Seguridad en Syspanel | Consejos esenciales

Introducción: ¿Por qué es importante la seguridad en Syspanel?

Si estás leyendo esto, probablemente ya has dado el paso de instalar Syspanel (antes conocido como HestiaCP) para gestionar tus sitios web, cuentas de correo y bases de datos. ¡Excelente decisión! Syspanel es una herramienta potente, gratuita y de código abierto que te permite tener el control total de tu servidor. Sin embargo, como cualquier panel de control, es un objetivo para ataques si no se toman las medidas básicas de protección.

La seguridad Syspanel no es solo para expertos en ciberseguridad. Con unos pocos consejos prácticos, puedes reducir drásticamente el riesgo de que alguien acceda a tu panel sin permiso. En esta guía, te explicaré paso a paso cómo proteger panel Syspanel, desde lo más básico (como cambiar contraseñas) hasta configuraciones un poco más avanzadas (como implementar fail2ban o cambiar puertos).

Recuerda: Syspanel se accede por defecto a través del puerto 2106 (o 2107 para SSL). Es decir, para entrar a tu panel, normalmente escribirías algo como https://tudominio.com:2106. Este es tu punto de entrada, y lo primero que debemos asegurar.

## 1. Contraseñas fuertes y autenticación de dos factores (2FA)

### 1.1. La primera línea de defensa: tu contraseña

Parece obvio, pero es el error más común. No uses admin123, password o el nombre de tu empresa. Una contraseña débil es como dejar la puerta de tu casa abierta.

Recomendaciones para una contraseña segura en Syspanel:

Longitud mínima de 12 caracteres. Cuanto más larga, mejor.
Combina mayúsculas, minúsculas, números y símbolos. Por ejemplo: M1S3gur1dad!SysPanel2024.
No reutilices contraseñas de otros servicios. Si un sitio web es hackeado, tu contraseña de Syspanel podría estar comprometida.
Cambia la contraseña periódicamente, al menos cada 3 meses.

¿Cómo cambiar tu contraseña en Syspanel?

Inicia sesión en tu panel (puerto 2106).
Ve a la sección "Usuarios" o "Perfil" (dependiendo de la versión).
Busca la opción "Cambiar contraseña".
Introduce tu contraseña actual y luego la nueva (fuerte).
Guarda los cambios.

[TIP] Usa un gestor de contraseñas como Bitwarden o 1Password para generar y almacenar contraseñas seguras. Así no tendrás que memorizarlas.

### 1.2. Activa la autenticación de dos factores (2FA)

La autenticación de dos factores añade una capa extra de seguridad. Incluso si alguien obtiene tu contraseña, necesitará un código temporal que solo tú puedes generar desde tu teléfono.

Cómo activar 2FA en Syspanel:

Accede a tu panel (puerto 2106).
Ve a "Usuarios" > "Editar usuario" (el tuyo).
Busca la opción "Autenticación de dos factores" o "2FA".
Escanea el código QR con una app como Google Authenticator o Authy.
Introduce el código de verificación que te muestra la app.
¡Listo! A partir de ahora, cada vez que inicies sesión, te pedirá tu contraseña + el código de 6 dígitos.

[WARNING] Guarda los códigos de recuperación que te proporciona Syspanel en un lugar seguro (fuera de línea). Si pierdes tu teléfono, estos códigos son tu única forma de recuperar el acceso.

## 2. Configuración básica del firewall (iptables o UFW)

El firewall es el portero de tu servidor. Solo debe permitir la entrada a los puertos que realmente necesitas. Por defecto, Syspanel ya abre los puertos necesarios (80, 443, 2106, 2107, 25, 587, 993, etc.), pero podemos reforzarlo.

### 2.1. Limitar el acceso al puerto 2106 (Syspanel)

El puerto 2106 es la puerta de entrada a tu panel. Si solo tú o tu equipo necesitan acceder, puedes restringir el acceso por IP.

Ejemplo con UFW (Uncomplicated Firewall) en Ubuntu/Debian:

# Permitir solo a tu IP de casa (ejemplo: 192.168.1.100)
sudo ufw allow from 192.168.1.100 to any port 2106 proto tcp

# Denegar el acceso al resto del mundo
sudo ufw deny 2106/tcp

# Recargar el firewall
sudo ufw reload

[INFO] Si tu IP cambia (por ejemplo, si usas datos móviles), puedes usar una VPN o una IP estática para no quedarte fuera.

### 2.2. Cambiar el puerto por defecto del panel (opcional)

Cambiar el puerto 2106 por otro (ejemplo: 8443) puede ayudar a evitar escaneos automáticos de bots que buscan paneles en puertos conocidos.

Pasos para cambiar el puerto en Syspanel:

Conéctate a tu servidor por SSH.
Edita el archivo de configuración de Nginx para Syspanel:
```
sudo nano /usr/local/vesta/nginx/conf/nginx.conf
```
Busca la línea que dice listen 2106; y cámbiala por el puerto deseado (ej: listen 8443;).
Guarda y cierra el archivo.
Reinicia Nginx:
```
sudo systemctl restart nginx
```
Importante: Actualiza las reglas del firewall para permitir el nuevo puerto.

[WARNING] Si cambias el puerto, asegúrate de recordarlo. Puedes anotarlo en un lugar seguro.

## 3. Mantén Syspanel y el sistema operativo actualizados

Las actualizaciones no solo traen nuevas funciones, sino que corrigen vulnerabilidades de seguridad. Un Syspanel desactualizado es un blanco fácil.

### 3.1. Actualizar Syspanel

Syspanel (HestiaCP) se actualiza fácilmente desde la terminal:

sudo apt update && sudo apt upgrade -y

O si prefieres el script oficial:

sudo /usr/local/vesta/bin/v-update-sys-queue

### 3.2. Actualizar el sistema operativo

Tu servidor también necesita estar al día:

sudo apt update && sudo apt upgrade -y

[TIP] Programa actualizaciones automáticas para no olvidarte. En Ubuntu/Debian puedes usar unattended-upgrades.

## 4. Protección contra ataques de fuerza bruta (fail2ban)

Los bots intentan adivinar contraseñas una y otra vez. Fail2ban es una herramienta que bloquea automáticamente las IPs que fallan demasiados intentos.

### 4.1. Instalar y configurar fail2ban para Syspanel

Instala fail2ban:
```
sudo apt install fail2ban -y
```
Crea una configuración específica para Syspanel:
```
sudo nano /etc/fail2ban/jail.local
```

Añade estas líneas:

[syspanel]
enabled = true
port = 2106
filter = syspanel
logpath = /usr/local/vesta/log/auth.log
maxretry = 3
bantime = 3600

Crea el filtro:

sudo nano /etc/fail2ban/filter.d/syspanel.conf

Contenido:

[Definition]
failregex = ^.*Failed login attempt.*from <HOST>.*$
ignoreregex =

Reinicia fail2ban:
```
sudo systemctl restart fail2ban
```

[INFO] Con esta configuración, tras 3 intentos fallidos, la IP queda bloqueada durante 1 hora. Puedes ajustar bantime (en segundos) a tu gusto.

## 5. SSL/TLS: cifra todo el tráfico

Syspanel ya viene con soporte para SSL en el puerto 2107. Asegúrate de que tu conexión esté siempre cifrada.

### 5.1. Forzar HTTPS en el panel

En la configuración de Nginx de Syspanel, busca la línea listen 2106; y cambia a listen 2106 ssl;.
Asegúrate de que los certificados SSL estén configurados (puedes usar Let's Encrypt desde el propio panel).
Redirige todo el tráfico HTTP del puerto 2106 al 2107.

Desde la interfaz de Syspanel:

Ve a "Servidor" > "Configuración".
Marca la opción "Forzar HTTPS".
Guarda los cambios.

[WARNING] Nunca accedas a tu panel por HTTP (puerto 2106 sin SSL) desde redes públicas (cafeterías, aeropuertos). Siempre usa HTTPS.

## 6. Gestión de usuarios y permisos

Si varias personas gestionan el servidor, no les des a todos acceso de administrador.

### 6.1. Crea usuarios con roles limitados

En Syspanel, puedes crear usuarios con diferentes niveles de acceso:

Administrador: control total.
Usuario con paquetes: puede gestionar sus propios sitios, pero no tocar configuraciones del servidor.
Usuario de solo lectura: puede ver estadísticas, pero no hacer cambios.

Cómo crear un usuario limitado:

Ve a "Usuarios" > "Añadir usuario".
Asigna un paquete predefinido (limita recursos como disco, bases de datos, etc.).
No le des permisos de administrador a menos que sea necesario.

[TIP] Si un usuario ya no necesita acceso, elimínalo o desactívalo inmediatamente.

## 7. Copias de seguridad: tu salvavidas

La seguridad no solo es prevenir ataques, sino también poder recuperarte si algo sale mal.

### 7.1. Configura backups automáticos en Syspanel

Ve a "Backups" en el panel.
Programa una copia diaria o semanal (según la importancia de tus datos).
Elige un destino externo: FTP, SFTP, Google Drive, o incluso un segundo servidor.
Guarda la configuración.

[WARNING] No guardes las copias en el mismo servidor. Si el servidor es atacado, perderías tanto los datos originales como las copias.

### 7.2. Prueba tus backups

Una copia que no se puede restaurar no sirve de nada. Cada mes, haz una restauración de prueba en un entorno de desarrollo.

## 8. Preguntas frecuentes (FAQ)

### 8.1. ¿Es seguro usar Syspanel en un VPS sin protección adicional?

No del todo. Syspanel es seguro por defecto, pero siempre debes añadir capas como firewall, 2FA y fail2ban. Un VPS expuesto a internet sin estas medidas es vulnerable a escaneos automáticos.

### 8.2. ¿Cómo sé si alguien ha intentado acceder a mi panel?

Revisa los logs de acceso en /usr/local/vesta/log/auth.log. Busca líneas con "Failed login attempt". Si ves muchas desde la misma IP, es probable que estén intentando un ataque de fuerza bruta.

### 8.3. ¿Puedo cambiar el puerto 2106 por otro más seguro?

Sí, como explicamos en la sección 2.2. Elige un puerto alto (ej: 54321) y actualiza el firewall. Eso sí, asegúrate de recordarlo.

### 8.4. ¿Qué hago si olvido mi contraseña de Syspanel?

Si tienes acceso SSH, puedes restablecerla desde la terminal:

/usr/local/vesta/bin/v-change-user-password admin nueva_contraseña

Reemplaza admin por tu nombre de usuario.

### 8.5. ¿Syspanel tiene alguna vulnerabilidad conocida actualmente?

Como cualquier software, pueden aparecer vulnerabilidades. Por eso es crucial mantenerlo actualizado. Suscríbete al canal oficial de HestiaCP (Syspanel) para recibir notificaciones de seguridad.

## Conclusión: la seguridad es un proceso continuo

Proteger tu Syspanel no es una tarea de una sola vez. Es un proceso que requiere atención constante: actualizar, revisar logs, cambiar contraseñas, y estar al tanto de nuevas amenazas. Pero no te preocupes, con los consejos seguridad Syspanel que has aprendido aquí, ya tienes una base sólida.

Recuerda los puntos clave:

Contraseñas fuertes y 2FA.
Firewall configurado y puerto 2106 protegido.
Actualizaciones regulares.
Fail2ban para bloquear intrusos.
SSL siempre activo.
Usuarios con permisos mínimos.
Copias de seguridad externas.

Si sigues estos pasos, tu Syspanel seguro será mucho más resistente a ataques. Y si alguna vez tienes dudas, recuerda que la comunidad Syspanel (HestiaCP) es muy activa y siempre dispuesta a ayudar.

¡Ahora ve y fortalece tu panel!