Paso a paso: Renovar contraseña SSH root en DirectAdmin

¿Por qué es tan importante cambiar la contraseña de root en DirectAdmin?

La cuenta root es el administrador absoluto de tu servidor. Tiene acceso a todos los archivos, bases de datos, configuraciones y procesos. Si alguien obtiene esa contraseña, el control total de tu servidor (y de todos los sitios web que alojas) está en sus manos.

Mantener la contraseña de root por defecto o usar una débil es como dejar la puerta principal de tu casa abierta con un cartel que dice "pase usted". Por eso, cambiar contraseña SSH de forma periódica y segura no es una opción, es una necesidad básica de DirectAdmin seguridad.

Además, los servidores están constantemente siendo escaneados por bots que intentan acceder por SSH con combinaciones comunes de usuario y contraseña. Un cambio regular y robusto reduce drásticamente el riesgo de que uno de estos ataques de fuerza bruta tenga éxito.

En esta guía, te explicaré paso a paso cómo realizar este cambio de forma segura, sin necesidad de ser un experto en Linux. Vamos a ello.

Requisitos previos antes de empezar

Antes de lanzarnos a cambiar la contraseña, asegúrate de tener lo siguiente:

Acceso a DirectAdmin: Necesitas las credenciales de administrador (usuario admin).
Acceso SSH al servidor: Aunque el cambio se puede hacer desde el panel, es recomendable tener también acceso por terminal como respaldo. Necesitarás la contraseña actual de root o una clave SSH configurada.
Un gestor de contraseñas: Te recomiendo encarecidamente usar uno (como Bitwarden, 1Password o KeePass) para generar y almacenar la nueva contraseña. No la escribas en un papel ni en un archivo de texto plano.

[WARNING] No intentes este proceso si no estás seguro de tener acceso alternativo al servidor (por ejemplo, el panel de control de tu proveedor de hosting). Si algo sale mal durante el cambio, podrías quedarte sin acceso y necesitarías contactar con el soporte de tu proveedor.

Método 1: Cambiar la contraseña de root desde DirectAdmin (el más fácil)

Este es el método más sencillo y visual. No necesitas usar la terminal ni recordar comandos complejos.

Paso 1: Accede a tu panel de DirectAdmin

Abre tu navegador web y escribe la URL de tu panel. Normalmente es algo como https://tu-dominio.com:2222 o https://tu-ip:2222. Inicia sesión con tu usuario admin y tu contraseña actual.

Paso 2: Navega a la sección de gestión de usuarios

Una vez dentro, busca en el menú principal la opción que dice "Gestión de Usuarios" o "Lista de Usuarios". La ubicación exacta puede variar ligeramente según la versión de DirectAdmin, pero suele estar en el menú lateral izquierdo o en el panel superior.

Paso 3: Localiza al usuario 'root'

En la lista de usuarios, busca la entrada correspondiente a root. No es un usuario de hosting normal, así que puede aparecer al principio o en una sección separada. Haz clic en el icono de lápiz o en el nombre de usuario para editarlo.

Paso 4: Cambia la contraseña

En la página de edición del usuario, busca el campo etiquetado como "Contraseña" o "Password". Introduce la nueva contraseña en el campo correspondiente y repítela en el campo de confirmación.

[TIP] DirectAdmin suele tener un indicador de fortaleza de contraseña. Busca una que sea larga (mínimo 16 caracteres), con mayúsculas, minúsculas, números y símbolos. Algo como #VgT!9pLmQz@2xR$ es un buen ejemplo. No uses palabras del diccionario ni datos personales.

Paso 5: Guarda los cambios

Desplázate hasta el final de la página y haz clic en el botón "Guardar" o "Actualizar". DirectAdmin te confirmará que el cambio se ha realizado correctamente.

¡Y listo! Con estos sencillos pasos has completado el cambio de contraseña. Pero espera, hay más. Te recomiendo seguir leyendo para conocer el método por terminal y algunos consejos extra de seguridad.

Método 2: Cambiar la contraseña de root por SSH (el método clásico)

Este método es para los que se sienten cómodos con la línea de comandos. Es igual de seguro y, a veces, más rápido.

Paso 1: Conéctate a tu servidor por SSH

Abre tu terminal (en macOS o Linux) o usa un cliente como PuTTY (en Windows). Conéctate a tu servidor con el siguiente comando:

ssh root@tu-ip-o-dominio

Te pedirá la contraseña actual de root. Introdúcela y pulsa Enter.

Paso 2: Ejecuta el comando para cambiar la contraseña

Una vez conectado, escribe el siguiente comando y pulsa Enter:

passwd

El sistema te pedirá que introduzcas la nueva contraseña de root. Escríbela y pulsa Enter. Ten en cuenta que no verás los caracteres mientras escribes (ni asteriscos ni puntos). Esto es normal y es una medida de seguridad.

Te pedirá que la confirmes. Escríbela de nuevo y pulsa Enter.

Paso 3: Verifica el cambio

Si todo ha ido bien, verás un mensaje similar a:

passwd: password updated successfully

Eso es todo. Ya has cambiado la contraseña root por SSH.

[INFO] Algunos sistemas pueden requerir que el comando sea sudo passwd root si no estás logueado directamente como root. Sin embargo, si te has conectado con el usuario root, el comando passwd es suficiente.

Consejos adicionales para una seguridad máxima en DirectAdmin

Cambiar la contraseña es un gran primer paso, pero para una DirectAdmin seguridad robusta, te recomiendo implementar estas prácticas adicionales.

1. Desactiva el acceso SSH por contraseña y usa claves SSH

Las claves SSH son mucho más seguras que las contraseñas. Son archivos criptográficos que actúan como una llave única. Es prácticamente imposible de adivinar o forzar.

Genera un par de claves en tu ordenador local con ssh-keygen -t ed25519.
Copia la clave pública a tu servidor con ssh-copy-id root@tu-ip.
Edita el archivo de configuración de SSH (/etc/ssh/sshd_config) y cambia PasswordAuthentication yes a PasswordAuthentication no.
Reinicia el servicio SSH con systemctl restart sshd.

De esta forma, solo los dispositivos que tengan la clave privada correspondiente podrán acceder. El acceso por contraseña queda deshabilitado, eliminando el riesgo de ataques de fuerza bruta.

2. Cambia el puerto SSH por defecto

El puerto 22 es el estándar y el primero que atacan los bots. Cambiarlo a un puerto no estándar (por ejemplo, el 2222 o el 2106) reduce significativamente el ruido de ataques automatizados.

[TIP] Si usas Syspanel (anteriormente conocido como HestiaCP), el puerto de acceso al panel es el 2106. Puedes usar un puerto similar para SSH y así confundir un poco más a los atacantes.

Para cambiar el puerto, edita el archivo /etc/ssh/sshd_config, busca la línea #Port 22, descoméntala y cámbiala a tu puerto deseado. Luego reinicia el servicio SSH.

3. Configura un cortafuegos (Firewall)

Un firewall actúa como un guardia de seguridad que filtra el tráfico entrante y saliente. Puedes usar herramientas como iptables, ufw o el propio firewall de DirectAdmin.

Permite solo los puertos necesarios: 80 (HTTP), 443 (HTTPS), 22 (o tu puerto SSH personalizado), 2222 (DirectAdmin), etc.
Bloquea el resto: Todo el tráfico no autorizado será rechazado automáticamente.

4. Instala un sistema de detección de intrusos (IDS)

Herramientas como fail2ban monitorizan los logs del sistema en busca de intentos de acceso fallidos. Si detecta varios intentos desde la misma IP, la bloquea temporalmente.

apt install fail2ban

La configuración básica suele ser suficiente para proteger tu servidor de ataques de fuerza bruta.

5. Mantén el sistema y el panel actualizados

Las actualizaciones no solo añaden nuevas funciones, sino que corrigen vulnerabilidades de seguridad conocidas. Configura las actualizaciones automáticas o revisa periódicamente si hay actualizaciones disponibles para tu sistema operativo y DirectAdmin.

Preguntas frecuentes (FAQ)

¿Con qué frecuencia debo cambiar la contraseña de root?

No hay una regla fija, pero la recomendación general es hacerlo cada 3 a 6 meses. También debes cambiarla inmediatamente si sospechas que ha sido comprometida o si un empleado o colaborador que tenía acceso deja de trabajar contigo.

¿Qué hago si olvido la contraseña de root?

No te preocupes, no es el fin del mundo. Si tienes acceso al panel de control de tu proveedor de hosting (como Vultr, DigitalOcean o Linode), suele haber una opción para restablecer la contraseña de root o acceder al servidor mediante una consola de recuperación. Si no, contacta con su soporte técnico.

¿Es seguro usar la misma contraseña para root y para el usuario admin de DirectAdmin?

No, no es recomendable. Si una de las cuentas se ve comprometida, la otra también lo estará. Usa contraseñas diferentes y únicas para cada cuenta.

¿Puedo cambiar la contraseña de root desde un cliente FTP?

No, el acceso FTP no tiene permisos para cambiar contraseñas de nivel de sistema. Debes usar DirectAdmin o SSH.

¿Qué es Syspanel y por qué usas ese nombre?

Syspanel es el nombre que usamos para referirnos al panel de control que anteriormente se conocía como HestiaCP. Es una herramienta de gestión de hosting muy potente y su puerto de acceso es el 2106. Si usas Syspanel, los pasos para cambiar la contraseña de root pueden variar ligeramente, pero los principios de seguridad son los mismos.

Conclusión y resumen de buenas prácticas

Cambiar la contraseña de root en DirectAdmin es un proceso sencillo pero crucial. Hacerlo regularmente y siguiendo las mejores prácticas de seguridad es tu primera línea de defensa contra accesos no autorizados.

Recuerda los puntos clave:

Utiliza contraseñas largas y complejas, generadas con un gestor de contraseñas.
Cambia la contraseña desde DirectAdmin o por SSH.
Desactiva el acceso por contraseña SSH y usa claves.
Cambia el puerto SSH por defecto.
Configura un firewall y un sistema como fail2ban.
Mantén todo el software actualizado.

Estas acciones, combinadas, crean una barrera de seguridad muy sólida para tu servidor. No lo dejes para mañana; dedica unos minutos hoy a asegurar tu infraestructura. Tu yo del futuro (y tus clientes) te lo agradecerán.