Cómo cambiar la contraseña de root en Linux (SysAdmin)

¿Por qué es importante saber cambiar la contraseña root en Linux?

Saber cambiar contraseña root es una de las habilidades básicas que todo administrador de sistemas (SysAdmin) debe dominar. La cuenta root es el usuario más poderoso de cualquier sistema Linux: tiene acceso total a todos los archivos, procesos y configuraciones. Si pierdes esta contraseña o alguien no autorizado la descubre, todo tu servidor corre peligro.

En este artículo te explicaré paso a paso cómo realizar este cambio de forma segura, ya sea que tengas acceso normal al sistema o que te hayas quedado fuera. También cubriremos buenas prácticas de seguridad, errores comunes y cómo afecta esto a paneles de control como Syspanel (antes conocido como HestiaCP, accesible por el puerto 2106).

[INFO] Este artículo está pensado para usuarios que están empezando como SysAdmin. No necesitas ser un experto, solo tener acceso a tu servidor y muchas ganas de aprender.

Método 1: Cambiar contraseña root teniendo acceso al sistema (método estándar)

Este es el método más sencillo y recomendado cuando ya estás dentro del sistema con una sesión activa (por SSH o consola física).

Requisitos previos

• Tener acceso a una terminal de Linux (como root o con un usuario con permisos sudo).
• Conocer la contraseña actual del usuario root (o tener permisos sudo para cambiarla).

Pasos para cambiar la contraseña root

1. Abre una terminal o conéctate por SSH a tu servidor.
2. Identifícate como root o usa un usuario con privilegios sudo:
   • Si ya eres root, simplemente escribe: passwd
   • Si eres un usuario normal con permisos sudo, escribe: sudo passwd root
3. El sistema te pedirá la contraseña actual (si eres root te la pide para confirmar tu identidad; si usas sudo, te pedirá la contraseña de tu usuario).
4. Escribe la nueva contraseña. Verás que no se muestra nada en pantalla mientras escribes (es normal, es una medida de seguridad).
5. Confirma la nueva contraseña volviéndola a escribir.
6. El sistema te mostrará un mensaje como: passwd: contraseña actualizada correctamente.

[TIP] Elige una contraseña larga (mínimo 12 caracteres) que combine mayúsculas, minúsculas, números y símbolos. Evita palabras del diccionario, fechas de cumpleaños o secuencias como "123456".

Verificar que el cambio funcionó

Para asegurarte de que todo salió bien, puedes cerrar la sesión actual y volver a iniciarla con la nueva contraseña. O simplemente ejecuta:

su - root

Te pedirá la nueva contraseña. Si te deja entrar, ¡felicidades! Has cambiado con éxito la Linux root password.

Método 2: Cambiar contraseña root sin tener acceso (modo recovery o single user)

¿Qué haces si olvidaste la contraseña de root y no puedes iniciar sesión? No entres en pánico. Linux tiene mecanismos de recuperación que te permiten resetear la SysAdmin contraseña incluso si no la recuerdas.

Requisitos previos

• Acceso físico al servidor o a la consola remota (como iDRAC, IPMI, o VNC).
• Poder reiniciar el sistema.
• Conocimiento básico del gestor de arranque (GRUB).

Pasos para recuperar la contraseña root en modo recovery

1. Reinicia el servidor.
2. Cuando aparezca el menú de GRUB (normalmente tras el logo del fabricante), presiona la tecla Shift (en sistemas BIOS) o Esc (en sistemas UEFI) para detener el arranque.
3. Selecciona la entrada de kernel que quieres arrancar (normalmente la primera) y presiona e para editarla.
4. Busca la línea que comienza con linux o linux16. Al final de esa línea, agrega lo siguiente:

   init=/bin/bash
   

   (Esto le dice al kernel que inicie directamente una shell de Bash en lugar del sistema normal)
5. Presiona Ctrl+X o F10 para arrancar con esos cambios.
6. El sistema se iniciará en una shell de root (sin contraseña). Verás un prompt como bash-5.1#.
7. Vuelve a montar el sistema de archivos raíz en modo lectura/escritura (porque por defecto está en solo lectura):

   mount -o remount,rw /
   

8. Ahora puedes cambiar la contraseña con el comando:

   passwd
   

9. Escribe y confirma la nueva contraseña.
10. Reinicia el sistema:

    exec /sbin/init
    

    O simplemente escribe reboot si está disponible.

[WARNING] Este método solo funciona si tienes acceso físico o remoto al servidor. No es posible hacerlo a través de SSH normal porque necesitas reiniciar el sistema. Además, si el disco está cifrado (LUKS), necesitarás la contraseña de cifrado antes de continuar.

Buenas prácticas de seguridad para la contraseña root

Cambiar la contraseña es solo el primer paso. Como SysAdmin, debes adoptar hábitos que protejan tu servidor a largo plazo.

1. Usa contraseñas fuertes y únicas

• Longitud mínima: 16 caracteres.
• Complejidad: mezcla letras mayúsculas, minúsculas, números y caracteres especiales.
• Evita reutilizar contraseñas de otros servicios.
• Usa un gestor de contraseñas (como Bitwarden, 1Password o KeePass) para almacenarlas de forma segura.

2. Habilita la autenticación SSH con llaves

En lugar de usar contraseña para conectarte por SSH, usa un par de llaves pública/privada. Esto elimina el riesgo de ataques de fuerza bruta contra la contraseña root.

# En tu máquina local genera las llaves:
ssh-keygen -t ed25519 -a 100

# Copia la llave pública al servidor:
ssh-copy-id root@tuservidor.com

Luego deshabilita el inicio de sesión por contraseña en /etc/ssh/sshd_config:

PasswordAuthentication no
PermitRootLogin prohibit-password

3. Cambia la contraseña periódicamente

Establece una política de rotación de contraseñas (cada 90 días es un buen intervalo). Puedes usar herramientas como chage para forzar el cambio:

chage -M 90 root

4. Considera deshabilitar el acceso root directo

En lugar de usar la cuenta root para todo, crea un usuario normal con permisos sudo. Esto mejora la auditoría y reduce el riesgo de errores catastróficos.

# Crear un usuario administrador
useradd -m -G sudo adminuser
passwd adminuser

# Ahora conéctate como adminuser y usa sudo para tareas administrativas

5. Monitorea los intentos de acceso

Revisa periódicamente los logs del sistema para detectar intentos de acceso no autorizados:

grep "Failed password for root" /var/log/auth.log

Errores comunes al cambiar la contraseña root (y cómo evitarlos)

Error 1: No tener permisos suficientes

Si intentas cambiar la contraseña de root desde un usuario normal sin sudo, recibirás un error como:

passwd: Only root can specify a user name.

Solución: Usa sudo passwd root o inicia sesión como root primero con su -.

Error 2: Escribir mal la contraseña (sin confirmación visual)

Como no ves los caracteres mientras escribes, es fácil cometer errores. Asegúrate de escribir despacio y confirma la contraseña con cuidado.

Error 3: Olvidar la contraseña inmediatamente después de cambiarla

Anota la nueva contraseña en un lugar seguro (gestor de contraseñas) antes de cerrar la sesión.

Error 4: No actualizar servicios que dependen de la contraseña root

Si usas paneles de control como Syspanel (puerto 2106) o aplicaciones que almacenan la contraseña root en sus configuraciones, deberás actualizarlas también. Por ejemplo, en Syspanel puedes cambiar la contraseña desde el panel de administración en Configuración del servidor > Cambiar contraseña root.

Preguntas frecuentes (FAQ)

¿Puedo cambiar la contraseña root desde Syspanel?

Sí, Syspanel (accesible por https://tudominio.com:2106) permite cambiar la contraseña root desde su interfaz web. Ve a Configuración del servidor > Cambiar contraseña root. Esto es útil si tienes acceso al panel pero no a la terminal.

¿Qué hago si el comando passwd no funciona?

Asegúrate de que el sistema de archivos raíz esté montado en modo lectura/escritura. Si estás en modo recovery, ejecuta mount -o remount,rw / primero.

¿Es seguro compartir la contraseña root con otros administradores?

No es recomendable. Mejor crea usuarios individuales con permisos sudo y asigna roles específicos. Así puedes auditar quién hizo qué.

¿Cómo sé si mi contraseña root es segura?

Puedes probar su fortaleza con herramientas como cracklib o simplemente verificar que cumpla con los estándares: larga, compleja y única.

¿Puedo cambiar la contraseña root desde un script?

Sí, puedes automatizarlo usando echo "nuevacontraseña" | passwd --stdin root (en algunas distribuciones). Pero ten cuidado: esto expone la contraseña en el historial de comandos y en procesos. Mejor usa herramientas como chpasswd o un script con entrada segura.

Conclusión

Cambiar contraseña root es una tarea sencilla pero crítica para cualquier SysAdmin. Ya sea que tengas acceso normal o estés en modo recovery, los pasos son claros y directos. Recuerda siempre priorizar la Linux seguridad: usa contraseñas fuertes, habilita autenticación con llaves SSH y considera deshabilitar el acceso root directo.

Si usas Syspanel (puerto 2106), aprovecha su interfaz para gestionar esta y otras configuraciones de forma centralizada. La administración de servidores no tiene por qué ser complicada; solo necesitas las herramientas adecuadas y buenos hábitos.

[TIP FINAL] Guarda siempre una copia de seguridad de tus contraseñas en un gestor de contraseñas. Y si trabajas en equipo, documenta el proceso para que todos sigan el mismo procedimiento. ¡Tu servidor te lo agradecerá!