Automatische methode: één script uit uw account maakt de hele server gereed (webstack Apache + PHP, database, beveiligingstools, cron). Daarna nog even het dashboard uitrollen, SSL uitgeven en de licentie invoeren. Werkt op Ubuntu/Debian: op een verse VPS wordt alles vanaf nul ingesteld, op een reeds ingerichte server alleen aanvullend (profiel “Ingerichte server”, stap 01). Alle onderstaande commando's staan op volgorde; scrol gewoon van boven naar beneden. Op een verse VPS is elke stap na elkaar van toepassing; is de server al ingericht of staat er een hostingpaneel op, dan laat het script een deel van het werk bewust aan u over — wat precies, schrijft het aan het eind van zijn werk (de uitvoer wordt toegelicht in stap 01).
monitor.example.com — uw domein; 203.0.113.10 — het echte IP van de server; /var/www/monitor — de root van het dashboard (waar public/, assets/, config.php staan); verzin zelf een DB-wachtwoord.
jail.local), root-crontab, UFW-regels, Apache-config. Als de server al is ingericht (werkend dashboard, sites, mail, eigen jails) — kies dan het profiel “Ingerichte server”: dat brengt alleen aanvullende wijzigingen aan en raakt uw firewall, Fail2ban, mail, SSH en sysctl niet aan. Bij detectie van een hostingpaneel schakelt het script zelf naar deze modus. Vóór de eerste run kunt u een proefrun inschakelen (vinkje in het account) — die toont wat er gedaan wordt zonder iets te wijzigen. Maak op een productieserver voor de zekerheid een snapshot.
my.arciveo.com → onderdeel “Serverconfiguratie” (beschikbaar na aanschaf van Arcivéo Security Monitor). De opdracht is gekoppeld aan uw account en bevat een persoonlijk token.
Het script bereidt de hele server voor: webstack (Apache + PHP), database, SSL-tools, een volledige set beveiligingsmiddelen en cron-taken (Lynis, SMART, debsums, Logwatch, dagelijks rapport, ipsum-update).
1) Kies het beveiligingsniveau (in uw account, vóór het kopiëren van de opdracht):
2) Voer op de server als root de opdracht uit uw account uit — die ziet er zo uit:
3) Lees de uitvoer aan het eind — daar staat wat er voor u overblijft. Het script sluit af met een blok controles en een lijst “Vervolg — installatie van het paneel”. Een deel van de stappen doet het bewust niet: wat precies, hangt af van het gekozen profiel en van wat het op de server heeft aangetroffen. Loop de onderstaande lijst na — u hoeft alleen die punten uit te voeren waarvan de regels in uw uitvoer zijn verschenen.
Control panel detected (…) — de site wordt met de middelen van het hostingpaneel zelf aangemaakt, het script maakt geen vhost. Stap 03, tak “Server met hostingpaneel”.No vhost created (no domain given) — profiel “Ingerichte server” zonder domein: een vhost zonder naam zou de standaardsite worden en uw eigen sites onderscheppen, daarom is hij niet aangemaakt. Stap 03, tak “Vhost handmatig aanmaken”.sudo rules NOT written — het script kon niet bepalen onder welk account het paneel draait. Dat is een normale situatie: de paneelbestanden worden pas na de autoconfiguratie geüpload, er viel toen nog niets af te leiden. Zonder deze regels zien de modules geen systeemgegevens. Stap 04, blok “sudo voor de webserver”.! Nginx does not read .htaccess — vóór Apache staat Nginx en het is niet gelukt het verbod automatisch in zijn config te zetten. Doe dit beslist: anders worden data/, keys/, database/ en config.php naar buiten uitgeleverd, langs .htaccess heen. Stap 03, blok “Als er vóór Apache Nginx staat”.UFW installed but inactive — de firewall is geïnstalleerd maar uitgeschakeld: op een ingerichte server zet het script hem niet zelf aan, om u de toegang niet af te snijden. Zet hem zelf aan en sta daarbij beslist uw eigen SSH-poort toe:
Fail2ban installed but not running — start hem: sudo systemctl enable --now fail2ban.Database server present … but not running — start de database vóór stap 04: sudo systemctl enable --now mariadb (of mysql — afhankelijk van wat er staat).Certbot skipped — issue SSL in … — het certificaat wordt uitgegeven met de Let's Encrypt-schakelaar in het hostingpaneel; stap 06 heeft u niet nodig.All checks passed. Punten met ! vragen om aandacht; details worden naar de log geschreven, het pad daarvan drukt het script helemaal aan het eind af (Log: …).
Om het dashboard te openen via een adres als monitor.example.com en gratis SSL te krijgen, moet het domein naar de server verwijzen. Maak in het DNS-configuratiescherm (bij uw registrar of hoster) een A-record aan:
Controleer na enkele minuten (soms tot een uur) of het domein naar de server verwijst:
/var/www/monitor aangemaakt en de Apache-site geconfigureerd (DocumentRoot naar de root van het paneel, PHP-FPM, AllowOverride voor .htaccess). In de uitvoer van het script is dat de regel vhost … → DocumentRoot …. U hoeft niet apart een map en vhost aan te maken — upload gewoon de bestanden en stel de rechten in.
Tak “Server met hostingpaneel” (in de uitvoer: Control panel detected (…)). Over de sites op zo'n server gaat het paneel, en een eigen vhost maakt het script bewust niet aan — die zou bij de eerste de beste hercompilatie van de configs door het paneel worden overschreven. De volgorde is als volgt:
public_html van dat domein: naast index.php, api/, assets/ moeten ook de service-onderdelen config.php, includes/, data/, tmp/, logs/, keys/, cron/, database/ daarin staan. U hoeft niets boven de webroot te plaatsen: de servicemappen zijn afgeschermd door het bestand .htaccess uit de distributie, en onder Nginx door het verbod dat het script in de config van het domein heeft gezet.config.php (stap 05). Vervang de paden in de commando's door /home/account/web/domein/public_html, en de eigenaar door de gebruiker van dat domein in plaats van www-data.Tak “Vhost handmatig aanmaken” (in de uitvoer: No vhost created (no domain given)). Dat komt alleen voor bij het profiel “Ingerichte server”, wanneer er geen domein is meegegeven. Het eenvoudigst is de opdracht uit uw account gewoon opnieuw te starten, mét domein:
Opnieuw uitvoeren is veilig: wat al gedaan is, wordt niet gedupliceerd. Moet de vhost toch met de hand worden aangemaakt — hier is dezelfde config als die het installatieprogramma wegschrijft:
ServerName is hier verplicht. Een vhost zonder naam wordt de standaardsite van Apache en gaat andermans domeinen op dezelfde server bedienen. Om dezelfde reden moet u 000-default.conf op een ingerichte server niet uitschakelen: die site kan zijn omgebouwd tot iemands productiesite — op een verse VPS ruimt het installatieprogramma hem zelf op, hier hoeft u dat niet te doen.
! Nginx does not read .htaccess). Nginx levert statische bestanden rechtstreeks van schijf en leest .htaccess niet — de servicemappen komen dan naar buiten open te staan, ook al schermt Apache ze correct af. Het script heeft alvast een bestand met verboden klaargezet; dat moet u in het blok server{} van uw site opnemen en Nginx herladen:
my.arciveo.com → “Downloads”. Pak het archief uit voordat u het naar de server uploadt.
Upload de inhoud van de distributie naar /var/www/monitor (zodat daarin public/, assets/, config.php enz. komen) — via SFTP/SCP (FileZilla / WinSCP) of met het commando scp vanaf uw lokale computer:
ServerName), geeft u het al bij stap 01 mee aan het autoconfiguratiecommando: … | sudo bash -s -- monitor.example.com (of vult u het domein in bij het veld “Paneeldomein” in uw account). Geeft u geen domein mee — dan reageert het paneel op elke host en op IP, en schrijft certbot de ServerName weg bij het uitgeven van SSL (stap 06); opnieuw installeren is niet nodig.
root of via SFTP, dan zijn de bestanden eigendom van root en kan de webserver (www-data) ze niet lezen — het paneel opent leeg of met een 403-fout (in de log: .htaccess unreadable / directory not executable). Het commando hieronder lost dit op:
Geef uzelf toegang om via SFTP te uploaden. Na het commando hierboven zijn alle bestanden eigendom van www-data, terwijl FileZilla / WinSCP verbinden met uw eigen gebruiker — het uploaden mislukt dan met SSH_FX_PERMISSION_DENIED (Permission denied). Kies een van de twee varianten.
Variant A — een ACL alleen voor uw gebruiker (aanbevolen). Alleen u krijgt schrijfrechten; de webserver kan de code van het paneel nog steeds niet overschrijven:
Variant B — via de groep www-data. Eenvoudiger, maar ook de webserver krijgt schrijfrechten op de bestanden van het paneel: bij een kwetsbaarheid in PHP zou de code vervangen kunnen worden. De volgorde van de commando's is van belang — config.php en de werkmappen worden als laatste dichtgezet:
id deploy — in de groepenlijst moet www-data verschijnen; ls -ld /var/www/monitor — rechten drwxrwsr-x, de letter s in plaats van x betekent dat setgid is gezet.
Maak een database en gebruiker aan en importeer daarna het schema. Het databaseblok plakt u volledig in de terminal (sudo mysql logt in als root via de unix-socket — het root-wachtwoord is niet nodig). monitor_db en monitor_user zijn voorbeeldnamen; u mag zelf iets kiezen. Onthoud de databasenaam, de gebruiker en het wachtwoord — die vult u in de volgende stap in bij config.php:
admin-account aan (uit database/db.sql) als de database leeg is.
Zijn de tabellen niet aangemaakt (het paneel toont een fout bij de databaseverbinding of een leeg scherm in plaats van het inlogformulier) — importeer het schema dan handmatig. Het commando voert u uit in de root van het paneel; de waarden komen uit het blok hierboven:
$DBNAME / $DBUSER / $DBPASS al “vergeten” (nieuwe terminalsessie) — vul de waarden dan met de hand in het commando in of stel ze opnieuw in met dezelfde drie regels uit het blok hierboven.
sudo rules NOT written — dan viel het account van het paneel nergens uit af te leiden (de bestanden waren nog niet geüpload) en zijn de regels niet aangemaakt. Zonder die regels blijven onderdelen als firewall, Fail2ban en CrowdSec leeg. Nu de bestanden er staan, voert u de opdracht uit uw account nog een keer uit, met het account expliciet erbij:
www-data door de gebruiker waaronder de PHP van uw site draait (op een hostingpaneel is dat meestal de eigenaar van het domein). Die vindt u zo:
/etc/sudoers.d/monitor bestaat en bevat regels met uw gebruiker.
config.php in de hoofdmap van het dashboard (/var/www/monitor/config.php) is het enige bestand dat u handmatig moet bewerken. Alle dashboardinstellingen staan erin als define()-constanten. Open het in een editor:
Vul uw eigen waarden in op de gemarkeerde plekken; laat de rest ongewijzigd:
Wat u aanpast:
DB_NAME, DB_USER, DB_PASS — exact dezelfde databasenaam, gebruiker en wachtwoord die u instelde bij het aanmaken van de database in stap 04 (als u de voorbeelden behield — monitor_db / monitor_user). Laat DB_HOST en DB_CHARSET ongewijzigd.APP_URL — het volledige adres van het dashboard met https://, zonder slash aan het eind en zonder www. Moet overeenkomen met het domein waarvoor u de licentie activeert (stap 07), anders wordt de sleutel geweigerd.TIMEZONE — uw tijdzone (lijst — timedatectl list-timezones). Beïnvloedt alleen hoe het dashboard datums toont; op het starttijdstip van cron-taken heeft het geen invloed (daar geldt de systeemtijdzone).SESSION_LIFETIME — na hoeveel seconden inactiviteit het dashboard opnieuw om inloggen vraagt (standaard 8 uur). Bijv. 3600 = 1 uur, 86400 = een etmaal.display_errors, log_errors, error_log) — laat op de standaardwaarden staan.Sla het bestand op (Ctrl+O, Enter, daarna Ctrl+X) en herstart PHP-FPM — anders worden de wijzigingen door OPcache niet toegepast:
640 (ingesteld in stap 03) en een expliciet verbod in de .htaccess van de hoofdmap. Plaats het niet in openbare repositories en stuur het niet naar support met het echte wachtwoord.
http:// kunt u niet inloggen.
Certbot skipped — issue SSL in …). Het certificaat wordt uitgegeven met de Let's Encrypt-schakelaar op het webdomein in het paneel zelf — zo verzorgt het paneel ook de verlenging.
certbot en de plug-in voor Apache zijn al door de automatische configuratie geïnstalleerd. De DNS van het domein moet al naar de server verwijzen (stap 02). Uitgeven met één opdracht:
Moet het dashboard ook met www. te openen zijn — noem dan beide namen in één opdracht, anders toont de browser op het tweede adres een certificaatwaarschuwing:
Y.<VirtualHost *:443>, stelt de omleiding http→https en automatische verlenging in. Tot slot: Successfully enabled HTTPS.
dig +short monitor.example.com het IP-adres van de server teruggeeft en of de poorten 80/443 open zijn (sudo ufw allow 80,443/tcp).
Na de uitgifte: https://monitor.example.com opent met een slotje, http:// leidt om naar https://.
Open https://monitor.example.com, meld u aan met admin / useradmin en doorloop de checklist:
ARCIVEO-… uit uw account voor uw domein en plak de sleutel in “Instellingen” → “Licentie”. Meer info.public/start_db.php, als het is achtergebleven: hiermee kan de database zonder authenticatie opnieuw worden aangemaakt. Zolang het bestand in de hoofdmap van het paneel of in public/ staat, waarschuwt het paneel ervoor met een rode banner.sudo /usr/local/bin/clamav-scan.sh) belast schijf en processor zwaar en kan een uur of langer duren — op een productieserver kunt u beter de nachtelijke start om 01:30 afwachten. De onderdelen “Schijven (SMART)”, “Prestaties” en “Beveiligingsupdates” vullen zichzelf: respectievelijk elke 30 minuten, elke 5 minuten en één keer per uur.