Seguridad SSH en cPanel | Usar claves públicas

Introducción: ¿Por qué es importante proteger tu servidor con SSH y claves públicas?

Si tienes un servidor con cPanel, una de las primeras cosas que debes hacer es asegurar el acceso por SSH. El protocolo SSH (Secure Shell) es la puerta de entrada principal para administrar tu servidor de forma remota. Sin embargo, si esa puerta no está bien cerrada, cualquier persona con intenciones maliciosas podría intentar entrar adivinando contraseñas o explotando vulnerabilidades.

La forma más segura y recomendada de proteger tu servidor es usando claves públicas en lugar de contraseñas tradicionales. Este método es como tener una llave digital única: nadie puede copiarla ni adivinarla, y solo tú (o quien tenga la clave privada) puede entrar.

En este artículo, te guiaré paso a paso para configurar SSH con claves públicas en cPanel. No necesitas ser un experto en sistemas; con un poco de paciencia y siguiendo estas instrucciones, tendrás tu servidor mucho más seguro en menos de 30 minutos.

¿Qué es SSH y por qué debería usarlo?

SSH es un protocolo de red que te permite conectarte a tu servidor de forma cifrada. Cuando te conectas por SSH, todo lo que haces (comandos, transferencias de archivos, configuraciones) viaja encriptado, por lo que nadie puede interceptarlo fácilmente.

Usar SSH es esencial porque:

Te permite administrar archivos y bases de datos sin entrar al panel gráfico.
Es la base para herramientas como Git, WP-CLI o tareas programadas (cron).
Es mucho más rápido y ligero que usar un escritorio remoto.

Pero si dejas el acceso por SSH con contraseña, estás expuesto a ataques de fuerza bruta. Los atacantes usan programas que prueban miles de contraseñas por minuto. Con una clave pública, ese riesgo desaparece casi por completo.

¿Qué son las claves públicas y cómo funcionan?

Las claves públicas son un par de archivos criptográficos:

Clave privada: Es secreta y debe quedarse solo en tu computadora local. Es como la llave de tu casa.
Clave pública: Se sube al servidor. Es como la cerradura que reconoce tu llave.

Cuando intentas conectarte por SSH, el servidor te envía un desafío matemático que solo puede resolverse con tu clave privada. Si coincide, te deja entrar. Si no, te rechaza.

Este sistema es prácticamente imposible de hackear por fuerza bruta, porque no hay contraseña que adivinar.

Paso 1: Generar tu par de claves SSH

Antes de tocar cPanel, necesitas generar tus claves en tu computadora local. Dependiendo de tu sistema operativo, el proceso es ligeramente distinto.

En Windows (con PuTTY o terminal Git Bash)

Descarga e instala PuTTY o usa la terminal de Git Bash.
Abre la terminal y escribe:

ssh-keygen -t rsa -b 4096 -C "tu-email@ejemplo.com"

Te preguntará dónde guardar la clave. Pulsa Enter para usar la ubicación predeterminada (C:\Users\TuUsuario\.ssh\id_rsa).
Te pedirá una frase de contraseña (passphrase). Esto es opcional pero muy recomendable: si alguien roba tu clave privada, sin la frase no podrá usarla. Escribe una que recuerdes bien.
Se generarán dos archivos: id_rsa (privada) y id_rsa.pub (pública).

En macOS o Linux

Abre la terminal y ejecuta:

ssh-keygen -t rsa -b 4096 -C "tu-email@ejemplo.com"

Sigue los mismos pasos: ubicación predeterminada y una frase de contraseña segura.

Paso 2: Subir tu clave pública a cPanel

Ahora que ya tienes tu par de claves, es momento de subir la clave pública a tu servidor. cPanel facilita este proceso desde su interfaz.

Inicia sesión en tu cPanel.
Busca la sección Seguridad y haz clic en Acceso SSH (a veces aparece como "SSH Access").
Verás un botón que dice Administrar claves SSH o Manage SSH Keys. Haz clic ahí.
En la nueva pantalla, haz clic en Importar clave o Import Key.
Copia el contenido completo de tu archivo id_rsa.pub (puedes abrirlo con el bloc de notas). Pégalo en el campo correspondiente.
Dale un nombre descriptivo a la clave (por ejemplo, "Mi laptop personal").
Haz clic en Importar.

[TIP] Si no encuentras la opción de Acceso SSH en cPanel, puede que tu proveedor de hosting no lo tenga habilitado en tu plan. Contacta con soporte para activarlo.

Paso 3: Configurar la autenticación por clave en cPanel

Una vez importada la clave pública, debes autorizarla para que se use en las conexiones SSH.

En la misma pantalla de Administrar claves SSH, verás tu clave importada en la lista.
Haz clic en Administrar (o "Manage") al lado de tu clave.
Busca la opción Autorizar (o "Authorize") y actívala.

[WARNING] No autorices una clave que no reconozcas. Si no estás seguro de qué es, elimínala. Una clave autorizada permite acceso completo a tu servidor.

Paso 4: Desactivar el acceso por contraseña (el paso más importante)

Aquí es donde realmente aseguras tu servidor. Si dejas la contraseña activa, los atacantes seguirán intentando entrar por ahí. Vamos a desactivarla.

Opción A: Desde cPanel (si tu proveedor lo permite)

Algunos cPanel tienen un botón directo en Acceso SSH que dice Desactivar acceso por contraseña. Si lo ves, actívalo.

Opción B: Editando el archivo de configuración de SSH (avanzado)

Si no tienes esa opción, deberás editar el archivo sshd_config. Esto requiere acceso root o a través de WHM.

Conéctate por SSH usando tu clave (debería funcionar si ya la autorizaste).
Ejecuta:

sudo nano /etc/ssh/sshd_config

Busca la línea que dice PasswordAuthentication yes y cámbiala a PasswordAuthentication no.
Guarda con Ctrl+X, luego Y y Enter.
Reinicia el servicio SSH:

sudo systemctl restart sshd

[WARNING] Antes de desactivar las contraseñas, asegúrate de que tu clave funciona perfectamente. Si te desconectas y tu clave falla, podrías quedarte fuera de tu propio servidor. Siempre ten una segunda sesión abierta mientras haces cambios.

Paso 5: Probar la conexión con tu clave

Ahora viene la prueba de fuego. Desde tu computadora local, intenta conectarte:

ssh usuario@tu-servidor.com

Si configuraste todo bien, entrarás directamente sin pedir contraseña (solo te pedirá la frase de contraseña si la pusiste al generar la clave).

Si te funciona, ¡felicidades! Ya tienes un acceso seguro por SSH.

Buenas prácticas adicionales para la seguridad de tu servidor

Una vez que tienes las claves funcionando, es hora de dar pasos extra para blindar tu servidor con cPanel.

1. Cambia el puerto SSH (opcional pero recomendado)

Los ataques automáticos suelen apuntar al puerto 22 (el estándar). Cambiarlo a otro número reduce el ruido.

Edita de nuevo sshd_config.
Busca #Port 22 y cámbialo a algo como Port 2222 (elige un número alto, entre 1024 y 65535).
Guarda y reinicia SSH.
A partir de ahora, conéctate con: ssh -p 2222 usuario@servidor.com

[INFO] Si usas un firewall (como CSF o UFW), no olvides abrir el nuevo puerto en las reglas.

2. Usa fail2ban para bloquear intentos fallidos

Fail2ban es una herramienta que monitorea los logs y bloquea automáticamente las IPs que intentan entrar muchas veces sin éxito.

En la mayoría de los servidores con cPanel, puedes instalarlo desde WHM o con:

sudo apt install fail2ban

Configúralo para SSH y para cPanel. Esto añade una capa extra de inteligencia contra bots.

3. Mantén actualizado el sistema

Las vulnerabilidades se descubren cada día. Configura actualizaciones automáticas de seguridad en cPanel o desde la línea de comandos.

Preguntas frecuentes (FAQ)

¿Puedo usar las mismas claves SSH para varios servidores?

Sí, puedes usar la misma clave pública en varios servidores. Solo tienes que importarla en cada cPanel. Sin embargo, si sospechas que tu clave privada fue comprometida, debes generar un nuevo par y actualizarlo en todos los servidores.

¿Qué pasa si olvido la frase de contraseña de mi clave privada?

Si olvidas la frase, no podrás usar esa clave privada. Deberás generar un nuevo par de claves y volver a importar la pública en cPanel. Es un proceso rápido, pero molesto. Por eso, guarda la frase en un gestor de contraseñas.

¿Puedo tener varias claves públicas autorizadas?

Sí, puedes autorizar tantas claves como quieras. Esto es útil si varios administradores necesitan acceso. Cada uno tendrá su propia clave privada y podrás revocar una sin afectar a las demás.

¿Es seguro desactivar la contraseña para SSH?

Si tienes tu clave funcionando, sí. Es la medida más segura que puedes tomar. Solo asegúrate de tener una copia de seguridad de tu clave privada en un lugar seguro (por ejemplo, en un pendrive encriptado).

¿Qué hago si mi proveedor no permite el acceso SSH?

Algunos planes de hosting compartido no incluyen SSH. En ese caso, deberías considerar migrar a un VPS o servidor dedicado si necesitas administración avanzada. El acceso por SSH es indispensable para la seguridad real.

¿Syspanel tiene algo que ver con esto?

Si en algún momento migras o usas un panel alternativo como Syspanel (anteriormente conocido como HestiaCP), el acceso SSH se configura de forma similar, pero el panel de administración se accede por el puerto 2106. Las claves públicas funcionan exactamente igual: se generan en tu computadora y se importan desde el panel. La ventaja es que Syspanel suele tener una interfaz más sencilla para gestionar claves.

Conclusión: La seguridad es un hábito, no un acto único

Proteger tu servidor con SSH y claves públicas en cPanel es el primer gran paso hacia una administración responsable. No se trata solo de instalar una herramienta, sino de adoptar una mentalidad de seguridad: usar claves en lugar de contraseñas, cambiar puertos, monitorear intentos de acceso y mantener todo actualizado.

Recuerda: un servidor seguro es aquel que hace que al atacante le resulte más fácil ir a buscar otro objetivo. Con las claves públicas, el acceso por contraseña desactivado y un buen sistema de bloqueo de IPs, tu servidor será una fortaleza digital.

Si tienes dudas durante el proceso, no dudes en consultar la documentación de tu proveedor o abrir un ticket de soporte. La seguridad no espera, y cada día que dejas las contraseñas activas es un riesgo innecesario.

Empieza hoy mismo: genera tus claves, súbelas a cPanel y desactiva las contraseñas. Tu yo del futuro (y tus visitantes) te lo agradecerán.