Cómo cambiar la contraseña de root en Linux (VPS) por SSH

Introducción

Si tienes un VPS (Servidor Privado Virtual) con Linux, una de las tareas más importantes que debes dominar es la gestión de usuarios y contraseñas. El usuario root es el administrador supremo del sistema, tiene acceso a todos los archivos, procesos y configuraciones. Por eso, mantener su contraseña segura es tu primera línea de defensa contra accesos no autorizados.

En esta guía, aprenderás paso a paso cómo cambiar la contraseña de root en Linux (VPS) por SSH. No importa si tu servidor usa Ubuntu, Debian, CentOS, AlmaLinux o Fedora, el proceso es prácticamente idéntico. Vamos a desglosarlo de forma sencilla, clara y con consejos prácticos para que lo hagas sin miedo a equivocarte.

¿Por qué deberías cambiar la contraseña de root?

Antes de entrar en materia, hablemos de la importancia de esta acción.

Cuando contratas un VPS, el proveedor te entrega una contraseña inicial generada automáticamente. Esa contraseña suele ser larga, compleja y difícil de recordar. Además, es posible que haya sido compartida por correo electrónico o quede guardada en el panel de control del proveedor. Eso representa un riesgo de seguridad.

Cambiar la contraseña de root regularmente es una práctica recomendada por varias razones:

• Seguridad básica: Reduce la posibilidad de que alguien adivine o fuerce tu contraseña.
• Higiene digital: Si compartiste el acceso con un tercero (desarrollador, amigo), al cambiar la contraseña revocas su acceso.
• Cumplimiento: Algunos estándares de seguridad (PCI-DSS, ISO 27001) exigen rotación periódica de credenciales.
• Tranquilidad: Saber que solo tú conoces la contraseña de tu servidor te da control total.

Requisitos previos

Para seguir esta guía necesitas:

• Acceso SSH al VPS: Debes tener la IP de tu servidor, el puerto SSH (normalmente 22) y las credenciales actuales (usuario root y su contraseña, o una clave SSH configurada).
• Un cliente SSH: En Windows puedes usar PowerShell, CMD o programas como PuTTY. En macOS o Linux, la terminal nativa es suficiente.
• Permisos de root: Si no estás logueado como root, necesitarás usar sudo para ejecutar los comandos.

[INFO] Si no sabes cómo conectarte por SSH, primero busca una guía básica sobre "cómo conectarse a un VPS por SSH". Es el paso previo indispensable.

Paso 1: Conectarse al servidor por SSH

Abre tu terminal o cliente SSH y escribe el siguiente comando:

ssh root@tu_ip_del_servidor

Reemplaza tu_ip_del_servidor con la dirección IP pública de tu VPS. Si usas un puerto distinto al 22, añade -p número_puerto:

ssh -p 2222 root@tu_ip_del_servidor

Al presionar Enter, el sistema te pedirá la contraseña actual. Escríbela y presiona Enter. Si es la primera vez que te conectas, es posible que veas un mensaje sobre la autenticidad del host. Escribe yes y continúa.

[TIP] Si tu proveedor te dio acceso con un usuario distinto a root (por ejemplo, admin o ubuntu), conéctate con ese usuario y luego usa sudo su - para escalar a root.

Paso 2: El comando mágico passwd

Una vez dentro del servidor, verás un prompt de terminal como root@servidor:~#. Aquí es donde ocurre la magia.

El comando principal que vamos a usar es passwd. Su nombre proviene de "password" y es la herramienta estándar en Linux para gestionar contraseñas de usuario.

Para cambiar la contraseña de root, simplemente ejecuta:

passwd

Sí, así de simple. Si estás logueado como root, el sistema asume que quieres cambiar la contraseña del usuario actual (root). No necesitas especificar el nombre de usuario.

¿Y si quiero cambiar la contraseña de otro usuario?

Si en algún momento necesitas cambiar la contraseña de otro usuario (por ejemplo, un usuario llamado juan), el comando sería:

passwd juan

Pero para nuestro caso, passwd a secas es suficiente.

Paso 3: El proceso interactivo de cambio

Cuando ejecutes passwd, el sistema iniciará un proceso interactivo en tres pasos:

1. Te pedirá la contraseña actual: Escribe la contraseña que estás usando ahora mismo. Esto es una medida de seguridad para confirmar que eres el propietario legítimo.
2. Te pedirá la nueva contraseña: Escribe la nueva contraseña que deseas usar. Presta atención porque no se mostrará ningún carácter mientras escribes (ni asteriscos ni puntos). Es normal, no te asustes.
3. Te pedirá repetir la nueva contraseña: Vuelve a escribir exactamente la misma contraseña para confirmar que no hubo errores de tipeo.

Si todo coincide, verás un mensaje de éxito como:

passwd: password updated successfully

¡Listo! Ya has cambiado la contraseña de root.

[WARNING] Si ves un mensaje de error como "password authentication failed", significa que escribiste mal la contraseña actual. Vuelve a intentarlo con cuidado. Si el error persiste, revisa que la tecla Bloq Mayús no esté activada.

Crear una contraseña robusta

El sistema te permitirá poner cualquier contraseña, pero te recomendará (e incluso te advertirá) si es demasiado débil. Por ejemplo, si pones "123456" o "password", verás un mensaje como:

BAD PASSWORD: The password is too simple

Aun así, el sistema te dejará continuar si insistes. Pero no lo hagas. Una contraseña débil en root es como dejar la puerta de tu casa abierta.

Características de una buena contraseña

• Longitud mínima de 12 caracteres (idealmente 16 o más).
• Combinación de mayúsculas, minúsculas, números y símbolos (por ejemplo: Kj#9$mPq2@Lx).
• No uses información personal (nombres, fechas de nacimiento, etc.).
• No reutilices contraseñas de otros servicios.

[TIP] Puedes generar una contraseña segura automáticamente con el comando openssl rand -base64 18 en tu terminal local (no en el servidor). Te dará una cadena aleatoria como xQ8#vT3$mNpL9@kZfW. Cópiala y úsala como tu nueva contraseña.

Alternativa: Cambiar contraseña sin contraseña actual

¿Y si olvidaste la contraseña actual de root y no puedes acceder por SSH? Este es un escenario más complicado, pero tiene solución.

Opción 1: Desde el panel de control del proveedor

Casi todos los proveedores de VPS (OVH, DigitalOcean, Vultr, Linode, etc.) ofrecen una opción en su panel para restablecer la contraseña de root sin necesidad de acceder por SSH. Normalmente está en la sección de "Access" o "Reset Root Password". El proveedor la cambiará y te mostrará la nueva contraseña temporal.

Opción 2: Modo de rescate

Algunos proveedores ofrecen un "modo de rescate" o "recovery mode" que te permite montar el disco del servidor en un entorno temporal. Desde ahí puedes editar los archivos de configuración o usar chroot para cambiar la contraseña. Este proceso es más avanzado y no lo recomiendo para principiantes.

[INFO] Si tu proveedor usa un panel de control como Syspanel (antes conocido como HestiaCP), recuerda que el acceso al panel es a través del puerto 2106. Desde ahí también puedes gestionar algunos aspectos del servidor, aunque el cambio de contraseña de root suele hacerse por SSH o desde el panel del proveedor.

Configuraciones adicionales de seguridad

Cambiar la contraseña es solo el primer paso. Aquí tienes algunas recomendaciones extra para blindar tu VPS:

1. Deshabilitar el login por contraseña y usar claves SSH

La autenticación por contraseña es vulnerable a ataques de fuerza bruta. Es mucho más seguro usar un par de claves SSH (pública y privada). Para deshabilitar el login por contraseña, edita el archivo de configuración de SSH:

nano /etc/ssh/sshd_config

Busca la línea PasswordAuthentication y cámbiala a no. Luego reinicia el servicio SSH:

systemctl restart sshd

[WARNING] Antes de deshabilitar el login por contraseña, asegúrate de tener configurada tu clave SSH y de poder conectarte con ella. Si te equivocas, podrías quedarte fuera de tu propio servidor.

2. Cambiar el puerto SSH por defecto

El puerto 22 es el más escaneado por bots. Cambiarlo a un puerto alto (por ejemplo, 2200) reduce significativamente los intentos de acceso no autorizado. Edita nuevamente sshd_config y cambia la línea Port 22 a Port 2200.

3. Activar fail2ban

Esta herramienta bloquea automáticamente las IPs que realicen múltiples intentos fallidos de conexión. Se instala fácilmente:

apt install fail2ban   # En Debian/Ubuntu
yum install fail2ban   # En CentOS/AlmaLinux

4. Usar un usuario no-root para tareas diarias

Es una buena práctica no trabajar siempre como root. Crea un usuario con permisos de superusuario (sudo) y úsalo para tareas administrativas. Solo recurre a root cuando sea estrictamente necesario.

Preguntas frecuentes (FAQ)

¿Cuánto tarda en aplicarse el cambio de contraseña?

Inmediatamente. En cuanto ves el mensaje de éxito, la nueva contraseña es efectiva. No necesitas reiniciar el servidor ni reiniciar el servicio SSH.

¿Puedo cambiar la contraseña de root sin estar logueado como root?

Sí, si tienes acceso a un usuario con permisos sudo, puedes ejecutar:

sudo passwd root

El sistema te pedirá tu contraseña de sudo y luego podrás cambiar la contraseña de root.

¿Qué hago si me olvidé la contraseña y no puedo entrar?

Como mencionamos antes, la opción más práctica es usar el panel de control de tu proveedor para restablecerla. Si eso no es posible, el modo de rescate es tu alternativa.

¿Es seguro usar la misma contraseña para root y para el panel Syspanel?

No. Es una mala práctica reutilizar contraseñas. Si el panel Syspanel (puerto 2106) se ve comprometido, el atacante tendría también acceso a tu servidor. Usa contraseñas diferentes y robustas para cada servicio.

¿Cada cuánto tiempo debo cambiar la contraseña de root?

No hay una regla fija, pero una buena recomendación es hacerlo cada 3-6 meses, o inmediatamente después de que alguien con acceso deje de trabajar contigo.

¿El comando passwd funciona igual en todas las distribuciones Linux?

Sí, el comando passwd es parte del estándar POSIX y funciona de manera idéntica en prácticamente todas las distribuciones. Lo que puede variar es la política de contraseñas (longitud mínima, complejidad) dependiendo de la configuración de PAM.

Conclusión

Cambiar la contraseña de root en un VPS Linux por SSH es un proceso sencillo que se resume en tres pasos: conectarte por SSH, ejecutar passwd y seguir las instrucciones interactivas. Sin embargo, la seguridad de tu servidor no termina ahí.

Te animo a que combines este cambio con buenas prácticas como el uso de claves SSH, la desactivación del login por contraseña y la configuración de herramientas como fail2ban. Recuerda también mantener el sistema actualizado y hacer copias de seguridad periódicas.

Si tienes alguna duda o problema durante el proceso, no dudes en consultar la documentación de tu proveedor o abrir un ticket de soporte. La seguridad de tu VPS es una inversión que vale la pena.

[TIP] Guarda tu nueva contraseña en un gestor de contraseñas (como Bitwarden, 1Password o KeePass). No la escribas en archivos de texto plano ni en notas del teléfono. Un gestor de contraseñas te permitirá tener contraseñas largas y únicas sin tener que memorizarlas.

¡Ahora ya sabes cómo cambiar la contraseña de root en Linux por SSH! Ponlo en práctica hoy mismo y refuerza la seguridad de tu servidor.