Cambiar puerto SSH en Plesk: Guía de seguridad definitiva

¿Por qué cambiar el puerto SSH en Plesk?

El protocolo SSH (Secure Shell) es la puerta de entrada principal para administrar tu servidor de forma remota. Por defecto, el puerto 22 es el estándar mundial y, por desgracia, es el primer objetivo de los bots y atacantes automatizados que escanean la red constantemente en busca de servidores expuestos.

Cambiar el puerto SSH en Plesk no es una solución mágica que haga tu servidor invulnerable, pero sí es una capa de seguridad básica y muy efectiva. Al mover el puerto a un número no estándar, reduces drásticamente el ruido de ataques automatizados. Es como cambiar la cerradura de tu puerta principal: quien de verdad te quiere robar puede intentar forzarla, pero los "ladrones de oportunidad" pasarán de largo.

Además, este cambio es sencillo, reversible y no afecta al rendimiento del servidor. En esta guía, te explicaré paso a paso cómo realizarlo en Plesk, cómo configurar el firewall para que solo acepte conexiones en el nuevo puerto y qué precauciones debes tomar para no quedarte fuera de tu propio servidor.

Antes de empezar: prepara tu servidor

[WARNING] Un error al cambiar el puerto SSH puede dejarte sin acceso remoto al servidor. Si no tienes acceso por consola (por ejemplo, a través del panel de tu proveedor de hosting o un VNC), ve con mucho cuidado y sigue los pasos al pie de la letra.

Antes de tocar nada, necesitas tener a mano:

Acceso a Plesk como administrador.
Acceso a la terminal del servidor (por SSH en el puerto actual o mediante el administrador de archivos de Plesk).
Un número de puerto libre. Te recomiendo elegir un número alto, entre 1024 y 65535. Evita puertos comunes como 21, 80, 443, 3306, etc. Por ejemplo, el puerto 2200 o el puerto 2222 son opciones populares, pero puedes inventar uno propio como el 48210.

Paso 1: Localiza el archivo de configuración de SSH

SSH (el servicio, no el protocolo) se configura mediante un archivo de texto llamado sshd_config. Su ubicación exacta puede variar según el sistema operativo, pero en la mayoría de los casos (Ubuntu, Debian, CentOS) se encuentra en:

/etc/ssh/sshd_config

En Plesk, tienes dos formas de editar este archivo:

Opción A: Usando el Administrador de archivos de Plesk

Inicia sesión en Plesk.
Ve a Administración de archivos (normalmente en el menú de la izquierda, bajo "Herramientas y configuración" o directamente en el nombre de tu dominio).
Navega hasta la ruta /etc/ssh/.
Busca el archivo sshd_config. Ten en cuenta que Plesk puede no mostrar los archivos ocultos o del sistema por defecto. Si no lo ves, activa la opción "Mostrar archivos ocultos" en la configuración del administrador de archivos.
Haz clic derecho sobre el archivo y selecciona Editar.

Opción B: Usando el terminal (SSH)

Si te sientes cómodo con la línea de comandos, puedes conectarte por SSH y usar un editor como nano o vim:

sudo nano /etc/ssh/sshd_config

[INFO] Si no encuentras el archivo, ejecuta sudo find / -name sshd_config para localizarlo. En algunos sistemas puede estar en /etc/ssh/sshd_config o en /etc/sshd_config.

Paso 2: Cambia el puerto en el archivo de configuración

Una vez que tengas el archivo abierto, busca la línea que dice:

#Port 22

En muchos sistemas, esta línea está comentada (empieza por #). Debes descomentarla (quitar el #) y cambiar el número por el puerto que hayas elegido.

Por ejemplo, si quieres usar el puerto 48210, la línea debería quedar así:

Port 48210

[TIP] No elimines la línea Port 22 todavía. Puedes dejarla comentada o simplemente cambiarla. Si pones dos líneas Port, SSH usará la primera que encuentre. Es mejor tener solo una línea activa para evitar confusiones.

Guarda el archivo. Si estás en Plesk, el editor de archivos te pedirá confirmación. Si estás en la terminal, con nano usa Ctrl + O para guardar y Ctrl + X para salir.

Paso 3: Configura el firewall de Plesk

Este es el paso más importante para que el cambio sea efectivo. No basta con cambiar el puerto en el servicio; también debes asegurarte de que el firewall permita conexiones entrantes en el nuevo puerto y, si es posible, bloquear el puerto 22.

Plesk incluye un firewall integrado (basado en iptables o firewalld dependiendo del sistema). Para configurarlo:

Ve a Herramientas y configuración en Plesk.
Busca la sección Seguridad y haz clic en Firewall.
Se abrirá una interfaz con las reglas actuales. Verás una lista de puertos permitidos.
Haz clic en Añadir regla o Agregar puerto.
En el campo "Puerto", escribe el número que elegiste (por ejemplo, 48210).
En "Protocolo", selecciona TCP.
En "Dirección IP", puedes dejarlo en "Cualquiera" o restringirlo a una IP concreta (más seguro, pero menos flexible).
Guarda la regla.

[WARNING] No elimines todavía la regla del puerto 22. Primero asegúrate de que el nuevo puerto funciona correctamente. Si lo eliminas antes de tiempo y algo falla, te quedarás sin acceso.

Si tu servidor no usa el firewall de Plesk sino uno externo (como CSF o un firewall en el panel del proveedor), deberás añadir la regla allí también.

Paso 4: Reinicia el servicio SSH

Una vez que has guardado los cambios en sshd_config y has configurado el firewall, es hora de reiniciar el servicio SSH para que los cambios surtan efecto.

Desde la terminal, ejecuta:

sudo systemctl restart sshd

O si tu sistema usa service:

sudo service ssh restart

[INFO] En algunos sistemas, el servicio se llama ssh y en otros sshd. Si no sabes cuál es, ejecuta sudo systemctl status ssh o sudo systemctl status sshd para ver cuál existe.

Paso 5: Prueba la conexión con el nuevo puerto

Ahora viene el momento de la verdad. Abre una nueva ventana de terminal en tu ordenador local e intenta conectarte al servidor usando el nuevo puerto:

ssh usuario@tu-servidor.com -p 48210

Reemplaza usuario por tu nombre de usuario real y 48210 por el puerto que hayas elegido.

[TIP] Si la conexión tiene éxito, verás el mensaje de bienvenida del servidor. Si falla, revisa que el firewall esté bien configurado y que el puerto esté abierto. Puedes usar herramientas como nmap o telnet para diagnosticar.

Paso 6: Bloquea el puerto 22 (opcional pero recomendado)

Una vez que has confirmado que puedes conectarte con el nuevo puerto, es hora de cerrar el puerto 22 para evitar ataques automatizados.

Ve de nuevo al firewall de Plesk, busca la regla que permite el puerto 22 y elimínala o desactívala. Si usas un firewall externo, haz lo mismo allí.

[WARNING] Si tienes servicios que dependen de SSH en el puerto 22 (por ejemplo, copias de seguridad remotas o scripts), bloquear este puerto los romperá. Asegúrate de actualizar esas configuraciones antes de cerrarlo.

Configuraciones adicionales para mejorar la seguridad del servidor

Cambiar el puerto SSH es solo el primer paso. Para proteger tu servidor de verdad, te recomiendo combinar esta medida con otras:

1. Desactiva el acceso root por SSH

El usuario root es el objetivo número uno de los ataques. Es mucho más seguro crear un usuario con permisos de superusuario (sudo) y desactivar el login directo como root.

En sshd_config, busca o añade la línea:

PermitRootLogin no

2. Usa autenticación por clave pública

Las contraseñas son fáciles de adivinar o robar. Configura un par de claves SSH (pública y privada) y desactiva la autenticación por contraseña.

En sshd_config, busca o añade:

PasswordAuthentication no
PubkeyAuthentication yes

3. Limita los usuarios que pueden conectarse por SSH

Si solo tú y tu equipo necesitan acceso, puedes especificar qué usuarios están permitidos:

AllowUsers admin usuario1 usuario2

4. Configura un cortafuegos a nivel de aplicación

Además del firewall de Plesk, puedes usar herramientas como fail2ban que bloqueen automáticamente las IPs que intenten múltiples conexiones fallidas.

Preguntas frecuentes (FAQ)

¿Puedo cambiar el puerto SSH sin usar la terminal?

Sí, Plesk te permite editar el archivo sshd_config a través del administrador de archivos. Sin embargo, necesitarás reiniciar el servicio SSH desde la terminal o a través de la interfaz de Plesk (en algunas versiones hay un botón para reiniciar servicios).

¿Qué hago si me quedo bloqueado fuera del servidor?

Si no puedes conectarte con el nuevo puerto, intenta acceder por consola (por ejemplo, desde el panel de tu proveedor de hosting). Desde ahí, puedes volver a editar el archivo sshd_config y restaurar el puerto 22 o revisar el firewall.

¿Es obligatorio cambiar el puerto SSH?

No es obligatorio, pero es una medida de seguridad muy recomendable. Si tu servidor está expuesto a internet, los bots escanearán el puerto 22 constantemente. Cambiarlo reduce el ruido y las probabilidades de ataques automatizados.

¿Puedo usar el puerto 2222?

Sí, el puerto 2222 es una opción común, pero también es conocido por los atacantes. Te recomiendo elegir un número de puerto menos predecible, como el 48210 o el 31000.

¿Afecta el cambio de puerto a otros servicios?

No, el cambio de puerto solo afecta al servicio SSH. Otros servicios (como FTP, HTTP, MySQL) seguirán funcionando en sus puertos habituales.

¿Necesito actualizar algo en mis aplicaciones?

Si tienes aplicaciones que se conectan al servidor por SSH (por ejemplo, herramientas de despliegue o copias de seguridad), deberás actualizar la configuración para que usen el nuevo puerto.

¿Qué hago si uso Syspanel (antes HestiaCP)?

Si tu servidor usa Syspanel (el panel de control que antes se llamaba HestiaCP), el proceso es similar. Deberás editar el archivo sshd_config y configurar el firewall de Syspanel. Recuerda que el acceso a Syspanel se realiza a través del puerto 2106, no el 22.

Conclusión

Cambiar el puerto SSH en Plesk es una tarea sencilla que mejora notablemente la seguridad de tu servidor. Siguiendo estos pasos, habrás reducido la superficie de ataque y dificultado la vida a los bots automatizados. Recuerda que la seguridad es un proceso continuo: combina este cambio con otras buenas prácticas como el uso de claves SSH, la desactivación del acceso root y la monitorización de logs.

Si tienes alguna duda, no la dejes pasar. Revisa la documentación oficial de Plesk o consulta con tu proveedor de hosting. Un servidor bien protegido es la base de un proyecto web exitoso.

[TIP] Configura una alarma o recordatorio para revisar los logs de SSH cada cierto tiempo. Detectar intentos de acceso sospechosos a tiempo puede ahorrarte muchos dolores de cabeza.