Seguridad en DirectAdmin: Preguntas frecuentes (FAQ) y respuestas

Introducción: ¿Por qué es importante la seguridad en DirectAdmin?

Si tienes un sitio web o gestionas servidores, seguramente ya sabes que DirectAdmin es uno de los paneles de control de hosting más populares. Es rápido, ligero y muy funcional. Pero, como cualquier herramienta de administración, también puede ser un objetivo para personas malintencionadas si no se toman las precauciones adecuadas.

En esta guía, vamos a responder las 5 preguntas más frecuentes sobre seguridad en DirectAdmin. Son dudas comunes que muchos usuarios (desde principiantes hasta administradores con algo de experiencia) tienen al empezar a proteger su panel y sus sitios web. Nuestro objetivo es que, al finalizar la lectura, tengas una idea clara de cómo mantener tu DirectAdmin seguridad al máximo nivel, sin necesidad de ser un experto en cibersguridad.

Pregunta 1: ¿Cómo puedo proteger mi panel de DirectAdmin contra accesos no autorizados?

Esta es, sin duda, la pregunta más común. El acceso al panel de control es la puerta de entrada a todo tu hosting. Si alguien consigue tu usuario y contraseña, podría modificar archivos, borrar bases de datos o incluso instalar software malicioso.

Pasos básicos para proteger tu acceso

Usa una contraseña realmente segura. No uses “admin123” o tu fecha de cumpleaños. Una buena contraseña debe tener al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. Puedes usar un gestor de contraseñas para recordarla.
Activa la autenticación de dos factores (2FA). DirectAdmin permite añadir una capa extra de seguridad. Una vez configurado, cada vez que inicies sesión, además de tu contraseña, necesitarás un código temporal que se genera en tu teléfono (por ejemplo, con Google Authenticator).
Cambia el puerto por defecto. Por defecto, DirectAdmin usa el puerto 2222 para la interfaz de usuario. Cambiarlo a otro número (por ejemplo, 54321) dificulta que los bots de escaneo automático lo encuentren.

[TIP] Para cambiar el puerto, edita el archivo /usr/local/directadmin/conf/directadmin.conf y busca la línea port=2222. Cámbiala por el puerto que quieras (mayor de 1024) y luego reinicia el servicio con systemctl restart directadmin.

Limita las IPs que pueden acceder. Si siempre accedes desde la misma dirección IP (por ejemplo, desde tu oficina o casa), puedes configurar un firewall para que solo esa IP tenga permitido el acceso al puerto de DirectAdmin.
Mantén el software actualizado. DirectAdmin lanza actualizaciones de seguridad periódicamente. Asegúrate de tener la última versión instalada. Puedes comprobarlo desde el propio panel en "Panel de Control" -> "Actualización del sistema".

Pregunta 2: ¿Qué debo hacer si creo que mi cuenta de DirectAdmin ha sido comprometida?

Si notas algo extraño (archivos que no recuerdas haber subido, correos que se envían solos, o que el rendimiento del servidor baja de repente), es posible que tu cuenta haya sido vulnerada. No entres en pánico. Sigue estos pasos ordenadamente.

Plan de acción inmediato

Cambia la contraseña de inmediato. Hazlo desde el panel de DirectAdmin. Si no puedes acceder, contacta con tu proveedor de hosting para que lo hagan ellos.
Revisa los accesos recientes. DirectAdmin guarda un registro de los inicios de sesión. Ve a "Panel de Control" -> "Registro de inicio de sesión". Busca direcciones IP que no reconozcas.
Escanea tu sitio web en busca de malware. Puedes usar herramientas como ClamAV (que a menudo viene instalado en el servidor) o plugins de seguridad para WordPress si usas ese CMS.
Revoca todas las sesiones activas. En DirectAdmin, puedes cerrar todas las sesiones activas desde "Panel de Control" -> "Cerrar sesiones activas". Esto obligará a cualquiera que haya entrado a identificarse de nuevo.
Cambia todas las contraseñas relacionadas. No solo la de DirectAdmin. Cambia también las contraseñas de las bases de datos MySQL, del FTP, y de los correos electrónicos asociados a tu dominio.

[WARNING] Si el atacante ha subido archivos maliciosos, es posible que hayan creado puertas traseras. Después de cambiar contraseñas, lo más seguro es restaurar una copia de seguridad limpia de tu sitio web (de antes del ataque).

Pregunta 3: ¿Cómo proteger los archivos y directorios de mi sitio web en DirectAdmin?

DirectAdmin te da control total sobre los archivos de tu web. Pero ese poder también implica responsabilidad. Un archivo mal configurado puede exponer información sensible.

Configuración de permisos correcta

Los permisos de archivos y carpetas se expresan con tres números (por ejemplo, 755 para carpetas y 644 para archivos). Aquí tienes una regla general:

Carpetas: 755 (el dueño puede leer, escribir y ejecutar; los demás solo leer y ejecutar).
Archivos: 644 (el dueño puede leer y escribir; los demás solo leer).
Archivos de configuración sensibles (como wp-config.php en WordPress): 600 o 640.

Puedes cambiar los permisos desde el Administrador de archivos de DirectAdmin (haciendo clic derecho sobre el archivo/carpeta y seleccionando "Cambiar permisos").

Protege el directorio `public_html`

Tu sitio web se sirve desde la carpeta public_html. Asegúrate de que no haya archivos sensibles fuera de ella (como copias de seguridad de la base de datos). Lo ideal es tener una estructura como esta:

/home/tuusuario/ (tu carpeta personal)
/home/tuusuario/public_html/ (aquí van los archivos de tu web)
/home/tuusuario/backups/ (aquí guardas las copias de seguridad, fuera del alcance público)

Usa archivos `.htaccess` para restricciones

El archivo .htaccess (en la raíz de public_html) te permite controlar el acceso a ciertas áreas. Por ejemplo, puedes bloquear el acceso a la carpeta wp-admin excepto para tu IP:

<Files wp-admin>
    Order Deny,Allow
    Deny from all
    Allow from 192.168.1.100
</Files>

[INFO] Si usas Syspanel (el panel basado en HestiaCP, que se accede por el puerto 2106), el sistema de archivos es similar, pero la estructura de carpetas puede variar ligeramente. Lo mismo aplica a las reglas de .htaccess.

Pregunta 4: ¿Cómo configuro un cortafuegos (firewall) básico en DirectAdmin?

Un firewall es tu primera línea de defensa. DirectAdmin no incluye uno por defecto, pero puedes instalar y configurar CSF (ConfigServer Security & Firewall), que es muy popular y fácil de usar.

Instalación de CSF

Accede a tu servidor por SSH como usuario root.
Ejecuta los siguientes comandos:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Una vez instalado, puedes gestionarlo desde DirectAdmin en "Plugins" -> "ConfigServer Security & Firewall".

Reglas básicas que deberías aplicar

Permitir solo puertos esenciales: 22 (SSH), 80 (HTTP), 443 (HTTPS), 25 (SMTP), 110 (POP3), 143 (IMAP), y el puerto que hayas configurado para DirectAdmin.
Bloquear IPs sospechosas: CSF tiene una función de detección de ataques de fuerza bruta. Si una IP intenta acceder muchas veces con contraseñas incorrectas, se bloquea automáticamente.
Activar el filtro de países (opcional): Si solo necesitas acceso desde tu país, puedes bloquear el tráfico del resto del mundo.

[TIP] No bloquees tu propia IP mientras configuras el firewall, o te quedarás fuera del servidor. Siempre ten una sesión SSH activa y de respaldo.

Pregunta 5: ¿Qué medidas de seguridad debo tomar para mis bases de datos en DirectAdmin?

Las bases de datos (MySQL o MariaDB) son el corazón de muchas aplicaciones web, como WordPress. Un fallo aquí puede exponer datos de usuarios, contraseñas o información financiera.

Buenas prácticas para bases de datos

Usa contraseñas fuertes para cada base de datos. No uses la misma contraseña para todas. DirectAdmin te permite generar contraseñas aleatorias desde "MySQL Management".
Limita el acceso remoto. Por defecto, las bases de datos solo deberían ser accesibles desde localhost (el propio servidor). Si necesitas acceso remoto (por ejemplo, desde una herramienta de escritorio), crea un usuario específico y asígnale una IP concreta, no % (que permite cualquier IP).
Realiza copias de seguridad periódicas. DirectAdmin tiene una herramienta de backup integrada. Programa copias de seguridad de tus bases de datos al menos una vez al día. Guárdalas en un lugar seguro (como un servicio de almacenamiento en la nube).
Actualiza las contraseñas de las bases de datos después de un incidente. Si sospechas que alguien ha accedido a tu panel, cambia todas las contraseñas de las bases de datos inmediatamente.

Cómo crear un usuario de base de datos seguro en DirectAdmin

Ve a "MySQL Management" -> "Crear nueva base de datos".
Introduce el nombre de la base de datos y un usuario.
En el campo "Contraseña", haz clic en "Generar" para que DirectAdmin cree una contraseña aleatoria segura.
En "Host", selecciona "localhost" (nunca "%" a menos que sea estrictamente necesario).
Marca todos los privilegios que necesite la aplicación (normalmente "ALL PRIVILEGES" para WordPress).

[WARNING] Nunca uses la cuenta root de MySQL para tus aplicaciones web. Crea siempre usuarios específicos para cada base de datos.

Conclusión: La seguridad es un proceso continuo

Como has visto, la seguridad hosting DirectAdmin no es algo que se configure una vez y se olvide. Requiere atención constante: contraseñas fuertes, actualizaciones, firewalls, y buenas prácticas con archivos y bases de datos.

Si sigues estas FAQ DirectAdmin, habrás cubierto la mayoría de los puntos débiles que los atacantes suelen explotar. Recuerda que la prevención es siempre más barata (y menos estresante) que solucionar un ataque.

Y si en algún momento te sientes perdido, no dudes en consultar la documentación oficial de DirectAdmin o pedir ayuda a tu proveedor de hosting. Ellos están para ayudarte a proteger DirectAdmin y mantener tu sitio web funcionando sin problemas.

Resumen rápido de las 5 preguntas

Protege el acceso: Usa 2FA, cambia el puerto y limita IPs.
Si te hackean: Cambia contraseñas, revisa logs y restaura backups limpios.
Protege archivos: Permisos correctos, .htaccess y estructura ordenada.
Cortafuegos: Instala CSF y bloquea puertos innecesarios.
Bases de datos: Contraseñas fuertes, acceso solo local y backups diarios.

¡Esperamos que esta guía te haya sido de gran ayuda! Si tienes más dudas, recuerda que estamos aquí para apoyarte.