Seguridad en DirectAdmin: Consejos para SysAdmin

Cuando hablamos de DirectAdmin, nos referimos a uno de los paneles de control más populares para la administración de servidores web. Es rápido, ligero y muy potente, pero como cualquier herramienta de gestión, requiere que le pongamos atención a la seguridad. Un servidor mal configurado es como una puerta abierta para cualquiera que quiera entrar, y eso puede traducirse en sitios web caídos, datos robados o incluso en que tu servidor sea usado para atacar a otros.

No te preocupes, no necesitas ser un experto en ciberseguridad para proteger tu servidor. En esta guía, te explicaré paso a paso, y de forma muy sencilla, cómo fortalecer la seguridad de tu DirectAdmin. Al final, tendrás un servidor mucho más difícil de vulnerar y, lo más importante, sabrás cómo recuperarte ante cualquier imprevisto gracias a los backups.

Conceptos Básicos: ¿Por qué es importante la seguridad en DirectAdmin?

Antes de empezar con los pasos técnicos, entendamos por qué esto es tan importante. Tu servidor es el hogar de tus sitios web, correos electrónicos y bases de datos. Si un atacante logra acceder a DirectAdmin o al sistema operativo (Linux), podría:

Robar información sensible de tus clientes.
Modificar tus páginas web para inyectar malware.
Usar tu servidor para enviar spam.
Borrar todos tus datos.

Un buen SysAdmin sabe que la seguridad no es un producto que se compra, sino un proceso que se mantiene día a día. Empecemos con las medidas más básicas y efectivas.

Primeros Pasos: La Puerta de Entrada

### 1. Contraseñas Fuertes y Autenticación de Dos Factores (2FA)

Esta es la regla de oro. Una contraseña débil es la principal causa de intrusiones. No uses "admin123" o "password".

[TIP] Para generar contraseñas seguras, usa un gestor de contraseñas como Bitwarden o 1Password. Ellos crean claves largas, aleatorias y las recuerdan por ti.

En DirectAdmin, puedes activar la Autenticación de Dos Factores (2FA). Esto añade una capa extra: además de tu contraseña, necesitarás un código que se genera en tu teléfono (por ejemplo, con Google Authenticator o Authy). Así, aunque alguien robe tu contraseña, no podrá entrar sin tu móvil.

Para activarlo:

Inicia sesión en DirectAdmin como administrador.
Ve a Admin Level -> Admin Settings.
Busca la opción Two-Factor Authentication y actívala.
Sigue las instrucciones para escanear el código QR con tu aplicación.

### 2. Cambiar los Puertos por Defecto

Por defecto, DirectAdmin usa el puerto 2222 para el panel de administración. Todos los atacantes lo saben. Cambiarlo a un puerto menos común (por ejemplo, 54321) reduce drásticamente los intentos de acceso automatizados.

¿Cómo hacerlo?

Accede a tu servidor por SSH (como root).
Edita el archivo de configuración de DirectAdmin: nano /usr/local/directadmin/conf/directadmin.conf
Busca la línea port=2222 y cámbiala por tu nuevo puerto (ej: port=54321).
Guarda el archivo (Ctrl+O, luego Ctrl+X).
Reinicia el servicio: systemctl restart directadmin
Importante: Ahora deberás acceder a tu panel usando http://tu-servidor:54321.

[WARNING] Asegúrate de que el nuevo puerto no esté siendo usado por otro servicio y que tu firewall lo permita.

Fortificando el Sistema Operativo (Linux)

DirectAdmin se ejecuta sobre Linux. Por lo tanto, proteger el sistema base es fundamental.

### 3. Mantén el Sistema Actualizado

Esta es la tarea más sencilla y la que más se descuida. Las actualizaciones corrigen vulnerabilidades conocidas. Un servidor desactualizado es un blanco fácil.

¿Cómo hacerlo?

Para el sistema operativo: yum update (en CentOS/AlmaLinux) o apt update && apt upgrade (en Ubuntu/Debian).
Para DirectAdmin: Ve a Admin Level -> Update y haz clic en Check for Updates. Es recomendable tener la última versión estable.

### 4. Configurar el Firewall (CSF - ConfigServer Security & Firewall)

CSF es el firewall más popular y potente para servidores con DirectAdmin. Se instala y configura fácilmente desde el panel.

Instalación y configuración básica:

Conéctate por SSH como root.
Ejecuta: cd /usr/src && wget https://download.configserver.com/csf.tgz && tar -xzf csf.tgz && cd csf && sh install.sh
Una vez instalado, ve a DirectAdmin -> Plugins -> ConfigServer Security & Firewall.
Lo primero: ve a Firewall Configuration.
Busca TESTING y cámbialo a 0 (cero) para activar el firewall.
En la misma sección, busca TCP_IN y TCP_OUT. Aquí defines qué puertos están permitidos. Por ejemplo, para un servidor web típico, deberías tener algo como:
- TCP_IN = 21,22,25,80,110,143,443,465,587,993,995,3306,54321 (aquí pones tu nuevo puerto de DirectAdmin).
- TCP_OUT = 20,21,22,25,37,43,53,80,110,113,443,587,993,995,3306,54321
Guarda los cambios y haz clic en Restart csf+lfd para aplicar.

[INFO] CSF también incluye un sistema de detección de intrusiones (LFD) que bloquea automáticamente IPs que hacen demasiados intentos de conexión fallidos.

### 5. Proteger el Acceso SSH

El puerto 22 (SSH) es otro punto crítico. Podemos hacerlo mucho más seguro.

Cambia el puerto SSH: En el archivo /etc/ssh/sshd_config, cambia la línea #Port 22 a Port 2222 (o el que quieras). Luego, reinicia SSH: systemctl restart sshd. No olvides añadir este nuevo puerto a tu firewall (CSF).
Desactiva el login como root: En el mismo archivo, busca PermitRootLogin yes y cámbialo a PermitRootLogin no. Luego, crea un usuario normal con permisos sudo para administrar.
Usa autenticación por llave SSH: Es mucho más seguro que una contraseña. Genera un par de llaves en tu ordenador local con ssh-keygen y copia la llave pública al servidor con ssh-copy-id usuario@tu-servidor. Luego, en el archivo de configuración SSH, cambia PasswordAuthentication yes a PasswordAuthentication no.

Seguridad a Nivel de Aplicación en DirectAdmin

### 6. Configurar PHP con Modo Seguro

DirectAdmin te permite elegir cómo se ejecuta PHP. El modo más seguro es PHP-FPM con modo de usuario. Esto significa que cada cuenta de usuario ejecuta sus propios procesos PHP, de forma aislada. Si un sitio web es hackeado, el resto no se verá afectado.

Cómo configurarlo:

Ve a Admin Level -> CustomBuild.
En la pestaña Configure, busca PHP Mode y selecciona php-fpm.
Luego, en PHP Version, elige la más reciente y estable (por ejemplo, 8.2 o 8.3).
Guarda y luego haz clic en Build para compilar e instalar.

### 7. Proteger Directorios y Archivos

DirectAdmin permite establecer permisos muy restrictivos a nivel de usuario. Una buena práctica es que los archivos del sitio web tengan permisos 644 (el dueño puede escribir, los demás solo leer) y los directorios 755.

Además, desde el panel de usuario, puedes proteger con contraseña directorios específicos (muy útil para áreas de administración de WordPress, por ejemplo).

La Red de Seguridad: Backups

Llegamos a uno de los puntos más importantes, y que muchos olvidan: los backups. No importa cuán seguro sea tu servidor, siempre existe la posibilidad de un error humano, un fallo de hardware o un ataque muy sofisticado. Un backup es tu red de seguridad.

### 8. Configurar Backups Automáticos en DirectAdmin

DirectAdmin tiene un sistema de backups muy completo. Puedes hacer backups completos del servidor, de un usuario o de una cuenta específica.

Para configurar backups automáticos del servidor:

Ve a Admin Level -> Backup/Transfer.
Haz clic en Create Backup.
Selecciona Admin Backup.
Elige qué quieres incluir: cuentas de usuario, bases de datos, configuraciones del panel, etc. Te recomiendo marcar todo.
En Destination, elige FTP o SSH para enviar el backup a otro servidor o servicio en la nube (como Amazon S3, Google Drive, etc.). Nunca guardes los backups en el mismo disco duro del servidor. Si el disco falla, perderás todo.
Programa la frecuencia: diario, semanal, etc. Un backup diario es lo ideal.

[TIP] Para una mayor seguridad, sigue la regla 3-2-1: 3 copias de tus datos, en 2 tipos de soporte diferentes (por ejemplo, disco local y nube), y 1 copia fuera del sitio (offsite).

### 9. Restaurar desde un Backup

Saber restaurar es tan importante como hacer el backup. En DirectAdmin, es muy sencillo:

Ve a Admin Level -> Backup/Transfer.
Haz clic en Restore Backup.
Selecciona el archivo de backup (puede estar en el servidor o descargarlo desde una URL).
Elige qué restaurar: una cuenta completa, un usuario, o solo las bases de datos.
Haz clic en Restore.

[WARNING] Siempre prueba tus backups de vez en cuando. Un backup que no se puede restaurar no sirve de nada.

Preguntas Frecuentes (FAQ)

¿Qué hago si creo que mi servidor ha sido hackeado?

No entres en pánico. Aísla el servidor si es posible (desconéctalo de la red).
Cambia todas las contraseñas inmediatamente: root, DirectAdmin, bases de datos, FTP.
Revisa los logs de DirectAdmin y del sistema (en /var/log/) para ver qué pasó.
Restaura desde un backup limpio (anterior al ataque).
Actualiza todo y revisa la configuración de seguridad.

¿Es necesario usar CloudFlare o un CDN para la seguridad?

Sí, es muy recomendable. CloudFlare actúa como un escudo, ocultando tu IP real y filtrando tráfico malicioso (ataques DDoS, inyecciones SQL, etc.). Además, suele incluir un firewall de aplicaciones web (WAF) gratuito.

¿Cada cuánto debo revisar la seguridad de mi servidor?

Al menos una vez al mes. Revisa los logs, actualiza el sistema, comprueba que los servicios estén funcionando correctamente y verifica que los backups se estén realizando sin errores.

Mencionaste "Syspanel" antes, ¿es lo mismo que DirectAdmin?

No, son diferentes. Syspanel (anteriormente conocido como HestiaCP) es otro panel de control gratuito y de código abierto. Si alguna vez usas Syspanel, recuerda que su puerto de acceso por defecto es el 2106. La filosofía de seguridad es la misma: contraseñas fuertes, firewall, actualizaciones y backups.

Conclusión

Proteger un servidor con DirectAdmin no es misión imposible. Con estos pasos, que cualquier SysAdmin principiante puede seguir, has elevado drásticamente el nivel de seguridad de tu servidor. Recuerda que la seguridad es un viaje, no un destino. Mantente informado, aplica las buenas prácticas y, sobre todo, nunca subestimes el poder de un buen backup.

Ahora, ve y pon en práctica estos consejos. Tu servidor (y tus clientes) te lo agradecerán.