SunucuKontrol 1.108.1 sürüm notları: Parola sıfırlama bağlantısı her zaman…

Ayrıntılı anlatım

1.108.1, 8 Kasım 2026'daki iç denetimde bulunan 47 sorunu gideriyor. Denetim son on günde gelen yeni özelliklere odaklandı: Panel Göçü, sunucular arası taşıma, parola sıfırlama, Git PR önizlemesi, paylaşılmış posta klasörleri ve yenilenen alan adı sayfası. Canlı sunucularda bugün kendiliğinden tetiklenen bir sorun bulunmadı. Ancak dört sorun, ilgili özellik ilk kez kullanıldığında ya da panel IP adresiyle açıldığında ciddi sonuç doğurabilirdi; hepsi bu sürümle kapandı.

Bu sürüm kimin işine yarar?

Paneli IP adresiyle açan ve müşterilerine "Şifremi unuttum" bağlantısını kullandıran yöneticiler.
Siteleri sunucular arasında taşıyan ya da rakip panellerden müşteri göçü yapan yöneticiler.
Site silip aynı alan adını başka bir müşteriye açan barındırma firmaları.
Bayi ve ekip üyesi yetkilerini daraltan hesap sahipleri.
Paylaşılmış posta klasörü, Git PR önizlemesi ya da adres kuralları CSV aktarımı kullananlar.

Parola sıfırlama

Bağlantı her zaman panelin kendi adresini gösteriyor. "Şifremi unuttum" postasındaki bağlantının adresi, isteği gönderen tarayıcının bildirdiği adresten kuruluyordu. Panel bir alan adına bağlı değilse (yalnız IP ile açılıyorsa), kötü niyetli biri kendi sunucusunun adresini bildirerek müşteriye panelin kendi postasıyla, ama kendi adresine giden bir bağlantı gönderebiliyordu. Müşteri tıklarsa sıfırlama bağlantısı o kişiye ulaşıyordu. Alan adına bağlı panellerde de bağlantının port numarası aynı yoldan değiştirilebiliyordu. Artık adres panelin ayarlarından, yoksa sunucunun kendi IP adresinden alınıyor; port da panelin gerçekten dinlediği port.

Bağlantı daha sıkı geçerlilik koşulları taşıyor. Sıfırlama istendikten sonra müşterinin iletişim e-postası değiştirilirse (örneğin eski kutu ele geçirildiği için), eski kutuya gitmiş bağlantı artık çalışmıyor. Hesap bu arada çöpe taşınırsa da bağlantı geçersiz oluyor.

Yanıt süresi hesabı ele vermiyor. Var olan bir hesap için posta gönderildiğinden yanıt biraz daha geç dönüyordu; bu fark hesabın varlığını tahmin ettirebilirdi. Artık iki durumda da yanıt aynı sürede geliyor.

Site taşıma ve Panel Göçü

Veritabanı yordamları müşterinin yetkisiyle kuruluyor. Sunucular arası taşımada site veritabanındaki saklı yordam ve tetikleyiciler hedef sunucuda yönetici hesabının sahipliğinde kuruluyordu. Bu nedenle bir müşteri, taşıma öncesinde veritabanına koyduğu bir yordamla hedef sunucuda bütün veritabanlarına erişim kazanabilirdi. Artık içe aktarma, yalnız o veritabanına yetkili geçici bir hesapla yapılıyor ve iş bitince bu hesap kilitleniyor.

Taşınacak dosyalar site kullanıcısının kimliğiyle paketleniyor. Dosya paketleme yönetici yetkisiyle yapıldığı için, taşıma sürerken sitedeki bir klasör sistem dizinine bağlanırsa sistem dosyaları pakete girebiliyordu. Artık paketleme sitenin kendi kullanıcısıyla yapılıyor; yalnız sitenin okuyabildiği dosyalar taşınıyor.

Rakip panel yedeği yalnız kendi içeriğini okutuyor. cPanel yedeğindeki site kök dizini bilgisi, yedeğin dışındaki bir yolu gösterecek biçimde düzenlenerek sunucudaki başka bir sitenin .htaccess dosyası göç envanterinde gösterilebiliyordu. Envanter artık yalnız yedeğin kendi içindeki dosyaları okuyor.

Kaynak sunucudan gelen veri sınırlı. Göç kaynağı müşterinin kendi sunucusu olabildiği için, envanter ve yedek indirme sırasında gönderilen veri artık boyut sınırında kesiliyor; sunucunun diskini doldurup MySQL'i ve postayı durduramıyor. Kaynak sunucu kullanıcı adı da sıkı denetleniyor; - ile başlayan değerler kabul edilmiyor. Posta kutusu adları nokta ile başlayamıyor. Bir API göçü başlarken iptal edilirse durumu artık "hata" ya da "tamamlandı" ile ezilmiyor.

Silinen sitenin izleri

Aşağıdaki kayıtlar site ya da alan adı silinince yerinde kalıyordu. Aynı alan adı sonradan başka bir müşteriye açıldığında, eski sahibin bilgileri yeni sahibe geçebiliyordu:

PHP ortam değişkenleri: alan adı sayfasındaki PHP ekranında girilen ortam değişkenleri (veritabanı parolası, ödeme anahtarı gibi). Artık site silinince siliniyor, yeniden adlandırmada yeni ada taşınıyor.
Git PR önizleme kopyaları: her biri sitenin ve veritabanının bir kopyası. Artık site silinince, askıya alınınca ve yeniden adlandırılmadan önce kaldırılıyor. Önizleme izni de alan adıyla birlikte siliniyor.
Paylaşılmış posta klasörü izinleri: bir posta kutusu silindiğinde, ona verilmiş izinler ve onun verdiği izinler kalıyordu. Artık kutu, alan adı silme ve yeniden adlandırmada temizleniyor. Size paylaşılmış bir klasör de artık başkasına yeniden paylaşılamıyor.

Bayi ve ekip yetkileri

Müşteri etkinlik geçmişi bayiye yalnız kendisinin ve kendi müşterilerinin yaptığı işlemleri gösteriyor. Daha önce müşteriye bir alan adı biçiminde ad verilerek, o adın geçtiği yönetici ve başka hesap işlemleri (işlemi yapanın adı ve IP adresiyle) görülebiliyordu.
Kota uyarı postası artık müşteriye posta göndermenin bütün kurallarına uyuyor: hesap başına saatte en çok 10 posta, bayinin posta yetkisi kapalıysa gönderilemez, temsilen girişte kullanılamaz.
Alan adı sayfasında güvenlik duvarı kuralını değiştirmek, PHP ortam değişkenlerini görmek ya da değiştirmek, ham erişim günlüğünü indirmek ve posta izini okumak artık yalnız "Alan adları" izniyle yapılamıyor; ekip üyesinin ve bayinin ilgili izni (güvenlik duvarı, gelişmiş özellikler, günlükler, e-posta) gerekiyor.
Alan adı birleştirme ve alan adı değiştirme sihirbazı, öteki alan adı kilitliyse, askıdaysa ya da yapay zeka anahtarının o alan adında izni yoksa çalışmıyor.
Bayi, yönetici "kota aşımında askıya al" kuralını açtıysa kendi müşterisi için "yalnız uyar" seçemiyor.
Süreli erişim biletinin süresi dolunca geliştiricinin oturumu, gece görevini beklemeden hemen kapanıyor. Temsilen girişte bilet açılamıyor.
Toplu müşteri işlemleri arka planda çalışırken temsilen giriş izi kayda geçiyor; bayinin yetkisi bu arada kapatılırsa iş çalışmıyor.

Git PR önizlemesi

PR önizlemesi artık yalnız imzalı webhook ile açılıyor. GitHub, Gitea ve Forgejo'da webhook ayarının Secret alanına, GitLab'da Secret token alanına paneldeki webhook belirtecini girin. İmzasız istekte önizleme açılmıyor ve yanıt bunu söylüyor. PR kapatma isteği imzasız da çalışmaya devam ediyor.

Düzeltmeler

Onay penceresi: silme, askı ve geri yükleme gibi onaylı işlemlerin düğmesi, aynı sayfada bir önceki işlemden sonra (örneğin PHP modülü kurulumu) tıklanamaz kalabiliyordu. Sayfa yenilenmeden işlem yapılamıyordu. Düzeltildi.
Adres kuralları CSV: dışa aktarılan kurallar geri içe aktarıldığında düzenli ifade, büyük/küçük harf duyarsızlığı ve sorgu koşulu kayboluyordu. Koşullu bir kural böylece koşulsuz hâle gelebiliyordu. Artık bunlar korunuyor. Hesap tablosu programında formül olarak çalışabilecek hücreler de güvenli biçimde yazılıyor.
Kota uyarısı: ek paket tanımlanmış hesaplara, kullanımları sınırın yarısındayken "%80'ine ulaştınız" postası gidiyordu ve müşteri listesi onları "riskli" gösteriyordu. Artık ek paket sınıra ekleniyor.
Otomatik e-posta yapılandırması: alan adı yeniden adlandırılınca yeni adda kapalı kalıyor ve eski sertifika silinemiyordu; artık yeni adla yeniden kuruluyor. Başka bir düğümdeki sitelerde sertifika hiç alınmıyordu; düzeltildi. Sunucudaki ilgisiz bir yapılandırma hatası, otomatik yapılandırmanın çalışan ayarını siliyordu; artık önceki hâli geri konuyor.
Alt alan adında e-posta: son posta kutusu ya da alt alan adı silinince ana alan adına eklenen posta DNS kayıtları kaldırılıyor; kutu çöp kutusundan geri getirilince yeniden ekleniyor. Sizin sonradan değiştirdiğiniz kayıtlara dokunulmuyor.
Dürüst sonuç bildirimi: panel, sonucu yeniden okumadığı işlemler için artık "Doğrulandı" rozeti göstermiyor. SRS kapatma ve takvim (CalDAV) hesap eşitlemesi hata durumunda başarı göstermiyor. OpenLiteSpeed'e geçişte yeniden başlatma düşerse site nginx ile sunulmaya devam ediyor.
Posta: alan adı başına giden posta aktarımı, sunucuda elle yapılmış Postfix ayarlarını artık silmiyor. Posta izi, aynı iletinin başka bir hesaba giden teslim ayrıntılarını göstermiyor.
Diğer: eski AWStats görevinin sunucuda kalan zamanlanmış görev satırı güncellemede kaldırılıyor. Medya Kontrol bağlantısı yönetici ve bayi giriş adını müşterinin sitesine taşımıyor. Yapay zekanın yazdığı büyük dosyalar geri sarmada çöpe değil önceki sürümüne dönüyor.

Güncellemeden sonra

Git PR önizlemesi kullanıyorsanız depo webhook ayarına Secret girildiğini kontrol edin; girilmemişse önizlemeler açılmaz.
Panel IP adresiyle açılıyorsa Panel sertifikası ekranından bir alan adı bağlamanız önerilir; sıfırlama ve davet bağlantıları o zaman alan adını gösterir.

Değişiklik listesi

Panelde Panel Yönetimi → Panel Güncellemesi ekranında gösterilen sürüm notunun tamamı:

Güvenlik

Parola sıfırlama bağlantısı her zaman panelin kendi adresini gösteriyor. Sıfırlama postasındaki bağlantının adresi tarayıcının gönderdiği başlıktan alınıyordu; özellikle IP adresiyle açılan panellerde bağlantı başka bir adrese yönlendirilebiliyordu. Bağlantı ayrıca istekten sonra iletişim e-postası değişirse ya da hesap çöpe taşınırsa geçersiz oluyor. Sıfırlama isteğinin yanıtı da hesap olsun olmasın aynı sürede dönüyor.
Sunucular arası site taşımada veritabanı yordamları müşterinin kendi yetkisiyle kuruluyor. Taşınan veritabanındaki saklı yordam ve tetikleyiciler hedef sunucuda yönetici yetkisiyle çalışabiliyordu. Taşınacak dosyalar da artık site kullanıcısının kimliğiyle paketleniyor.
Silinen bir sitenin bilgileri aynı adı alan yeni siteye geçmiyor: PHP ortam değişkenleri (gizli anahtarlar), Git PR önizleme kopyaları ve paylaşılmış posta klasörü izinleri artık site, posta kutusu ya da alan adı silinince temizleniyor; yeniden adlandırmada yeni ada taşınıyor ya da yeniden kuruluyor. Askıya alınan sitenin PR önizleme kopyaları da kaldırılıyor.
Panel Göçü: rakip panel yedeğindeki yol bilgileri artık yedek dışındaki dosyaları okutamıyor; kaynak sunucu kullanıcı adı sıkı denetleniyor; kaynaktan gelen veri, envanter ve yedek indirme sırasında disk sınırıyla kesiliyor.
Müşteri etkinlik geçmişi bayiye yalnız kendisinin ve kendi müşterilerinin işlemlerini gösteriyor. Kota uyarı postası da müşteriye posta göndermenin bütün sınırlarına (saatlik sınır, bayi posta yetkisi, temsilen girişte engel) uyuyor.
Alan adı sayfasındaki güvenlik duvarı kuralı, PHP ortam değişkenleri, ham erişim günlüğü ve posta izi artık ekip üyesinin ve bayinin ilgili yetkisini (güvenlik duvarı, gelişmiş özellikler, günlükler, e-posta) istiyor. Alan adı birleştirme ve değiştirme, öteki alan adı kilitli ya da askıdaysa çalışmıyor.
Süreli erişim bileti süresi dolunca oturum hemen kapanıyor; temsilen girişte bilet açılamıyor. Git PR önizlemesi yalnız imzalı (Secret girilmiş) webhook ile açılıyor.

Düzeltmeler

Silme ya da askı onay penceresinin düğmesi, bir önceki işlemden sonra tıklanamaz kalabiliyordu; düzeltildi.
Adres kuralları CSV ile dışa aktarılıp geri alındığında düzenli ifade, büyük/küçük harf ve sorgu koşulu artık kaybolmuyor. Hesap tablosunda formül sayılacak hücreler korunuyor.
Ek paket tanımlanmış hesaplara yanlış "%80 kotaya ulaştınız" postası gitmiyor; liste de bu hesapları yanlışlıkla "riskli" göstermiyor.
Otomatik e-posta yapılandırması: alan adı yeniden adlandırılınca yeni adda açık kalıyor; başka bir düğümdeki sitelerde sertifika alınıyor; ilgisiz bir yapılandırma hatası çalışan ayarı silmiyor.
Alt alan adında son posta kutusu ya da alt alan adı silinince ana alan adına eklenen posta DNS kayıtları kaldırılıyor.
Bayi, yöneticinin "kota aşımında askıya al" kuralını kendi müşterisi için kapatamıyor. Toplu müşteri işlemlerinde temsilen giriş izi korunuyor.
Panel artık doğrulamadığı işlemler için "doğrulandı" rozeti göstermiyor. SRS kapatma ve takvim (CalDAV) eşitlemesi hata durumunda başarı göstermiyor. Alan adı başına giden posta aktarımı mevcut Postfix ayarlarını silmiyor.

Bu sürüme nasıl geçilir?

Panelde Panel Yönetimi → Panel Güncellemesi ekranında Güncellemeyi Denetle deyin; sürüm numarasının yanında bu sayfadaki notlar görünür. Kurulum tek tıktır ya da gece kendiliğinden yapılabilir. Paket, yayıncının RSA-4096 anahtarıyla imzalanmış bir manifestle gelir; imza doğrulanmazsa kurulum başlamaz, kurulum sonrası sağlık denetimi geçmezse panel önceki sürüme kendiliğinden döner. Güncelleme için lisansın geçerli olması gerekir; süresi dolmuş lisansta panel ve siteler çalışmaya devam eder.