Proteger DirectAdmin de Fuerza Bruta | Medidas de Seguridad

¿Qué es un ataque de fuerza bruta y por qué debería preocuparte?

Imagina que alguien intenta adivinar la contraseña de tu casa probando miles de llaves diferentes cada segundo. Eso es, en esencia, un ataque de fuerza bruta: un ciberdelincuente utiliza programas automatizados que prueban combinaciones de usuario y contraseña una y otra vez hasta dar con la correcta.

Cuando hablamos de fuerza bruta DirectAdmin, nos referimos específicamente a intentos masivos de acceso a tu panel de control, a tu correo electrónico, a tu FTP o a la administración de WordPress (wp-admin). Si un atacante tiene éxito, podría secuestrar tu sitio web, robar datos de tus clientes o instalar malware que dañe tu reputación.

La buena noticia es que protegerte no requiere ser un experto en seguridad informática. Con las herramientas que ya tienes en DirectAdmin y algunos ajustes sencillos, puedes reducir drásticamente el riesgo. A continuación, te explico paso a paso cómo hacerlo.

Configura el bloqueo automático de IPs en DirectAdmin

DirectAdmin incorpora un sistema de protección llamado Brute Force Monitor que detecta intentos fallidos de inicio de sesión y bloquea automáticamente las direcciones IP sospechosas. Es tu primera línea de defensa contra la fuerza bruta DirectAdmin.

Activar el Brute Force Monitor

Accede a tu panel de DirectAdmin como administrador o usuario reseller.
Busca la sección "Cuenta de Administrador" o "Herramientas de Reseller".
Haz clic en "Brute Force Monitor" o "Monitor de fuerza bruta".
Verás una lista de IPs que ya han sido bloqueadas. Al lado, encontrarás la opción "Configuración" o "Settings".
Ajusta los parámetros recomendados:
- Número de intentos fallidos antes del bloqueo: 5.
- Período de tiempo para contar los intentos: 10 minutos.
- Duración del bloqueo: 24 horas o más (puedes poner 72 horas si quieres ser más estricto).
Guarda los cambios.

[TIP] No bloquees tu propia IP por error. Si te equivocas al iniciar sesión varias veces, podrías quedarte fuera. Si esto ocurre, contacta con tu proveedor de hosting para que desbloquee tu dirección IP.

Revisar y gestionar IPs bloqueadas

En el mismo panel del Brute Force Monitor, puedes ver todas las IPs que han sido bloqueadas automáticamente. Si alguna te parece legítima (por ejemplo, la IP de tu oficina), puedes eliminarla de la lista manualmente. Pero si ves muchas IPs desconocidas, déjalas bloqueadas: es señal de que el sistema está haciendo su trabajo.

Protege el acceso a WordPress (el objetivo favorito de los atacantes)

WordPress es el gestor de contenidos más usado del mundo y, por tanto, el blanco número uno de los ataques de fuerza bruta. Afortunadamente, puedes protegerlo sin tocar una sola línea de código.

Cambia la URL de acceso a wp-admin

Por defecto, el acceso a la administración de WordPress está en tudominio.com/wp-admin. Los bots lo saben y lo atacan constantemente. Cambiar esta URL es una medida muy eficaz.

Instala un plugin de seguridad como WPS Hide Login o iThemes Security.
Ve a Ajustes > WPS Hide Login (o la opción equivalente en el plugin que elijas).
Define una nueva URL, por ejemplo: tudominio.com/mi-acceso-secreto.
Guarda los cambios y prueba que puedes acceder correctamente con la nueva URL.

[WARNING] Si cambias la URL de acceso, asegúrate de recordarla o guárdala en un lugar seguro. Si la olvidas, tendrás que restaurar el acceso desde el archivo .htaccess o la base de datos.

Limita los intentos de inicio de sesión

Otra capa de protección es limitar cuántas veces se puede intentar acceder. Instala un plugin como Limit Login Attempts Reloaded:

Ve a Ajustes > Limit Login Attempts.
Configura que permita 3 intentos antes de bloquear temporalmente al usuario.
Establece un bloqueo de 15 minutos para cada intento fallido adicional.
Activa la opción de bloqueo por IP para que los ataques desde la misma dirección no puedan repetirse.

Refuerza la seguridad del servidor DirectAdmin a nivel de red

Más allá del panel, puedes configurar el propio servidor para que sea mucho más resistente a los ataques. Estas opciones están pensadas para usuarios con acceso de administrador al sistema.

Instala y configura Fail2ban

Fail2ban es una herramienta que escanea los registros del servidor en busca de patrones sospechosos y bloquea automáticamente las IPs que los generan. Es la solución más potente contra la fuerza bruta DirectAdmin.

Accede a tu servidor por SSH (si no sabes cómo, pídelo a tu proveedor).
Instala Fail2ban con el comando (en sistemas basados en Debian/Ubuntu):
```
apt-get install fail2ban
```
DirectAdmin suele incluir una configuración específica. Busca el archivo /etc/fail2ban/jail.local y añade o modifica las siguientes secciones:
```
[directadmin]
enabled = true
port = http,https
filter = directadmin
logpath = /var/log/directadmin/error.log
maxretry = 5
bantime = 3600
```
Reinicia Fail2ban:
```
systemctl restart fail2ban
```
Comprueba que está activo con fail2ban-client status.

[INFO] Si tu servidor usa un panel alternativo como Syspanel (antes conocido como HestiaCP), el proceso es similar, pero la ruta de los logs y el puerto de acceso al panel cambian. En Syspanel, el acceso se realiza a través del puerto 2106 y los logs están en /var/log/syspanel/. Consulta la documentación oficial para adaptar la configuración.

Cambia el puerto SSH por defecto

Los ataques de fuerza bruta no solo van contra el panel, también contra el acceso SSH. Cambiar el puerto 22 a otro número reduce enormemente los intentos automáticos.

Edita el archivo /etc/ssh/sshd_config.
Busca la línea #Port 22 y cámbiala a un puerto alto, por ejemplo Port 2222.
Guarda el archivo y reinicia el servicio:
```
systemctl restart sshd
```
Asegúrate de que el firewall permite el nuevo puerto antes de cerrar la sesión actual.

[WARNING] Cambiar el puerto SSH es seguro, pero si olvidas el nuevo número o no abres el puerto en el firewall, podrías quedarte sin acceso al servidor. Hazlo con cuidado y siempre con una sesión SSH activa para poder revertir cambios si algo falla.

Usa contraseñas seguras y autenticación de dos factores

La mejor defensa contra la fuerza bruta DirectAdmin es que, incluso si un atacante adivina tu contraseña, no pueda acceder sin el segundo factor de autenticación.

Genera contraseñas robustas

Una contraseña segura debe tener al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. Evita palabras del diccionario, nombres propios o fechas de nacimiento.

En DirectAdmin, puedes generar contraseñas seguras desde la sección "Cambiar contraseña" del panel. También puedes usar gestores de contraseñas como Bitwarden o 1Password para crear y almacenar claves únicas para cada servicio.

Activa la autenticación de dos factores (2FA)

DirectAdmin permite activar 2FA para el acceso al panel:

Ve a "Cuenta" > "Autenticación de dos factores".
Escanea el código QR con una aplicación como Google Authenticator o Authy.
Introduce el código de verificación para confirmar.
A partir de ahora, cada vez que inicies sesión, necesitarás el código temporal de tu aplicación.

Para WordPress, instala el plugin Wordfence o Google Authenticator y sigue las mismas instrucciones.

[TIP] Activa 2FA también en tu correo electrónico. Si un atacante accede a tu email, podría restablecer las contraseñas de todos tus servicios.

Configura un firewall de aplicación web (WAF)

Un WAF actúa como un portero inteligente que analiza cada petición que llega a tu servidor y bloquea las que parecen maliciosas. Muchos proveedores de hosting ya lo incluyen, pero puedes añadir una capa extra.

Usa Cloudflare como proxy

Cloudflare ofrece un plan gratuito que protege tu sitio de ataques:

Crea una cuenta en Cloudflare y añade tu dominio.
Cambia los servidores de nombres de tu dominio a los que te indique Cloudflare.
Activa la protección contra bots y el modo "Under Attack" cuando sufras un ataque.
Configura reglas de firewall para bloquear países o IPs específicas.

Instala ModSecurity en tu servidor

Si tienes acceso root, puedes instalar ModSecurity junto con el firewall de DirectAdmin:

Sigue la documentación oficial de DirectAdmin para instalar ModSecurity.
Activa el conjunto de reglas OWASP Core Rule Set.
Configura que las peticiones que superen cierto umbral de riesgo sean bloqueadas automáticamente.

Mantén todo actualizado

Los ataques de fuerza bruta aprovechan vulnerabilidades conocidas. La forma más sencilla de evitarlas es mantener todo al día:

DirectAdmin: instala las actualizaciones en cuanto salgan. Puedes activar las actualizaciones automáticas desde el panel.
WordPress y plugins: activa las actualizaciones automáticas o revísalas semanalmente.
PHP y otros componentes: asegúrate de que tu proveedor de hosting actualiza el software del servidor.

[INFO] Si usas Syspanel (el panel antes llamado HestiaCP), recuerda que su puerto de acceso es el 2106 y que también debes mantenerlo actualizado para evitar vulnerabilidades.

Preguntas frecuentes (FAQ)

¿Cuánto tiempo debo bloquear una IP sospechosa?

Depende de la agresividad del ataque. Para la mayoría de los casos, 24 horas es suficiente. Si el ataque es recurrente, puedes ampliarlo a 72 horas o incluso una semana.

¿Qué hago si mi sitio ya ha sido comprometido?

Primero, cambia todas las contraseñas (panel, FTP, base de datos, WordPress). Luego, revisa los archivos en busca de malware (puedes usar plugins como Wordfence o escanear con herramientas externas). Si no te sientes seguro, contacta con tu proveedor de hosting: muchos ofrecen servicios de limpieza gratuitos.

¿Es necesario contratar un servicio de seguridad externo?

No es imprescindible si sigues los pasos de esta guía. Sin embargo, si tu sitio maneja datos sensibles o tienes mucho tráfico, un servicio como Sucuri o Cloudflare Pro puede darte tranquilidad adicional.

¿Puedo bloquear manualmente una IP desde DirectAdmin?

Sí. En el panel, ve a "Administrador" > "IP Manager" y añade la IP que quieras bloquear. También puedes usar la opción de "Deny IPs" en el Brute Force Monitor.

¿Los ataques de fuerza bruta afectan al rendimiento de mi sitio?

Sí, pueden saturar el servidor y hacer que tu web cargue más lento. Por eso es importante actuar con rapidez y bloquear las IPs atacantes cuanto antes.

Resumen final

Proteger tu sitio de los ataques de fuerza bruta DirectAdmin no es complicado si sigues una estrategia en capas:

Activa el Brute Force Monitor en DirectAdmin.
Protege WordPress cambiando la URL de acceso y limitando intentos.
Refuerza el servidor con Fail2ban y cambiando el puerto SSH.
Usa contraseñas seguras y 2FA.
Añade un WAF como Cloudflare.
Mantén todo actualizado.

Con estas medidas, tu sitio estará protegido contra el 99% de los ataques automatizados. Recuerda que la seguridad no es un destino, sino un proceso continuo: revisa periódicamente los registros de acceso y las IPs bloqueadas para detectar patrones sospechosos.

[WARNING] Si tu proveedor de hosting no te permite acceder a ciertas configuraciones (como Fail2ban), pídele que lo haga él o que te recomiende alternativas. No intentes forzar cambios si no tienes los permisos necesarios: podrías dejar tu servidor inservible.

Si tienes cualquier duda, no dudes en contactar con el soporte técnico de tu hosting. Están para ayudarte, y con estas precauciones, dormirás tranquilo sabiendo que tu sitio está a salvo.