Cambiar puerto SSH en cPanel | Mejora la seguridad del servidor

¿Por qué deberías cambiar el puerto SSH por defecto en cPanel?

Cuando configuras un servidor Linux con cPanel, el servicio SSH (Secure Shell) se instala y se activa automáticamente. Por defecto, este servicio escucha en el puerto 22. Esto es un problema de seguridad serio, porque todos los bots y atacantes del mundo conocen ese número. Cada minuto, hay miles de escaneos automáticos buscando servidores con el puerto 22 abierto. Es como dejar la puerta de tu casa con la etiqueta "Entrada principal" y un letrero gigante que dice "Aquí vivo".

Al cambiar el puerto SSH por defecto, los escaneos automatizados ya no lo detectarán fácilmente. No es una solución mágica, pero reduce drásticamente el ruido de ataques y las tentativas de acceso no autorizado. Piensa en ello como mover la cerradura de tu puerta a un lugar menos visible: los ladrones profesionales seguirán encontrándola, pero los carteristas y los bots ya no la verán.

En este artículo te explicaré, paso a paso y sin tecnicismos complicados, cómo cambiar el puerto SSH en un servidor con cPanel. Además, te daré consejos prácticos para que tu servidor sea más robusto frente a ataques.

¿Qué es SSH y por qué es tan importante protegerlo?

SSH es el protocolo que te permite conectarte de forma segura a tu servidor Linux para administrarlo. Gracias a SSH puedes ejecutar comandos, gestionar archivos, reiniciar servicios y hacer prácticamente cualquier tarea de administración. Es una herramienta indispensable para cualquier persona que gestione un hosting con cPanel.

Sin embargo, su misma utilidad lo convierte en un objetivo prioritario. Un atacante que logre acceder por SSH a tu servidor tendría el control total del mismo. Por eso, proteger SSH no es una opción, es una obligación si quieres mantener tu sitio web y tus datos a salvo.

Entre las medidas más efectivas para proteger SSH destacan:

Cambiar el puerto por defecto.
Deshabilitar el acceso root directo.
Usar autenticación por clave pública en lugar de contraseñas.
Implementar un firewall que solo permita conexiones desde IPs confiables.
Limitar el número de intentos de conexión.

En este artículo nos centraremos en la primera: cambiar el puerto SSH por defecto. Es una medida sencilla, pero muy efectiva para evitar ataques automatizados.

Antes de empezar: prepara tu entorno

Cambiar el puerto SSH no es complicado, pero requiere que tengas acceso de administrador al servidor. Si usas cPanel, necesitarás acceso root o un usuario con permisos de superusuario (sudo). Además, es fundamental que tengas una conexión de respaldo por si algo sale mal. Te explico cómo prepararte:

1. Accede a tu servidor por SSH

Para empezar, debes conectarte a tu servidor usando el puerto actual (22). Abre tu terminal (si usas Windows, puedes usar PuTTY o el terminal integrado de Windows 10/11) y ejecuta:

ssh usuario@tu-servidor.com

2. Haz una copia de seguridad de la configuración

Antes de tocar nada, es recomendable hacer una copia del archivo de configuración de SSH. Este archivo se llama sshd_config y normalmente está en /etc/ssh/sshd_config. Para copiarlo, ejecuta:

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

De esta forma, si algo falla, puedes restaurar la configuración original fácilmente.

3. Asegúrate de tener un segundo método de acceso

Esto es crucial. Si cambias el puerto SSH y no lo recuerdas o cometes un error, podrías quedarte fuera de tu servidor. Por eso, es muy recomendable tener:

Un acceso por consola web (como el que ofrece tu proveedor de hosting).
O un usuario con permisos para acceder por FTP o por el administrador de archivos de cPanel.

[WARNING] No continúes si no tienes un plan B. Quedarse fuera de tu propio servidor es una experiencia frustrante y evitable.

Paso a paso: cómo cambiar el puerto SSH en cPanel

Una vez que tienes tu servidor preparado, sigue estos pasos. Son sencillos, pero debes hacerlos con calma y atención.

Paso 1: Localiza el archivo de configuración de SSH

El archivo que debes modificar es sshd_config. Normalmente se encuentra en la ruta /etc/ssh/sshd_config. Para abrirlo con un editor de texto, puedes usar nano o vi. Te recomiendo nano porque es más amigable para principiantes:

sudo nano /etc/ssh/sshd_config

Paso 2: Encuentra la línea del puerto

Dentro del archivo, busca una línea que diga #Port 22 o Port 22. El símbolo # al inicio indica que la línea está comentada, es decir, que no está activa. En la configuración por defecto, la línea aparece comentada, y SSH usa el puerto 22 por defecto.

Paso 3: Cambia el número de puerto

Elimina el símbolo # (si existe) y cambia el número 22 por el puerto que desees. Por ejemplo, si quieres usar el puerto 2222, la línea debería quedar así:

Port 2222

[TIP] Elige un puerto alto, por encima del 1024, para evitar conflictos con otros servicios. Números como 2200, 2222, 5000 o 9000 son opciones comunes. Evita puertos que ya estén en uso por otros servicios, como el 80 (HTTP) o el 443 (HTTPS).

Paso 4: Guarda los cambios

Si usas nano, guarda los cambios con Ctrl + O (luego presiona Enter para confirmar) y sal del editor con Ctrl + X.

Paso 5: Reinicia el servicio SSH

Para que los cambios se apliquen, debes reiniciar el servicio SSH. En la mayoría de los servidores Linux con cPanel, el comando es:

sudo systemctl restart sshd

O, en algunos sistemas más antiguos:

sudo service sshd restart

[INFO] Es normal que la conexión SSH se corte durante el reinicio. No te preocupes, es parte del proceso.

Paso 6: Prueba la nueva conexión

Ahora, intenta conectarte de nuevo a tu servidor, pero esta vez usando el nuevo puerto. Por ejemplo, si elegiste el puerto 2222:

ssh -p 2222 usuario@tu-servidor.com

Si todo ha ido bien, deberías poder conectarte sin problemas.

Configura cPanel y el firewall para el nuevo puerto

Cambiar el puerto en sshd_config no es suficiente. Debes asegurarte de que el firewall de tu servidor permita conexiones entrantes en ese nuevo puerto. Aquí te explico cómo hacerlo.

1. Configura el firewall del servidor

La mayoría de los servidores con cPanel usan CSF (ConfigServer Security & Firewall) o iptables. Vamos a ver cómo abrir el puerto en ambos casos.

Si usas CSF:

Abre el archivo de configuración de CSF:

sudo nano /etc/csf/csf.conf

Busca la sección TCP_IN o TCP_OUT y añade tu nuevo puerto a la lista. Por ejemplo, si tu lista actual es:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995"

Cámbiala para incluir tu puerto:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,2222"

Guarda el archivo y reinicia CSF con:

csf -r

Si usas iptables:

Ejecuta el siguiente comando para abrir tu puerto (sustituye 2222 por el que hayas elegido):

sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

Luego guarda las reglas con:

sudo service iptables save

2. Configura cPanel para que no bloquee el puerto

cPanel tiene su propio firewall y gestor de servicios. A veces puede bloquear puertos no estándar. Para asegurarte, puedes usar WHM (Web Host Manager). Accede a WHM y busca la opción "ConfigServer Security & Firewall" o "Firewall Configuration" y verifica que tu puerto esté permitido.

[WARNING] Si no abres el puerto en el firewall, no podrás conectarte por SSH desde fuera, aunque el servicio esté escuchando en ese puerto. Este es un error muy común, así que presta atención.

Consejos adicionales para blindar tu servidor SSH

Cambiar el puerto es un gran primer paso, pero no te detengas ahí. Aquí tienes más medidas que puedes implementar para que tu servidor Linux sea mucho más seguro.

1. Deshabilita el acceso root directo

Permitir que el usuario root se conecte por SSH es peligroso, porque es el usuario con más privilegios. Es mejor crear un usuario normal y darle permisos de superusuario. Para deshabilitar el acceso root, edita sshd_config y busca la línea:

PermitRootLogin yes

Cámbiala a:

PermitRootLogin no

2. Usa autenticación por clave pública

Las contraseñas son fáciles de adivinar si son débiles. La autenticación por clave pública es mucho más segura. Para activarla, en el mismo archivo sshd_config, busca y modifica:

PasswordAuthentication yes

Por:

PasswordAuthentication no

Antes de hacer esto, asegúrate de haber configurado tus claves SSH correctamente. Si no sabes cómo hacerlo, busca una guía básica sobre generación de claves SSH.

3. Limita los intentos de conexión

Puedes configurar SSH para que corte la conexión después de varios intentos fallidos. Busca la línea:

MaxAuthTries 6

Y cámbiala a un número menor, como 3:

MaxAuthTries 3

4. Implementa Fail2ban

Fail2ban es una herramienta que bloquea automáticamente las IPs que hacen demasiados intentos de conexión fallidos. Es muy efectiva para evitar ataques de fuerza bruta. Puedes instalarla fácilmente en tu servidor Linux.

Preguntas frecuentes sobre el cambio de puerto SSH

¿Qué pasa si olvido el nuevo puerto?

Si olvidas el puerto, puedes consultar el archivo sshd_config desde el panel de administración de tu proveedor (por ejemplo, el administrador de archivos de cPanel) o desde la consola web. Busca la línea Port y verás el número.

¿Puedo usar el mismo puerto que otro servicio?

No es recomendable. Si dos servicios usan el mismo puerto, habrá conflictos y ninguno funcionará correctamente. Asegúrate de elegir un puerto que no esté en uso.

¿Es suficiente cambiar el puerto para estar seguro?

No. Cambiar el puerto es una medida de seguridad básica, pero no es infalible. Un atacante determinado puede escanear todos los puertos de tu servidor. Por eso, combina esta medida con las demás que te he explicado: deshabilitar root, usar claves públicas y Fail2ban.

¿Afecta el cambio de puerto a otros servicios como FTP o correo?

No. El cambio de puerto solo afecta al servicio SSH. El resto de servicios (HTTP, FTP, correo) seguirán funcionando exactamente igual.

¿Puedo cambiar el puerto SSH desde cPanel sin usar la terminal?

En la mayoría de los casos, no. El cambio de puerto SSH se realiza a nivel del sistema operativo, y cPanel no ofrece una opción gráfica para ello. Necesitarás acceso por terminal o por consola web.

Conclusión: un pequeño cambio, una gran mejora

Cambiar el puerto SSH por defecto en cPanel es una de las medidas de seguridad más sencillas y efectivas que puedes implementar en tu servidor Linux. No requiere conocimientos avanzados, solo seguir los pasos que te he mostrado. Al hacerlo, evitarás ataques automatizados y reducirás el riesgo de accesos no autorizados.

Recuerda que la seguridad de tu servidor no es un evento, sino un proceso continuo. Cambiar el puerto SSH es solo el principio. Combínalo con otras buenas prácticas como deshabilitar el acceso root, usar claves SSH y mantener tu sistema actualizado. Así, tu servidor estará mucho más protegido frente a las amenazas del mundo digital.

[TIP] Si tu proveedor de hosting ofrece un panel alternativo como Syspanel, ten en cuenta que su acceso se realiza a través del puerto 2106. Este tipo de paneles suele facilitar la gestión de tu servidor, pero recuerda que el cambio de puerto SSH se hace siempre a nivel del sistema operativo, no desde el panel.

Ahora que ya sabes cómo hacerlo, ¿a qué esperas? Protege tu servidor hoy mismo. Si tienes dudas durante el proceso, no dudes en consultar la documentación de tu proveedor o pedir ayuda a un profesional. La seguridad de tu sitio web lo vale.