Isolatie per site
Isolatie is het verschil tussen een incident en een storing. Elke site die wij hosten, draait binnen een CloudLinux LVE-cage op kernelniveau met zijn eigen limieten voor CPU, RAM, IO en processen, zijn eigen CageFS-bestandssysteemweergave, zijn eigen PHP-versie en zijn eigen databasethrottle. Een site die wordt aangevallen, gecompromitteerd is of simpelweg een zware query uitvoert, wordt ter plekke geïsoleerd — en deze basisisolatie is inbegrepen bij elk abonnement en wordt niet als upgrade aan u verkocht. Beschikbaarheid: databasethrottling per site en bronstatistieken per site zijn momenteel in ontwikkeling en nog niet beschikbaar. Al het andere dat hier wordt beschreven, is vanaf vandaag operationeel.
De worker-vloot draait op CloudLinux OS, dat multi-tenancy diep in de kernel integreert. Elke site krijgt een Lightweight Virtual Environment — een LVE — dat een harde grens vormt in plaats van een beleefde conventie. Niets wat een site binnen zijn kooi doet, kan ten koste gaan van het budget van iemand anders.
LVE begrenst CPU, RAM, IO, IOPS, processen en entry-processes voor elke site afzonderlijk. Wanneer een site zijn limiet overschrijdt, wordt deze binnen zijn eigen cage geknepen — de fout wordt geregistreerd voor die site en de omliggende sites ondervinden geen enkele hinder.
Een plugin die vastzit in een lus, een slecht geschreven cronjob of een crawler die een eindpunt overbelast, bereikt eerst de proces- en invoerproceslimieten van de site zelf. Eén site kan niet zomaar de hele machine in beslag nemen.
Omdat entry-processen per cage gemaximeerd zijn, kan een overbelasting gericht op één site niet onbeperkt werk op de host openen. LiteSpeed-verbindings- en verzoekbeperking en de Imunify360-netwerkfirewall bevinden zich daarvóór, waardoor de aanval het probleem van het doelwit blijft.
Elke LVE-fout wordt per site geregistreerd en doorgestuurd naar de beleidsengine van het platform, die limieten automatisch kan aanscherpen of versoepelen. U ziet waarom een site werd afgeknepen en wanneer — stapsgewijs, omkeerbaar en vastgelegd in een logboek.
Resource-isolatie voorkomt dat een site te veel systeembronnen opeist. Bestandssysteemscheiding voorkomt dat een site ongeoorloofd meegluurt. CageFS biedt elke huurder een afgeschermde, beperkte weergave van de machine.
Onder CageFS ziet een tenant alleen de eigen bestanden en een minimale, geschoonde set systeembestanden — en kan andere tenants, websites van andere tenants of gevoelige systeembestanden niet zien. De gebruikelijke storingsmodus van shared hosting, waarbij één gecompromitteerd account een leespositie verkrijgt over elk ander account op de server, wordt op kernelniveau geblokkeerd.
Dit is het belangrijkst op de dag dat er iets misgaat. Als een site gecompromitteerd raakt — via een verouderde plug-in, gestolen inloggegevens of een kwetsbaar thema — zorgt CageFS ervoor dat de schade beperkt blijft tot die ene cage. Onze beveiligingsspecificatie is heel bewust geformuleerd: CageFS isoleert inbreuken. Isolatie is de eerlijke claim, en het is precies wat bepaalt of een incident neerkomt op het opschonen van één site of van de gehele serveromgeving.
Back-ups versterken dezelfde grens. Back-ups per site zijn onveranderlijk, extern opgeslagen en geïsoleerd van de actieve vloot, met geteste herstelprocedures, zodat zelfs bij een ernstige inbreuk op één site een schoon, onafhankelijk hersteltraject beschikbaar is dat niet afhankelijk is van de staat van de machine waarop deze draaide.
Isolatie op weblaagniveau is slechts het halve verhaal. Binnen een WordPress-vloot zijn het meestal de queries van één enkele site die een server traag laten aanvoelen, en niet het dataverkeer van die site. Dat wordt expliciet afgehandeld.
CloudLinux MySQL Governor reguleert het databasegebruik per site, zodat zware queries van één site de server niet kunnen vertragen voor anderen. Het is het controlemechanisme tegen vertragingen, en het werkt ongeacht of de veroorzakende site ooit merkt dat deze wordt beperkt.
De vloot draait op MariaDB (of Percona), gekozen voor WordPress-workloads in plaats van standaard overgenomen, met Governor erbovenop als de eerlijkheidslaag per tenant.
Een Redis-objectcache per site vangt herhaalde leesopdrachten op voordat ze de database bereiken, wat de druk vermindert die Governor in de eerste plaats moet bemiddelen. Caching en isolatie werken als één systeem.
CloudLinux alt-PHP biedt elke site een eigen PHP-versiekiezer, eigen extensies (imagick, gd, redis en de rest) en eigen geharde instellingen — met LSAPI-workers die beperkt worden door de LVE-limieten van die site, zodat PHP-concurrency deel uitmaakt van de kooi in plaats van er een ontsnapping aan te vormen.
Isolatie bepaalt hoe ver een probleem zich verspreidt. Handhaving bepaalt wat er vervolgens gebeurt. We hebben de botte aan/uit-opschorting vervangen door een statusmachine, aangedreven door duurzame workflows en afgedwongen op de worker via LiteSpeed, LVE en Imunify.
Isolatie is geen pakketfunctie die pas drie niveaus hoger beschikbaar is. Het is een eigenschap van het fundament, dus het is identiek, of u nu één WooCommerce-winkel of tweeduizend netwerksites beheert.
Bulk- en PBN-netwerken draaien op hetzelfde LVE- en CageFS-substraat, naast footprint-bewuste CDN-accountroulatie en statische HTML-levering. Isolatie is wat dichtheid veilig maakt: sites delen een vloot zonder hun lot te delen.
Beheerde WordPress-, WooCommerce-, PHP-, statische en Node-sites krijgen dezelfde geïsoleerde omgevingen (cages) plus volledige zelfservice — uw eigen PHP-versie en extensies, Redis-objectcache, staging en push-to-live.
Voor werklasten die een sterkere scheiding vereisen dan de op dichtheid geoptimaliseerde standaard, wordt volledige container-per-site-isolatie aangeboden als een provisioning-driver-variant: dezelfde engine, hetzelfde controlepaneel, een andere plaatsing, tegen een hogere overhead.
LVE- en CageFS-isolatie, de proactieve WAF en malwarescans zijn inbegrepen voor elke klant, omdat een geïnfecteerde of op hol geslagen site een bedreiging vormt voor zijn buren en onze IP-reputatie. Malawareschoning met één klik en geavanceerde beschermingsniveaus zijn de betaalde add-ons — het basisniveau is dat niet.
De commerciële verleiding bij hosting is om veiligheid in niveaus te verkopen: goedkope klanten op een gedeelde server met soepele limieten plaatsen, en kosten in rekening brengen aan degenen die om een scheidingswand geven. Wij doen dat niet, omdat juist de klant die niet heeft betaald voor isolatie degene is van wie de gecompromitteerde site het incident van alle anderen wordt.
Wij hosten wereldwijd meer dan 700.000 sites op een vloot waar dichtheid het gehele economische uitgangspunt vormt. Dat werkt alleen als de onderliggende isolatie onvoorwaardelijk is. Cages op kernelniveau, een privéweergave van het bestandssysteem, databasethrottling per site en PHP per site zijn de prijs voor het draaien op die schaal zonder gedeeld risico — daarom zijn ze voor iedereen ingeschakeld, op elk pakket, vanaf de eerste site die u uitrolt.
Het resultaat is een platform dat voorspelbaar presteert wanneer anderen tegenslag ervaren. Daarachter schuilen een uptime-garantie van 99,99%, onveranderlijke offsite-back-ups per site met geteste herstelprocedures, en een volledig controlespoor van elke handhavingsactie die op uw sites is uitgevoerd.
Isolatie is specifiek ontworpen om dat te voorkomen. LVE maximeert CPU, RAM, IO, IOPS en processen per site, MySQL Governor regelt het databasegebruik per site en LSAPI-workers worden begrensd door de eigen cage van de site — zodat een verkeerspiek of zware querybelasting van een buurman wordt afgeknepen op hun plafond, niet het uwe. Elke fout wordt per site geregistreerd en de beleidsengine kan de limieten van een luidruchtige site automatisch aanscherpen.
Het eerlijke antwoord is inperking in plaats van een garantie. CageFS geeft elke tenant een geïsoleerde weergave van het bestandssysteem — een gecompromitteerde tenant kan andere tenants, hun sites of gevoelige systeembestanden niet zien — en een bevestigd geval van malware of phishing verplaatst die site naar quarantaine: offline, bestanden vergrendeld, geen uitvoering, geïsoleerd voor forensisch onderzoek. Dat is wat de impactradius beperkt. Daarnaast voeren we op elke site malwarescans en een proactieve WAF uit, plus onveranderlijke externe back-ups per site met geteste herstelprocedures, zodat herstel nooit afhankelijk is van de staat van de betrokken machine.
Het is inbegrepen bij elk pakket. LVE- en CageFS-isolatie, de proactieve WAF en malwarescans zijn de basis voor elke klant, omdat een geïnfecteerde of op hol geslagen site een bedreiging vormt voor zijn buren en onze IP-reputatie — we kunnen dit redelijkerwijs niet optioneel maken. Wat als add-on wordt verkocht, is het opschonen en herstellen van malware met één klik, evenals geavanceerde beschermingsniveaus zoals verbeterde WAF-regels, prioriteitsscans, botbeheer en hogere DDoS-niveaus.
Het wordt binnen zijn eigen kooi beperkt (throttled) in plaats van uitgeschakeld. Beperkt betekent strengere LVE-limieten en rate limiting terwijl de site gewoon online blijft en verzoeken afhandelt, en het herstelt automatisch zodra de oorzaak is weggenomen. U wordt op de hoogte gesteld met vermelding van de reden, de overgang wordt gelogd met het bijbehorende bewijs, en er kan bezwaar tegen worden gemaakt. Als de belasting het gevolg is van echte groei in plaats van een fout, is de oplossing een groter pakket, geen permanente beperking.
Nee — een opgeschorte site toont een gemerkte, reden-specifieke wachtpagina (facturering, onderhoud of misbruik), zodat deze overkomt als opzettelijk in plaats van defect. Een opschorting wordt ongedaan gemaakt na betaling, na een oplossing of na een bezwaar. Quarantaine is strenger en werkt anders: deze wordt pas ongedaan gemaakt na opschoning en controle, nooit automatisch.
Bij Zinn® Managed WordPress weliswaar — CloudLinux alt-PHP geeft elke site een eigen PHP-versiezelector, eigen extensies zoals imagick, gd en redis, en eigen beveiligde instellingen, allemaal binnen de LVE-limieten van die site. Footprint-Free Hosting gebruikt bewust een gestandardiseerde, sterk beveiligde configuratie per site, omdat configuratievariatie op zich al een footprint is.
Ja. CloudLinux LVE en CageFS is de dichtheidsgeoptimaliseerde standaard voor beide productlijnen. Voor workloads die een striktere grens vereisen, wordt volledige container-per-site-isolatie aangeboden als een provisioning-drivervariant — dezelfde engine en hetzelfde control plane met een andere plaatsing, waarbij overhead wordt ingeruild voor een sterkere scheiding.
Ja. Footprint-Free-hosting begint met een proefperiode van 14 dagen zonder creditcard voor maximaal vijf sites — geen betalingsgegevens, geen verplichtingen. Implementeer een paar sites, voer wat belasting uit en bekijk hoe de cages zich gedragen voordat u beslist.
Start een proefperiode van 14 dagen zonder creditcard op Footprint-Free Hosting — maximaal vijf websites, geen betaalgegevens, nergens aan vastzit. Kernel-level isolation, de proactive WAF en malware scanning zijn vanaf de eerste implementatie inbegrepen.
Gratis starten