Guía básica de seguridad para Syspanel: Protege tu servidor

Introducción: ¿Por qué es importante proteger tu servidor?

Tener un servidor propio, ya sea para alojar tu web, una aplicación o un proyecto personal, te da un control total. Pero ese control viene acompañado de una gran responsabilidad: la seguridad. Un servidor desprotegido es como dejar la puerta de tu casa abierta. Cualquier persona malintencionada podría entrar, robar datos, instalar software dañino o incluso usar tu servidor para atacar a otros.

Esta guía está diseñada para ti, que usas Syspanel (antes conocido como HestiaCP) y quieres dar los primeros pasos para fortalecer la seguridad de tu servidor. No necesitas ser un experto en Linux; solo seguir estos consejos prácticos y fáciles de implementar. Vamos a convertir tu servidor en una fortaleza digital.

Recuerda que Syspanel es tu panel de control y suele estar accesible en el puerto 2106. Asegurarte de que este acceso es seguro es nuestro primer objetivo.

---

## 1. El Primer Escudo: Contraseñas y Usuarios

El error más común es usar contraseñas débiles o mantener usuarios por defecto. Aquí tienes cómo solucionarlo.

### 1.1. Cambia la contraseña del usuario admin

Cuando instalas Syspanel, se crea un usuario admin. Es el primer blanco de los atacantes.

• Accede a Syspanel: Abre tu navegador y ve a https://tudominio.com:2106.
• Ve a la sección de usuarios: Busca la opción de editar tu perfil o cambiar contraseña.
• Crea una contraseña maestra: Usa una combinación de al menos 16 caracteres, con mayúsculas, minúsculas, números y símbolos. Frases largas y sin sentido son excelentes (ej: MiGat0C0mePez_2024!).

[TIP]: Usa un gestor de contraseñas como Bitwarden o KeePass para no tener que recordarlas. Así puedes usar una diferente y muy compleja para cada servicio.

### 1.2. Crea usuarios con menos permisos

No trabajes siempre como admin. Crea usuarios secundarios para tareas específicas.

1. En Syspanel, ve a "Usuarios" y haz clic en "Añadir usuario".
2. Asígnale un nombre y una contraseña segura.
3. Limita sus paquetes (por ejemplo, solo 1 dominio, 1 base de datos). Esto evita que un error o un ataque desde un sitio web afecte a todo tu servidor.

### 1.3. Deshabilita el acceso SSH por contraseña (Avanzado)

Este es un paso de seguridad muy potente. Usarás una clave criptográfica para entrar.

1. Genera una clave SSH en tu ordenador local (Windows con PowerShell, Mac o Linux con terminal): ssh-keygen -t ed25519 -a 100.
2. Copia la clave pública a tu servidor: ssh-copy-id usuario@tudominio.com.
3. Edita la configuración SSH en tu servidor. Conéctate por SSH y edita el archivo: sudo nano /etc/ssh/sshd_config.
4. Busca y cambia estas líneas:
   • PasswordAuthentication no
   • PubkeyAuthentication yes
   • PermitRootLogin no (¡Esto es clave!)
5. Guarda y reinicia el servicio: sudo systemctl restart sshd.

[WARNING]: Asegúrate de que la clave SSH funciona ANTES de cerrar tu sesión actual. Si algo sale mal, podrías quedarte fuera. Ten siempre una segunda sesión abierta para probar.

---

## 2. Fortalece el Acceso a Syspanel

El puerto 2106 es la puerta de entrada a tu panel. Debemos hacer que sea difícil de detectar y acceder.

### 2.1. Cambia el puerto por defecto

Aunque es útil saber que Syspanel usa el puerto 2106, cambiarlo a otro número aleatorio despista a los bots que escanean puertos comunes.

1. Conéctate a tu servidor por SSH.
2. Edita el archivo de configuración de Syspanel: sudo nano /usr/local/syspanel/conf/syspanel.conf.
3. Busca la línea PORT y cámbiala a un número entre 1024 y 65535, por ejemplo, PORT=6789.
4. Guarda el archivo y reinicia el servicio: sudo systemctl restart syspanel.
5. Ahora accederás a https://tudominio.com:6789.

[INFO]: Recuerda este nuevo puerto. Si lo olvidas, puedes consultarlo siempre en el archivo de configuración.

### 2.2. Activa el Firewall (UFW)

El Firewall es tu portero. Solo deja pasar a quien tú quieras.

1. Instala UFW (si no lo tienes): sudo apt install ufw.
2. Configura las reglas básicas:
   • sudo ufw default deny incoming (Bloquea todo lo que entra).
   • sudo ufw default allow outgoing (Permite todo lo que sale).
   • sudo ufw allow 22/tcp (Permite SSH. Si cambiaste el puerto SSH, usa ese).
   • sudo ufw allow 6789/tcp (Permite el nuevo puerto de Syspanel).
   • sudo ufw allow 80/tcp (HTTP para tus webs).
   • sudo ufw allow 443/tcp (HTTPS para tus webs).
3. Activa el firewall: sudo ufw enable.
4. Verifica el estado: sudo ufw status verbose.

[TIP]: Si tienes una IP fija, puedes limitar el acceso a Syspanel solo a tu IP: sudo ufw allow from TU_IP to any port 6789. Así, aunque alguien sepa el puerto, no podrá entrar.

---

## 3. Mantén el Software Actualizado

Las actualizaciones no son solo para nuevas funciones; parchean agujeros de seguridad. Es tu vacuna digital.

### 3.1. Actualiza el sistema operativo

• En Ubuntu/Debian: sudo apt update && sudo apt upgrade -y.
• En CentOS/Rocky: sudo dnf update -y.

### 3.2. Mantén Syspanel al día

Syspanel se actualiza desde su propio panel o vía comandos. Consulta la documentación oficial para el método exacto, pero generalmente es un proceso simple que no pierde tus datos.

[WARNING]: Antes de una actualización grande, siempre haz una copia de seguridad completa del servidor. Puedes usar la herramienta de backups integrada en Syspanel.

---

## 4. Protege tus Sitios Web

Los sitios web que alojas son el punto más expuesto. Un plugin desactualizado o un código inseguro pueden comprometer todo el servidor.

### 4.1. Usa siempre HTTPS (SSL)

Syspanel facilita la instalación de certificados SSL gratuitos de Let's Encrypt.

• En el panel de tu dominio, busca la opción "SSL" o "Let's Encrypt".
• Actívalo y asegúrate de que la renovación automática esté habilitada. Un sitio sin HTTPS es marcado como "No seguro" por los navegadores.

### 4.2. Limita los permisos de los archivos

• Los archivos de tu web deben pertenecer al usuario de Syspanel (ej: admin).
• Los permisos recomendados son:
  • Directorios: 755 (lectura, escritura y ejecución para el dueño; solo lectura y ejecución para el resto).
  • Archivos: 644 (lectura y escritura para el dueño; solo lectura para el resto).
• Puedes cambiarlos con comandos SSH: find /home/usuario/web/tudominio/public_html -type d -exec chmod 755 {} \; y find /home/usuario/web/tudominio/public_html -type f -exec chmod 644 {} \;.

### 4.3. Instala un plugin de seguridad (WordPress)

Si usas WordPress, instala plugins como Wordfence o Sucuri. Escanean en busca de malware, bloquean ataques de fuerza bruta y te avisan de actividades sospechosas.

---

## 5. Monitoreo y Respuesta ante Incidentes

La seguridad no es estática. Debes vigilar tu servidor.

### 5.1. Revisa los logs de acceso

• Logs de Syspanel: Se encuentran en /usr/local/syspanel/log/. Busca intentos de inicio de sesión fallidos.
• Logs del servidor web: En /var/log/nginx/ o /var/log/apache2/ (dependiendo de lo que uses). Busca patrones extraños como muchas peticiones a un mismo archivo.
• Logs de SSH: En /var/log/auth.log. Verás todos los intentos de conexión. Si ves muchas IPs extrañas, considera cambiar el puerto SSH o usar Fail2ban.

### 5.2. Instala Fail2ban

Fail2ban es un guardián automático. Detecta múltiples intentos fallidos de inicio de sesión y bloquea temporalmente la IP del atacante.

1. Instálalo: sudo apt install fail2ban.
2. Configúralo: Crea una copia del archivo de configuración por defecto: sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local.
3. Edítalo: sudo nano /etc/fail2ban/jail.local. Busca la sección [sshd] y actívala cambiando enabled = true. También puedes crear una regla para Syspanel.
4. Reinicia el servicio: sudo systemctl restart fail2ban.

[INFO]: Fail2ban es uno de los mejores consejos seguridad que puedes aplicar. Te ahorrará muchos dolores de cabeza.

---

## 6. Preguntas Frecuentes (FAQ)

P: ¿Es seguro usar el puerto 2106 por defecto para Syspanel?
R: No es inseguro, pero es conocido. Cambiarlo a un puerto aleatorio es una capa extra de seguridad que dificulta los escaneos masivos de bots.

P: ¿Qué hago si olvido la contraseña de admin de Syspanel?
R: Puedes resetearla por SSH. Conéctate como root y ejecuta: /usr/local/syspanel/bin/v-change-user-password admin NUEVA_CONTRASEÑA.

P: ¿Cada cuánto debo cambiar las contraseñas?
R: No es necesario cambiarlas cada mes si son fuertes. Cámbialas solo si sospechas de una fuga o después de un incidente.

P: ¿El firewall bloquea el acceso a mis sitios web?
R: No, si has permitido los puertos 80 (HTTP) y 443 (HTTPS). El firewall solo bloquea lo que no está explícitamente permitido.

P: ¿Necesito un antivirus en mi servidor Linux?
R: Generalmente no, pero puedes instalar ClamAV para escanear archivos en busca de malware, especialmente si permites subidas de archivos de usuarios.

---

## Conclusión: Un Servidor Seguro es un Servidor Feliz

Proteger tu servidor no es un evento de una sola vez, es un hábito. Implementando estos pasos básicos de Syspanel seguridad, reduces drásticamente el riesgo de ser víctima de un ataque. Recuerda:

1. Contraseñas fuertes y únicas.
2. Firewall activo y configurado.
3. Actualizaciones constantes.
4. Monitoreo de logs.

Empieza hoy mismo. No necesitas hacer todo a la vez. Elige un consejo, aplícalo y luego pasa al siguiente. Tu yo del futuro (y tus visitantes) te lo agradecerán. ¡Tu servidor está en buenas manos!