k, yaitu dengan verifikasi TLS dimatikan; dan pengunduhan aturan IPS untuk firewall dari sumber yang sama.
Satu catatan kejujuran dari kami: temuan-temuan di atas membuktikan apa yang dilakukan kode yang dipublikasikan. Kami tidak bisa membuktikan bahwa berkas yang dikirim skrip pemasangan identik bit-per-bit dengan repositori tersebut.
3. Cara memperluas kemampuan panel
Kedua panel sama-sama punya katalog aplikasi, tapi cara kerjanya berbeda cukup mendasar.
aaPanel menyediakan 63 aplikasi resmi terdokumentasi dalam empat kategori, dengan pemasangan sekali klik dan dukungan unggah plugin pihak ketiga. Cakupannya luas dan mudah dipakai. Dua catatan kecil: sebagian besar berupa pemasang stack siap pakai, dan dua di antaranya — PM2 Manager serta Docker Manager — sudah ditandai tidak lagi dipelihara.
VinzaPanel dibangun di atas sistem plugin sebagai fondasi, bukan tambahan. Katalognya berisi 50 plugin, 38 di antaranya gratis, tersebar di sepuluh kategori: perkakas, keamanan, basis data, web server, pemantauan, runtime, deployment, backup, dan sistem. Yang membedakan bukan jumlahnya, melainkan cara kerjanya:
- Kontrak siklus hidup yang terdokumentasi. Setiap plugin punya skrip pasang dan copot yang berjalan dengan aturan jelas, sehingga memasang dan mencabut kemampuan bisa diprediksi hasilnya.
- Diperbarui seperti aplikasi. Plugin diambil dari katalog dan diperbarui terpisah dari inti panel — Anda tidak perlu menunggu rilis panel untuk mendapat perbaikan pada satu komponen.
- Menyentuh inti panel, bukan hanya memasang paket. Plugin bisa menambah halaman, item sidebar, widget dasbor, dan perkakas pada halaman situs, sehingga terasa menyatu alih-alih menempel.
- REST API sebagai warga kelas satu, sehingga plugin dan otomatisasi Anda bicara lewat antarmuka yang sama.
Praktisnya: kalau kebutuhan Anda adalah memasang WordPress atau LNMP dengan cepat, keduanya sama-sama menyelesaikan itu. Kalau Anda ingin menambahkan kemampuan yang benar-benar menjadi bagian dari panel — dan memperbaruinya sendiri tanpa menyentuh inti — arsitektur plugin VinzaPanel dirancang untuk itu.
4. Ketika Anda butuh server kedua
aaPanel adalah satu panel untuk satu server. Ada fitur bernama "Multi-Server Management" pada tingkat Pro, tapi FAQ resmi mereka menjelaskan batasannya dengan gamblang: "Setiap lisensi dapat diaktifkan pada satu server dan terikat pada satu alamat IP."
Artinya lima server berarti lima lisensi Pro terpisah. aaCloud, dasbor terpisah milik mereka, berfungsi sebagai daftar inventaris server dan pintu masuk cepat ke masing-masing panel — bukan tempat Anda mengelola situs lintas server. Platform Ops menjalankan skrip secara massal lewat SSH, yang berguna, tapi berbeda dari kendali terpusat.
VinzaPanel mendaftarkan node dan mengelolanya dari satu panel, dengan satu lisensi per server tanpa keterikatan IP.
5. Kualitas terjemahan
Ini terdengar sepele sampai Anda mengalaminya saat menangani insiden produksi.
Pada build internasional 2026, kami menghitung sekitar 2.900 teks berbahasa Mandarin yang masih tertanam di dalam kode, tersebar di sekitar 204 berkas Python. Sebagian muncul langsung di antarmuka. Paket bahasanya sendiri dihasilkan secara otomatis oleh mesin penerjemah pada tahap pembangunan. Ada pula laporan komunitas bahwa panel kembali berbahasa Mandarin setelah pembaruan otomatis.
VinzaPanel dikembangkan dengan Bahasa Indonesia dan Inggris sebagai bahasa kelas satu sejak awal.
6. Di mana aaPanel memang lebih baik
Daftar ini tidak pendek, dan kami menuliskannya sepenuh hati.
- Rekam jejak CVE lebih bersih. Nol entri CISA KEV, hanya dua entri Exploit-DB dalam enam tahun, dan sebagian besar CVE-nya menuntut otentikasi terlebih dahulu. Ini lebih baik dari beberapa panel besar.
- Cakupan OS jauh lebih luas. Ubuntu 22/24, Debian 11/12/13, CentOS 9/10, AlmaLinux 8/9/10, Rocky 8/9/10. VinzaPanel belum sampai ke sana.
- Tiga web server setara, dengan penugasan per situs. Sama seperti VinzaPanel — ini bukan keunggulan kami atas mereka.
- Tingkat gratis yang murah hati. Situs dan SSL tanpa batas, Docker, manajemen berkas dan basis data, firewall dasar.
- Rentang teknologi sangat lebar. PHP 5.2–8.5 berdampingan, MySQL, MariaDB, PostgreSQL, MongoDB, Redis, Node.js, Python, Go, Java.
- Katalog aplikasi besar. 63 aplikasi resmi terdokumentasi, dengan pemasangan sekali klik.
- Kodenya bisa Anda baca. Meski lisensinya bukan open source, sumbernya dipublikasikan — itulah sebabnya temuan pada bagian pertama artikel ini bisa kami verifikasi. Kode VinzaPanel tidak dipublikasikan, jadi Anda tidak bisa melakukan pemeriksaan serupa terhadap kami.
Beberapa catatan kecil yang tetap perlu disebut: Java Manager hanya mendukung keluarga CentOS, dan plugin PM2 Manager serta Docker Manager sudah ditandai tidak lagi dipelihara.
Jadi, sebaiknya pilih yang mana?
Pilih aaPanel kalau Anda butuh dukungan OS yang luas terutama keluarga RHEL, Anda ingin katalog aplikasi sekali klik yang besar, Anda menjalankan satu server, dan Anda nyaman dengan pertukaran transparansi yang dijelaskan di atas.
Pilih VinzaPanel kalau Anda mengelola beberapa server dari satu tempat tanpa membeli lisensi berulang, Anda ingin memperluas panel lewat plugin yang menyatu dan bisa diperbarui sendiri, Anda butuh angka sumber daya yang terukur — inti panel kami ~103 MB, diukur pada VPS Ubuntu 24.04 dengan 2 vCPU dan RAM 1,9 GB — atau Anda bekerja dalam Bahasa Indonesia dan menginginkan antarmuka yang memang ditulis untuk itu.
Satu hal yang perlu kami sampaikan terus terang: VinzaPanel juga perangkat lunak proprietary dan kodenya tidak dipublikasikan. Kalau kemampuan memeriksa sendiri kode panel Anda adalah syarat mutlak, maka bukan kami maupun aaPanel jawabannya — lihat HestiaCP (GPLv3) atau ISPConfig (BSD).
Satu hal terakhir yang layak Anda tahu: tidak ada audit keamanan independen atas aaPanel. Kata yang tepat untuk itu adalah "belum diaudit" — bukan "aman", dan bukan pula "berbahaya". Kami menyebutkannya karena itulah keadaan sebenarnya.
VinzaPanel gratis untuk dicoba, tanpa kartu kredit dan tanpa batas waktu.
Rujukan
Harga dan FAQ lisensi: aapanel.com/pricing. Perjanjian lisensi: license.txt. Kebijakan privasi: aapanel.com/privacy-policy. Dukungan OS dan multi-web-server: dokumentasi aaPanel. aaCloud: docs aaCloud. Temuan telemetri, jalur pembaruan, dan hitungan teks Mandarin berasal dari pembacaan langsung repositori resmi aaPanel pada commit 6 Juli 2026, dan membuktikan perilaku kode yang dipublikasikan — bukan tentu berkas yang dikirim skrip pemasangan. Angka memori VinzaPanel diukur pada VPS Ubuntu 24.04, 2 vCPU, 1,9 GB RAM. Data per Juli 2026.