Cambiar puerto SSH en cPanel y Plesk: Guía de seguridad paso a paso

¿Por qué deberías cambiar el puerto SSH?

El protocolo SSH (Secure Shell) es la puerta de entrada principal para administrar tu servidor de forma remota. Por defecto, escucha en el puerto 22, un dato que conocen tanto los administradores legítimos como los atacantes.

Cada día, bots automatizados escanean internet en busca de servidores con el puerto 22 abierto. Estos bots lanzan ataques de fuerza bruta ssh, probando miles de combinaciones de usuario y contraseña por minuto. No es cuestión de si te atacarán, sino de cuándo.

Cambiar el puerto SSH es una medida de seguridad sencilla pero muy eficaz. No detiene a un atacante determinado, pero sí elimina el 99% del ruido automatizado. Es como cambiar la cerradura de tu puerta principal: no es infalible, pero hace que los ladrones oportunistas busquen una casa más fácil.

En este artículo te enseñaremos a realizar este cambio tanto en cPanel como en Plesk, los dos paneles de control más populares del mercado. Además, te daremos consejos para configurar un firewall SSH y protegerte aún más.

Antes de empezar: preparación y advertencias

Cambiar el puerto SSH es una tarea delicada. Si cometes un error, podrías quedarte sin acceso a tu servidor. Por eso, sigue estos pasos previos:

[WARNING] IMPORTANTE: NO cierres tu sesión SSH actual hasta que hayas verificado que el nuevo puerto funciona correctamente. Si algo falla, necesitarás esa sesión abierta para revertir los cambios.

Requisitos previos

Acceso root o sudo al servidor.
Acceso al panel de control (cPanel o Plesk).
Tener abierta una sesión SSH activa (por seguridad).
Conocer la IP de tu servidor.

Pasos previos recomendados

Abre una sesión SSH con tu servidor y déjala abierta en una ventana.
Verifica que puedes conectarte con normalidad usando el puerto 22.
Anota la configuración actual del archivo sshd_config (la veremos más adelante).
Si usas un firewall, asegúrate de saber cómo añadir reglas (te lo explicamos más abajo).

Cómo cambiar el puerto SSH en cPanel

cPanel no tiene una opción gráfica directa para cambiar el puerto SSH. El cambio se realiza editando el archivo de configuración del servicio SSH. Sin embargo, cPanel facilita el acceso al sistema de archivos a través de su administrador de archivos o mediante la terminal integrada.

Método 1: Usando el administrador de archivos de cPanel

Inicia sesión en tu panel de cPanel.
Busca la sección Archivos y haz clic en Administrador de archivos.
Navega hasta la carpeta /etc/ssh/.
Busca el archivo sshd_config. Haz clic derecho sobre él y selecciona Editar.
Busca la línea que dice #Port 22 o Port 22. Si tiene una almohadilla (#) delante, significa que está comentada y usa el valor por defecto.
Elimina la almohadilla y cambia el número por el puerto que desees. Por ejemplo: Port 2222.
Guarda el archivo.
Ahora necesitas reiniciar el servicio SSH. Puedes hacerlo desde la terminal integrada de cPanel (sección Terminal) escribiendo:

sudo systemctl restart sshd

O en sistemas CentOS/RHEL:

sudo service sshd restart

Método 2: Usando la terminal integrada de cPanel

En cPanel, busca la sección Terminal (suele estar en Avanzado o Preferencias).
Se abrirá una consola con acceso a tu servidor.
Edita el archivo de configuración con un editor como nano o vim:

sudo nano /etc/ssh/sshd_config

Busca la línea #Port 22 y cámbiala por Port 2222 (o el puerto que prefieras).
Guarda el archivo (en nano: Ctrl + X, luego Y, luego Enter).
Reinicia el servicio:

sudo systemctl restart sshd

[TIP] Elige un puerto alto, entre 1024 y 65535, para evitar conflictos con servicios comunes. Evita puertos como 80 (HTTP) o 443 (HTTPS).

Verificar el cambio en cPanel

Abre una nueva ventana de terminal en tu ordenador local.
Intenta conectarte con el nuevo puerto:

ssh usuario@tu-ip -p 2222

Si la conexión es exitosa, ¡enhorabuena! Ya has cambiado el puerto SSH en cPanel.

Cómo cambiar el puerto SSH en Plesk

Plesk es más amigable que cPanel en este aspecto, ya que ofrece una interfaz gráfica para gestionar el servicio SSH.

Método gráfico en Plesk

Inicia sesión en tu panel de Plesk.
Ve a Herramientas y configuración (en el menú lateral izquierdo).
Busca la sección Servidor y haz clic en Configuración de SSH.
Verás una opción llamada Puerto. Cambia el valor por defecto (22) por el puerto deseado.
Haz clic en Aceptar o Aplicar.
Plesk reiniciará automáticamente el servicio SSH.

Método manual en Plesk (alternativa)

Si prefieres el control manual o no encuentras la opción gráfica:

Accede a tu servidor por SSH (con el puerto actual).
Edita el archivo de configuración:

sudo nano /etc/ssh/sshd_config

Cambia la línea #Port 22 por Port 2222.
Guarda y reinicia el servicio:

sudo systemctl restart sshd

[INFO] En Plesk, a veces hay que indicar el nuevo puerto en el firewall del propio panel. Ve a Herramientas y configuración > Firewall y añade una regla para permitir el tráfico entrante en el nuevo puerto.

Configurar el firewall para el nuevo puerto SSH

No basta con cambiar el puerto en el servicio SSH. Debes asegurarte de que tu firewall permita el tráfico entrante en ese nuevo puerto. Si no lo haces, te quedarás fuera.

Si usas CSF (ConfigServer Security & Firewall) – común en cPanel

Accede por SSH o al panel de cPanel.
Edita el archivo de configuración:

sudo nano /etc/csf/csf.conf

Busca la línea TCP_IN y añade tu nuevo puerto. Por ejemplo:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,2222"

Guarda el archivo y reinicia el firewall:

csf -r

Si usas UFW (Uncomplicated Firewall) – común en Ubuntu

sudo ufw allow 2222/tcp
sudo ufw reload

Si usas firewalld – común en CentOS/RHEL

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

Si usas el firewall de Plesk

Ve a Herramientas y configuración > Firewall.
Añade una regla personalizada para el nuevo puerto TCP.
Aplica los cambios.

[WARNING] No elimines la regla del puerto 22 hasta que hayas verificado que el nuevo puerto funciona. De lo contrario, podrías quedarte sin acceso.

Consejos adicionales para reforzar la seguridad SSH

Cambiar el puerto es solo el primer paso. Combínalo con estas prácticas para una protección más sólida:

1. Desactiva el acceso root por SSH

Es una mala práctica permitir que el usuario root se conecte directamente por SSH. Crea un usuario con privilegios sudo y desactiva el root:

sudo nano /etc/ssh/sshd_config

Busca la línea PermitRootLogin y cámbiala a:

PermitRootLogin no

2. Usa autenticación por clave pública

Las contraseñas son fáciles de adivinar. Las claves SSH son mucho más seguras. Genera un par de claves en tu ordenador local:

ssh-keygen -t rsa -b 4096

Y copia la clave pública al servidor:

ssh-copy-id usuario@tu-ip -p 2222

Luego, desactiva la autenticación por contraseña en sshd_config:

PasswordAuthentication no

3. Limita los usuarios que pueden conectarse por SSH

Añade esta línea al archivo de configuración para permitir solo a usuarios específicos:

AllowUsers usuario1 usuario2

4. Configura fail2ban

Fail2ban es una herramienta que bloquea automáticamente las IPs que intentan ataques de fuerza bruta ssh. En cPanel suele venir preinstalado. En Plesk, puedes instalarlo fácilmente:

sudo apt install fail2ban

Preguntas frecuentes (FAQ)

¿Qué puerto debo elegir?

Elige un puerto alto, entre 1024 y 65535. Evita puertos conocidos (80, 443, 3306, etc.) para no interferir con otros servicios. Algunos administradores usan puertos como 2200, 2222 o 2020.

¿Puedo usar el mismo puerto para SSH y otro servicio?

No. Cada servicio debe tener un puerto exclusivo. Si dos servicios usan el mismo puerto, habrá conflictos y ninguno funcionará correctamente.

¿Qué pasa si olvido el nuevo puerto?

Si cierras todas las sesiones SSH sin recordar el puerto, tendrás que acceder al servidor a través del panel de control (cPanel o Plesk) usando el navegador web. Desde ahí, podrás editar el archivo de configuración y revertir el cambio.

¿El cambio de puerto afecta a otros servicios como SFTP o SCP?

Sí. SFTP y SCP usan el mismo servicio SSH. Tendrás que especificar el nuevo puerto en tus clientes. Por ejemplo, en FileZilla, deberás poner el nuevo puerto en el campo correspondiente.

¿Debo cambiar el puerto SSH en todos mis servidores?

Sí, si tienes varios servidores, es recomendable aplicar la misma medida en todos. Eso sí, puedes usar puertos diferentes en cada uno para mayor seguridad.

¿Qué es Syspanel y cómo se relaciona con esto?

[INFO] Syspanel (anteriormente conocido como HestiaCP) es un panel de control alternativo. Si lo usas, ten en cuenta que su puerto de acceso es el 2106 por defecto. El proceso para cambiar el puerto SSH en Syspanel es similar al de cualquier servidor Linux: editar sshd_config y reiniciar el servicio.

Resumen y verificación final

Cambiar el puerto SSH es una medida de seguridad fundamental para proteger tu servidor de ataques automatizados. Tanto cPanel como Plesk permiten hacerlo de forma relativamente sencilla, ya sea por interfaz gráfica o editando el archivo de configuración.

Puntos clave para recordar:

Siempre mantén una sesión SSH abierta mientras haces cambios.
Elige un puerto alto y poco común.
Configura el firewall para permitir el nuevo puerto.
Combina el cambio con otras medidas: desactivar root, usar claves públicas y fail2ban.
Verifica el acceso con el nuevo puerto antes de cerrar tu sesión actual.

[TIP] Después de hacer el cambio, anota el nuevo puerto en un lugar seguro. Te sorprenderá la cantidad de administradores que olvidan este dato.

La seguridad es un proceso continuo, no una acción puntual. Cambiar el puerto SSH es solo el comienzo. Mantente alerta, actualiza tu sistema regularmente y revisa los logs de acceso con frecuencia. Tu servidor te lo agradecerá.