Installare Webmin su Debian e Ubuntu: guida aggiornata al 2026

Questo articolo su come installare Webmin è stato pubblicato per la prima volta nel 2005 e aggiornato a ottobre 2026: i commenti più vecchi si riferiscono alla versione originale.

Nel settembre del 2005 stavo finendo di montare la mia Debian sarge minimale e avevo appena scoperto Webmin, un pannello nel browser che mi permetteva di configurare Apache, Samba e DHCP senza aprire dieci file diversi: mi sembrava una piccola magia, tanto che scrissi subito questo appunto su come installare Webmin e metterlo in italiano. Più di vent’anni dopo l’articolo compare ancora nelle ricerche di chi vuole fare la stessa cosa, quindi l’ho aggiornato tenendo la voce di allora e rifacendo tutto il resto.

In breve: Webmin è un pannello web open source per amministrare server Linux e Unix, dagli utenti ai servizi, dai pacchetti ai log. A fine ottobre 2026 l’ultima versione stabile è la 2.670, uscita a settembre. Su Debian e Ubuntu si installa con lo script ufficiale che configura il repository e poi con apt; risponde in HTTPS sulla porta 10000 e ci entri come root o con un utente che può usare sudo. Prima di aprirlo al mondo, però, conviene leggere la parte sulla sicurezza.

Cos’è Webmin nel 2026

Webmin è un’interfaccia web per amministrare un server: tutto quello che faresti da terminale, ma con moduli e form nel browser.

La definizione ufficiale è asciutta: uno strumento di amministrazione di sistema basato sul web per server Unix-like e i loro servizi. In pratica ogni funzione del sistema ha il suo modulo: utenti e gruppi, pacchetti software, processi, cron, log, firewall (iptables, nftables, FirewallD), Apache e Nginx, Postfix e Dovecot, MySQL e PostgreSQL, Samba, BIND, SSH e molto altro. Per quello che ho visto in questi anni, i moduli lavorano sui normali file di configurazione, quelli che modificheresti a mano, quindi pannello e terminale possono convivere.

Funziona su Debian, Ubuntu, Kali e derivate e, sul fronte RPM, su RHEL, Alma, Rocky, Oracle, CentOS Stream e Fedora, i sistemi supportati secondo la pagina di download ufficiale. È gratuito e open source, il codice sta su GitHub e la 2.670 del 20 settembre 2026, oltre a un nuovo modulo sull’hardware, ha chiuso diverse falle di sicurezza (note di rilascio): un ottimo motivo per installarlo in modo che si aggiorni da solo.

Dal 2005 a oggi, cosa è cambiato

Nel 2005 bastava un apt-get dai repository Debian; nel gennaio 2006 Webmin è uscito da testing, da etch in poi non c’è più e oggi si installa dal repository dei suoi sviluppatori.

Nella versione originale di questo articolo il comando era apt-get install webmin-core, perché Webmin stava nei repository di sarge. Poi è uscito di scena: il tracker dei pacchetti Debian registra la rimozione da testing il 26 gennaio 2006 e oggi lo indica come pacchetto che non fa parte di nessuna distribuzione. Me ne accorsi nell’aprile del 2007, quando un lettore, Riccardo, mi segnalò che su Debian etch apt-get non lo trovava più: toccò scaricare il tar.gz della 1.340, installare prima libnet-ssleay-perl per avere l’HTTPS e lanciare setup.sh a mano.

Il resto della storia lo riassumo in una tabella, perché alcune abitudini del 2005 oggi sono proprio sbagliate.

La riga che mi preoccupa di più è la terza: nel 2005 il pacchetto partiva chiuso, mentre oggi, secondo la documentazione, Webmin accetta di default connessioni da qualsiasi indirizzo IP. Chi va a installare Webmin con le abitudini di allora rischia quindi di lasciarlo spalancato.

Installare Webmin su Debian e Ubuntu

Per installare Webmin su Debian e Ubuntu bastano tre comandi: lo script che aggiunge il repository ufficiale, la sua esecuzione e l’installazione con apt.

Questo è il metodo raccomandato dalla pagina di download di Webmin, verificato il 31 ottobre 2026. Per non fidarmi solo della carta l’ho anche provato in due container puliti, Debian 13 «trixie» e Ubuntu 26.04 LTS: in entrambi è arrivata la 2.670, in ascolto sulla porta 10000 in HTTPS.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh
sudo apt-get install webmin --install-recommends

Lo script chiede conferma con un (y/N), scarica la chiave di firma degli sviluppatori in /usr/share/keyrings/, crea il file del repository in /etc/apt/sources.list.d/ e aggiorna l’elenco dei pacchetti, installando gnupg se manca. L’opzione –install-recommends porta dietro i moduli Perl consigliati. Prima di eseguirlo dagli comunque un’occhiata: è un file di shell leggibile, sul repository GitHub ufficiale.

Su una Debian minimale spesso mancano sia sudo sia curl: diventi root, installi curl e lanci gli stessi comandi senza sudo, poi controlli la versione.

su -
apt-get install curl
# ...i tre comandi qui sopra, senza sudo...
webmin --version

Il primo accesso sulla porta 10000

Finito di installare Webmin, apri https://indirizzo-del-server:10000 nel browser, accetti il certificato autofirmato ed entri come root o con un utente che può usare sudo.

Come nel 2005, Webmin lavora in HTTPS sulla porta 10000: se scrivi http:// il pannello ti reindirizza. Il browser ti mostrerà un avviso, perché il certificato generato da Webmin è autofirmato e non emesso da un’autorità riconosciuta; il traffico è comunque cifrato, e la FAQ ufficiale ricorda che un certificato Let’s Encrypt si può ottenere gratis dallo stesso Webmin, quando il server ha un nome di dominio.

Per le credenziali vale quello che il pacchetto scrive a fine installazione: puoi entrare come root con la password di root, oppure con qualsiasi utente che può usare sudo per eseguire comandi da root; su Ubuntu, dove root di solito non ha password, userai il tuo utente. La lingua si cambia dal modulo Change Language and Theme e l’italiano c’è ancora, come nel 2005. Se dimentichi la password, da terminale webmin passwd nomeutente la reimposta.

Sicurezza di base, senza paranoie

Le basi sono quattro: restringere chi può collegarsi, attivare il secondo fattore, lasciare acceso il blocco dei tentativi falliti e usare un certificato valido.

Come avvertiva già il pannello nel 2007, chi scopre la password di Webmin ha il controllo completo del sistema. La prima mossa, appena finito di installare Webmin, è decidere da dove si può arrivare: nel modulo Webmin Configuration c’è la pagina IP Access Control, l’erede diretta della riga allow= che nel 2005 modificavo con mcedit. Le reti si indicano nella forma 192.168.1.0/255.255.255.0.

Lo stesso filtro conviene metterlo anche nel firewall del sistema. Su Ubuntu c’è ufw e la documentazione di Ubuntu Server mostra la sintassi per aprire una porta solo a una rete: ricordati di autorizzare prima SSH, altrimenti chiudi fuori anche te stesso.

sudo ufw allow 22
sudo ufw allow proto tcp from 192.168.1.0/24 to any port 10000
sudo ufw enable

Poi il secondo fattore: in Webmin Configuration, alla voce Two-Factor Authentication, scegli Google Authenticator (che implementa lo standard TOTP, quindi va bene qualsiasi app compatibile) e ogni utente si registra dal modulo Webmin Users inquadrando un QR code. Il blocco degli indirizzi dopo troppi login falliti è già previsto e la documentazione dice che dovrebbe restare sempre attivo. Cambiare la porta 10000 con webmin set-config --option port --value 12345 riduce il rumore dei bot nei log, ma non sostituisce nessuna delle misure precedenti.

Raggiungerlo senza esporlo

La regola d’oro: Webmin non va pubblicato su internet, ci arrivi dalla rete locale, da una VPN o da un tunnel.

Se il server è in casa o in ufficio, rete locale e firewall bastano. Se è un VPS, le strade pulite sono tre. La prima è una VPN: entri nella rete del server e poi apri Webmin come se fossi in ufficio, e se sei nostalgico c’è ancora il mio vecchio appunto su OpenVPN con un client Windows. La seconda è un tunnel SSH, che non richiede di aprire nulla oltre alla porta di SSH:

ssh -L 10000:localhost:10000 utente@server

Finché la sessione resta aperta, sul tuo computer apri https://localhost:10000 e la connessione viaggia dentro SSH. La terza è Cloudflare Tunnel, per cui Webmin ha una guida ufficiale: il pannello resta su 127.0.0.1:10000 e diventa raggiungibile da un nome di dominio senza aprire la porta 10000 verso internet; io ci aggiungerei comunque una protezione d’accesso sul nome di dominio.

Aggiornare e gestire da terminale

Se scegli di installare Webmin dal repository, si aggiorna con apt, e il comando webmin gestisce servizio, password e configurazione anche quando il pannello non risponde.

Nel 2005 dedicavo mezzo articolo al pulsante Upgrade Webmin e ai moduli da aggiornare uno per uno. Oggi, installato dal repository, Webmin si aggiorna insieme al resto del sistema con apt update e apt upgrade. Per il resto c’è la CLI webmin, da usare come root:

sudo webmin server restart                          # il vecchio /etc/init.d/webmin restart
sudo webmin passwd nomeutente                       # reimposta una password
sudo webmin disable-twofactor --user nomeutente     # per chi ha perso il telefono
sudo webmin --list-commands                         # tutti gli altri comandi

Usermin, Virtualmin e alternative

Usermin è il fratello per gli utenti normali, Virtualmin serve a chi ospita più siti, e se Webmin ti sta largo esistono strade diverse.

Usermin offre agli utenti Unix webmail, cambio password e filtri di posta, ciascuno con accesso solo alle proprie impostazioni, e di default risponde sulla porta 20000; lo script del repository lo rende installabile con lo stesso apt. Virtualmin, le cui release vengono annunciate sul sito di Webmin, è pensato per l’hosting di più domini con posta, DNS e backup.

Se prima di installare Webmin vuoi guardarti intorno, cito Cockpit, che a differenza di Webmin sta nei repository di Debian 13, e la strada più vecchia di tutte, SSH e un buon editor: la scelta dipende da quanti server gestisci e da quanto ti piace il terminale.

La porta 10000, vent’anni dopo

Webmin resta un ottimo acceleratore per chi sa già cosa sta configurando, a patto di tenerlo aggiornato e lontano da internet.

Rileggendo il mio articolo del 2005, la frase che sottoscrivo ancora oggi è quella in fondo, scritta con la punteggiatura allegra di allora:

Webmin non è la panacea di tutti i mali… certo ci può aiutare a configurare molti servizi, ma è bene sapere quello che si sta facendo ed utilizzarlo come strumento per velocizzare le operazioni di configurazione.

Quindi: installare Webmin dal repository ufficiale, restringere l’accesso, attivare il secondo fattore e farsi un backup prima di toccare configurazioni importanti. Io nel 2005 lo facevo con rsync e crontab e funziona ancora, mentre se il server rallenta tornano utili i sette modi per esaminare il carico. Per i nostalgici, il libro Managing Linux Systems with Webmin che linkavo allora è ancora scaricabile.

Se devi installare Webmin sul server del tuo sito WordPress e vuoi una seconda opinione su come metterlo in sicurezza, puoi prenotare una call conoscitiva. E nei commenti raccontami da quanto tempo usi Webmin e se lo tieni ancora sulla porta 10000: se conosci qualcuno che ce l’ha aperto su internet dal 2009, girargli questo articolo è un gesto d’amore.

Domande frequenti su Webmin