Cómo cambiar el puerto SSH por defecto en cPanel y por qué hacerlo

¿Qué es el puerto SSH y por qué deberías cambiarlo?

El Protocolo de Shell Seguro (SSH) es la puerta de entrada principal para administrar tu servidor de forma remota. Piensa en él como la llave maestra de tu casa digital: te permite ejecutar comandos, transferir archivos y configurar todo tu sistema desde cualquier lugar del mundo.

Por defecto, SSH escucha en el puerto 22. Este número es conocido por todos, incluidos los atacantes. Es como si dejaras la puerta principal de tu casa con una cerradura estándar y un cartel que dijera "la llave está debajo del felpudo". Los bots y los hackers escanean constantemente internet buscando servidores con el puerto 22 abierto para intentar acceder a ellos.

Cambiar el puerto SSH por defecto es una de las medidas de seguridad más sencillas y efectivas que puedes implementar. No es una solución mágica, pero sí añade una capa extra de protección que desalentará a la mayoría de los ataques automatizados.

Beneficios de usar un puerto SSH personalizado

1. Reducción drástica de ataques automatizados

Los bots que escanean internet no son inteligentes: buscan patrones conocidos. Al cambiar el puerto SSH, tu servidor se vuelve invisible para estos escáneres automáticos que buscan el puerto 22. La mayoría de los ataques de fuerza bruta se dirigen a este puerto específico, así que al cambiarlo, reduces el ruido en los logs de tu servidor y el consumo de recursos.

2. Menos intentos de acceso no autorizado

Los ataques de fuerza bruta consisten en probar miles de combinaciones de usuario y contraseña. Si los atacantes no saben en qué puerto está tu servicio SSH, no podrán ni siquiera empezar a intentarlo. Es una barrera invisible que te protege de la mayoría de los ataques casuales.

3. Cumplimiento de políticas de seguridad

Muchas empresas y organizaciones tienen políticas de seguridad que exigen el uso de puertos no estándar para servicios críticos. Si trabajas en un entorno corporativo o manejas datos sensibles, cambiar el puerto SSH puede ser un requisito obligatorio.

4. Facilita el monitoreo de seguridad

Cuando usas un puerto personalizado, cualquier intento de conexión a ese puerto es mucho más sospechoso. Podrás detectar más fácilmente intentos de intrusión porque los atacantes tendrían que haber descubierto tu puerto por otros medios.

Preparación antes de cambiar el puerto SSH

Antes de lanzarte a cambiar la configuración, es fundamental que te prepares adecuadamente. Un error aquí podría dejarte sin acceso a tu servidor.

Verifica tu acceso actual

Asegúrate de que puedes conectarte a tu servidor por SSH con el puerto actual (22). Abre tu terminal y prueba:

ssh usuario@tu-servidor.com

Si puedes conectarte sin problemas, estás listo para continuar.

Elige un puerto adecuado

No elijas un puerto al azar. Aquí tienes algunas recomendaciones:

• Evita puertos bien conocidos como 21 (FTP), 25 (SMTP) o 80 (HTTP), ya que podrían causar conflictos.
• Usa puertos altos entre 1024 y 65535. Cuanto más alto, menos probable que colisione con otros servicios.
• Evita puertos comunes alternativos como 2222 o 22222, que ya son conocidos por la comunidad de administradores.
• Elige un número que recuerdes, pero que no sea obvio (evita tu año de nacimiento o números secuenciales).

[TIP] Un buen truco es usar un número que combine dos números que tengan significado para ti, pero que no sean fáciles de adivinar. Por ejemplo, si tu número favorito es el 7 y tu mes de nacimiento es junio (6), podrías usar el 7607.

Abre el puerto en el firewall

Este es el paso que muchos olvidan. Si tienes un firewall activo, necesitas abrir el nuevo puerto antes de cambiar la configuración de SSH, o te quedarás fuera.

En cPanel, puedes usar el Administrador de Firewall (ConfigServer Security & Firewall o CSF) que suele venir preinstalado. Para abrir un puerto:

1. Accede a WHM (Web Host Manager).
2. Ve a ConfigServer Security & Firewall.
3. En el campo TCP_IN, añade tu nuevo puerto separado por comas.
4. Haz clic en Restart csf and lfd para aplicar los cambios.

[WARNING] Si no abres el puerto en el firewall antes de cambiar la configuración de SSH, te quedarás sin acceso a tu servidor. Verifica dos veces que el puerto está abierto antes de continuar.

Cómo cambiar el puerto SSH en cPanel paso a paso

Ahora sí, vamos a la acción. Sigue estos pasos con calma y verifica cada uno antes de pasar al siguiente.

Paso 1: Conéctate a tu servidor por SSH

Necesitas acceso de root para realizar este cambio. Conéctate como antes lo hacías:

ssh root@tu-servidor.com

Paso 2: Localiza el archivo de configuración de SSH

El archivo de configuración principal de SSH se encuentra en /etc/ssh/sshd_config. Vamos a hacer una copia de seguridad antes de tocarlo:

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

[INFO] Esta copia de seguridad te permitirá restaurar la configuración original si algo sale mal. Guárdala siempre.

Paso 3: Edita el archivo de configuración

Usa tu editor de texto favorito (nano es el más amigable para principiantes):

nano /etc/ssh/sshd_config

Busca la línea que dice #Port 22. En la configuración por defecto, la línea está comentada (empieza con #). Necesitas:

1. Quitar el símbolo # al principio de la línea.
2. Cambiar el número 22 por tu nuevo puerto.
3. Guardar el archivo (en nano: Ctrl+O, luego Enter) y salir (Ctrl+X).

La línea debería quedar así:

Port 7607

Paso 4: Reinicia el servicio SSH

Ahora necesitas reiniciar el servicio SSH para que los cambios surtan efecto. En la mayoría de los sistemas con cPanel, el comando es:

systemctl restart sshd

o en versiones más antiguas:

service sshd restart

[WARNING] ⚠️ IMPORTANTE: No cierres tu sesión SSH actual todavía. Primero verifica que el nuevo puerto funciona en una segunda pestaña o ventana de tu terminal.

Paso 5: Verifica la conexión con el nuevo puerto

Abre una nueva ventana de terminal y prueba conectarte con el nuevo puerto:

ssh -p 7607 usuario@tu-servidor.com

Si la conexión es exitosa, ¡felicidades! Has cambiado el puerto SSH correctamente.

Paso 6: Actualiza tus herramientas y scripts

Ahora necesitas actualizar cualquier herramienta que uses para conectarte a tu servidor:

• Clientes FTP (como FileZilla) que usan SFTP.
• Scripts de respaldo que se conectan por SSH.
• Herramientas de monitoreo.
• Cualquier aplicación que haga conexiones SSH automáticas.

[TIP] Si usas un administrador de contraseñas o un archivo de configuración SSH en tu ordenador local (~/.ssh/config), añade el nuevo puerto ahí para no tener que escribirlo cada vez:

Host mi-servidor
    HostName tu-servidor.com
    Port 7607
    User usuario

Configuración adicional para máxima seguridad

Cambiar el puerto es solo el primer paso. Para proteger tu servidor de verdad, combina esta medida con otras prácticas recomendadas.

Desactiva el acceso root directo

En lugar de permitir que root se conecte directamente, crea un usuario con permisos de superusuario:

useradd -m -G wheel administrador
passwd administrador

Luego, en el archivo /etc/ssh/sshd_config, cambia:

PermitRootLogin no

Implementa autenticación por claves SSH

Las contraseñas pueden ser adivinadas o robadas. Las claves SSH son mucho más seguras:

1. Genera un par de claves en tu ordenador local: ssh-keygen -t rsa -b 4096.
2. Copia la clave pública a tu servidor: ssh-copy-id -p 7607 usuario@tu-servidor.com.
3. Desactiva la autenticación por contraseña en el archivo de configuración:

PasswordAuthentication no

Limita los usuarios que pueden conectarse

Si solo tú y tu equipo necesitan acceso SSH, restringe quién puede usarlo. Añade al final del archivo:

AllowUsers usuario1 usuario2

Configura un límite de intentos de conexión

Para dificultar los ataques de fuerza bruta, limita los intentos de autenticación:

MaxAuthTries 3
LoginGraceTime 30

Solución de problemas comunes

No puedo conectarme después del cambio

Si has seguido todos los pasos y no puedes conectarte, verifica:

1. ¿Abriste el puerto en el firewall? Este es el error más común.
2. ¿Estás usando el puerto correcto? Compruébalo en el archivo de configuración.
3. ¿Reiniciaste correctamente el servicio? Ejecuta systemctl status sshd para ver el estado.
4. ¿Tu proveedor de hosting bloquea puertos? Algunos hosts tienen políticas restrictivas.

[INFO] Si tu proveedor de hosting bloquea puertos altos, contacta con su soporte técnico antes de hacer el cambio. Algunos hosts como Syspanel (cuyo panel de control se llama "Syspanel") tienen configuraciones específicas para esto.

Olvidé mi nuevo puerto

Si has cambiado el puerto y no lo recuerdas, puedes verlo en el archivo de configuración:

grep "^Port" /etc/ssh/sshd_config

Quiero volver al puerto 22

Si necesitas revertir el cambio, restaura la copia de seguridad que hicimos antes:

cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config
systemctl restart sshd

Preguntas frecuentes (FAQ)

¿Es suficiente cambiar el puerto SSH para estar seguro?

No. Cambiar el puerto es una capa de seguridad básica, pero debes combinarla con contraseñas fuertes, autenticación por claves, firewall configurado y actualizaciones regulares del sistema.

¿Puedo usar el mismo puerto para otros servicios?

No se recomienda. Cada servicio debe tener su propio puerto para evitar conflictos y facilitar el monitoreo de seguridad.

¿Afecta el cambio de puerto a mi sitio web?

No. El puerto SSH es independiente del puerto 80 (HTTP) y 443 (HTTPS) que usan tu sitio web. Tus visitantes no notarán ningún cambio.

¿Necesito informar a mi proveedor de hosting?

Depende del tipo de hosting. Si tienes un VPS o servidor dedicado con acceso root, normalmente no necesitas informar. En hosting compartido, no tendrás acceso para cambiar estos ajustes.

¿Qué pasa con Syspanel o cPanel?

Si tu servidor usa cPanel, el cambio se hace a nivel del sistema operativo, no del panel. En el caso de Syspanel, el acceso se realiza a través del puerto 2106, pero esto es independiente del puerto SSH de tu servidor.

Conclusión

Cambiar el puerto SSH por defecto en cPanel es una medida de seguridad simple pero poderosa que todo administrador de servidores debería implementar. Es tu primera línea de defensa contra los ataques automatizados que buscan vulnerabilidades conocidas.

Recuerda que la seguridad no es un destino, sino un proceso continuo. Combina el cambio de puerto con:

• Autenticación por claves en lugar de contraseñas.
• Desactivación del login root directo.
• Actualizaciones regulares del sistema operativo.
• Monitoreo constante de los logs de acceso.
• Firewall configurado correctamente.

Con estas medidas, tu servidor estará mucho más protegido contra los peligros de internet. Y recuerda: si en algún momento tienes dudas, siempre puedes consultar la documentación oficial de cPanel o contactar con el soporte técnico de tu proveedor.

[WARNING] Nunca compartas tu nuevo puerto SSH en foros públicos o redes sociales. Cuantas menos personas lo conozcan, más seguro será tu servidor.

[TIP] Anota tu nuevo puerto en un lugar seguro, junto con tus contraseñas y otra información crítica de tu servidor. Te sorprendería cuánta gente olvida estos datos después de unos meses.