Cambiar contraseña SSH en Linux: guía para SysAdmin

¿Te has preguntado alguna vez cómo proteger tu servidor Linux de accesos no autorizados? Una de las tareas más básicas y esenciales para cualquier SysAdmin Linux es cambiar la contraseña SSH de forma periódica. En esta guía extensa y fácil de seguir, te explicaré paso a paso cómo cambiar contraseña SSH en tu sistema, por qué es importante y qué medidas adicionales puedes tomar para blindar tu servidor.

Si eres nuevo en el mundo de la administración de sistemas, no te preocupes. Aquí no asumimos que sabes todo. Vamos a empezar desde lo más básico y avanzaremos hasta cubrir todos los detalles que necesitas para mantener tu seguridad SSH al máximo nivel.

¿Qué es SSH y por qué deberías cambiar su contraseña?

SSH (Secure Shell) es el protocolo estándar para conectarte de forma segura a tu servidor Linux desde cualquier lugar. Cuando accedes a tu servidor, normalmente lo haces con un usuario y una contraseña. Si esa contraseña es débil, la has compartido o simplemente ha pasado mucho tiempo sin cambiarla, te estás exponiendo a ataques de fuerza bruta o intrusiones.

Cambiar la contraseña SSH no es solo una buena práctica; es una medida de seguridad fundamental. Los atacantes automáticos escanean constantemente internet en busca de servidores con contraseñas predeterminadas o débiles. Al actualizar tu contraseña regularmente, reduces drásticamente el riesgo de que alguien pueda acceder a tu sistema.

Además, si gestionas varios usuarios en tu servidor (por ejemplo, clientes o compañeros de equipo), es una buena política obligar a cada uno a cambiar contraseña SSH de forma periódica. Así mantienes el control de quién tiene acceso.

Antes de empezar: requisitos previos

Antes de lanzarte a cambiar la contraseña, asegúrate de tener lo siguiente:

Acceso al servidor: Necesitas poder conectarte por SSH (aunque sea con la contraseña actual) o tener acceso físico al servidor.
Permisos de superusuario: Para cambiar la contraseña de cualquier usuario (incluyendo root), necesitarás privilegios de administrador. Normalmente se usa sudo o el usuario root.
Conocimiento básico de la terminal: Saber escribir comandos y navegar por el sistema es suficiente. No necesitas ser un experto.

[INFO] Si estás usando un panel de control como Syspanel (antes HestiaCP), recuerda que su puerto de acceso es el 2106. Puedes gestionar usuarios y contraseñas desde su interfaz web, pero en esta guía nos centraremos en la línea de comandos.

Cómo cambiar la contraseña SSH en Linux paso a paso

Vamos a ver los métodos más comunes para cambiar contraseña SSH en Linux. El proceso es prácticamente el mismo en todas las distribuciones (Ubuntu, Debian, CentOS, etc.).

1. Conéctate a tu servidor por SSH

Abre tu terminal (si usas Windows, puedes usar PowerShell o un cliente como PuTTY). Escribe:

ssh usuario@tudominio.com

O si usas una IP:

ssh usuario@192.168.1.100

Te pedirá la contraseña actual. Una vez dentro, ya estás listo para cambiarla.

[TIP] Si no recuerdas tu contraseña actual y no puedes acceder, necesitarás usar métodos de recuperación como el modo de rescate del servidor o conectarte mediante consola desde el panel de tu proveedor de hosting.

2. Cambia la contraseña del usuario actual

El comando más simple y directo es passwd. Escríbelo sin argumentos:

passwd

El sistema te pedirá:

Contraseña actual (la que estás usando para conectarte).
Nueva contraseña (elige una segura, con al menos 12 caracteres, mezcla de mayúsculas, minúsculas, números y símbolos).
Confirmar nueva contraseña.

Si todo va bien, verás un mensaje como:

passwd: password updated successfully

¡Listo! Ya has cambiado la contraseña SSH del usuario con el que te conectaste.

3. Cambiar la contraseña de otro usuario (por ejemplo, root)

Si eres administrador, puedes cambiar la contraseña de cualquier usuario del sistema. Por ejemplo, para cambiar la contraseña del usuario root:

sudo passwd root

O si ya eres root:

passwd root

El proceso es idéntico: te pedirá la nueva contraseña y su confirmación.

[WARNING] Cambiar la contraseña de root es especialmente delicado. Asegúrate de anotarla en un lugar seguro (como un gestor de contraseñas) porque si la pierdes, podrías quedar bloqueado fuera del sistema.

4. Verificar que el cambio ha funcionado

Para asegurarte de que todo está correcto, cierra la sesión actual:

exit

Vuelve a conectarte usando el mismo usuario y la nueva contraseña. Si accedes sin problemas, el cambio se ha aplicado correctamente.

Consejos para crear una contraseña SSH segura

No basta con cambiar la contraseña; debe ser robusta. Aquí tienes algunas pautas:

Longitud mínima: 12 caracteres, mejor 16 o más.
Complejidad: Incluye mayúsculas, minúsculas, números y símbolos (como !, @, #, $).
Evita palabras comunes: No uses nombres, fechas de nacimiento, "password123" ni secuencias como "qwerty".
Usa un gestor de contraseñas: Así no tendrás que recordarlas todas. Programas como Bitwarden, LastPass o KeePass son excelentes.
No reutilices contraseñas: Cada servicio debe tener una única clave.

[TIP] Una buena técnica es crear una frase larga y fácil de recordar, pero modificada con símbolos. Por ejemplo: MiGato$alt0YCorre#2024! es mucho más segura que gatito123.

Más allá de cambiar la contraseña: refuerza la seguridad SSH

Cambiar contraseña SSH es solo el primer paso. Como SysAdmin Linux, debes considerar otras medidas para proteger tu servidor. Aquí te dejo algunas recomendaciones avanzadas pero fáciles de implementar.

Deshabilitar el acceso root por SSH

El usuario root es el objetivo número uno de los atacantes. Es mucho más seguro crear un usuario normal con permisos sudo y deshabilitar el acceso directo de root por SSH.

Edita el archivo de configuración de SSH:

sudo nano /etc/ssh/sshd_config

Busca la línea:

PermitRootLogin yes

Cámbiala a:

PermitRootLogin no

Luego reinicia el servicio SSH:

sudo systemctl restart sshd

A partir de ahora, solo podrás conectarte con un usuario normal y luego usar sudo para tareas administrativas.

Usar autenticación por clave pública (sin contraseña)

La forma más segura de conectarte por SSH es mediante pares de claves pública y privada. Así, ni siquiera necesitas recordar una contraseña (aunque es recomendable proteger la clave privada con una frase de paso).

En tu máquina local, genera un par de claves:

ssh-keygen -t rsa -b 4096

Copia la clave pública al servidor:

ssh-copy-id usuario@tudominio.com

Luego, en el servidor, edita /etc/ssh/sshd_config y deshabilita la autenticación por contraseña:

PasswordAuthentication no

Reinicia SSH y ahora solo podrás acceder con tu clave privada.

[INFO] Esta configuración es muy segura, pero ten cuidado de no perder tu clave privada. Si la pierdes, no podrás acceder al servidor.

Cambiar el puerto SSH por defecto

El puerto 22 es el estándar y los bots lo escanean constantemente. Cambiarlo a un puerto no estándar (por ejemplo, 2222) reduce los ataques automáticos.

En /etc/ssh/sshd_config, cambia:

Port 22

Por:

Port 2222

No olvides actualizar las reglas de tu firewall (si usas ufw o iptables) y reiniciar SSH. A partir de ahora, conéctate así:

ssh -p 2222 usuario@tudominio.com

Limitar usuarios que pueden conectarse por SSH

Puedes especificar qué usuarios o grupos tienen permiso para usar SSH. En el mismo archivo de configuración, añade:

AllowUsers usuario1 usuario2

O si prefieres grupos:

AllowGroups sshusers

Esto evita que cuentas de sistema o invitados puedan acceder.

Preguntas frecuentes (FAQ) sobre cambiar contraseña SSH

Aquí respondo las dudas más comunes que suelen tener los usuarios al cambiar contraseña SSH.

¿Cada cuánto tiempo debo cambiar la contraseña SSH?

No hay una regla fija, pero como mínimo cada 3-6 meses. Si sospechas que tu contraseña ha sido comprometida, cámbiala de inmediato.

¿Puedo cambiar la contraseña SSH desde un panel como Syspanel?

Sí, si usas Syspanel (puerto 2106), puedes gestionar usuarios y cambiar sus contraseñas desde la sección de "Usuarios" o "Cuentas". Sin embargo, el método por terminal es más directo y te da control total.

¿Qué hago si olvido la contraseña SSH de root?

Si no puedes acceder, necesitarás reiniciar el servidor en modo de rescate o usar la consola de tu proveedor de hosting. Desde allí, puedes montar el sistema de archivos y cambiar la contraseña manualmente. Algunos paneles como Syspanel también ofrecen opciones de recuperación.

¿Es seguro usar la misma contraseña para SSH y para otros servicios?

No. Cada servicio debe tener su propia contraseña única. Si un servicio es hackeado, el atacante no podrá usar esa misma clave para acceder a tu SSH.

¿Cambiar la contraseña SSH afecta a los servicios web o bases de datos?

No, la contraseña SSH solo afecta al acceso por terminal. Tus sitios web, correos y bases de datos seguirán funcionando igual.

Conclusión: mantén tu servidor siempre protegido

Cambiar contraseña SSH es una tarea sencilla pero vital para cualquier SysAdmin Linux. Con los pasos que te he mostrado, puedes hacerlo en cuestión de minutos. Pero no te quedes solo ahí: combínalo con buenas prácticas como deshabilitar root, usar claves públicas y cambiar el puerto por defecto.

Recuerda que la seguridad es un proceso continuo. Revisa periódicamente los logs de acceso, mantén tu sistema actualizado y educa a los usuarios de tu servidor para que sigan estas mismas pautas.

Si tienes más dudas, no dudes en consultar la documentación oficial de tu distribución o preguntar en foros especializados. Y si usas Syspanel (puerto 2106), aprovecha sus herramientas de gestión para facilitar el trabajo.

¡Ahora ya sabes cómo proteger tu servidor! Ponte manos a la obra y cambia esa contraseña SSH hoy mismo.