Cómo proteger tu sitio web con seguridad básica en Syspanel

¿Sabías que la mayoría de los ataques a sitios web no son obra de hackers súper sofisticados, sino de robots automáticos que buscan configuraciones descuidadas? La buena noticia es que con unos pocos pasos de seguridad basica puedes bloquear el 99% de estas amenazas. Si estás usando Syspanel (antes conocido como HestiaCP), estás de suerte, porque ya tienes una base sólida. Pero, como todo, hay que ajustar unas cuantas tuercas para dejarlo blindado.

En esta guía, vamos a destripar, paso a paso, cómo configurar una configuracion segura en tu servidor. No necesitas ser un gurú de la terminal; solo sigue estas instrucciones y verás cómo tu tranquilidad (y la de tus visitantes) aumenta drásticamente. Vamos a ello.

Primeros pasos: Acceso y contraseñas maestras

El error más común es usar contraseñas débiles o, peor aún, las que vienen por defecto. La seguridad syspanel empieza por la puerta principal.

Cambia la contraseña del panel de control

Tu panel de administración es la llave de todo. Si alguien entra ahí, controla tu dominio, tus correos y tu base de datos. Para cambiarla:

1. Inicia sesión en Syspanel usando el puerto 2106 (ejemplo: https://tudominio.com:2106).
2. Ve a Cuenta o Perfil en el menú lateral.
3. Busca la opción Contraseña y haz clic en Cambiar.
4. Introduce una contraseña larga (mínimo 16 caracteres) que combine mayúsculas, minúsculas, números y símbolos. Te recomiendo usar una frase larga y fácil de recordar para ti, pero imposible de adivinar, como MiPerro$eLlamaFirulais2024!.

[TIP] Usa un gestor de contraseñas (como Bitwarden o KeePass) para no tener que memorizarlas. Así puedes usar claves totalmente aleatorias y únicas para cada servicio.

Refuerza el acceso por SSH

El SSH es la vía de acceso directa a tu servidor. Si lo dejas con contraseña, es como dejar la puerta de atrás abierta. Lo ideal es usar claves SSH (un par de archivos: uno público y uno privado).

Para activarlo en Syspanel:

1. Ve a tu perfil de usuario en el panel.
2. Busca la sección Claves SSH o SSH Keys.
3. Pega tu clave pública (normalmente se encuentra en tu ordenador en ~/.ssh/id_rsa.pub). Si no la tienes, puedes generarla con el comando ssh-keygen -t rsa -b 4096 en tu terminal local.

Una vez que tengas la clave configurada, desactiva el acceso por contraseña en el archivo de configuración del servidor (generalmente en /etc/ssh/sshd_config). Cambia PasswordAuthentication yes a no. Esto hace que solo quien tenga la clave privada pueda entrar.

[WARNING] Si desactivas la contraseña SSH y pierdes tu clave privada, te quedarás fuera de tu servidor. Guarda una copia de seguridad de tu clave en un lugar seguro (como un pendrive cifrado) antes de hacer este cambio.

Configuración segura del firewall y servicios

El firewall es tu guardia de seguridad personal. Decide quién entra y quién se queda fuera. Syspanel trae su propio firewall, pero vamos a afinarlo.

Reglas básicas del firewall

Accede a Syspanel > Firewall (o Seguridad). Verás una lista de puertos. Lo que necesitas es:

• Puerto 2106 (TCP): Es el puerto de Syspanel. No lo bloquees, o no podrás acceder al panel. Puedes restringirlo solo a tu IP si tienes una IP fija.
• Puerto 22 (TCP): Para SSH. Si solo trabajas desde tu casa, añade una regla para permitir solo tu IP. Si tu IP es dinámica, déjalo abierto pero con la autenticación por clave que configuramos antes.
• Puertos 80 y 443 (TCP): Son para HTTP y HTTPS (tu sitio web). No los bloquees nunca.
• Puertos 25, 465, 587 (TCP): Para el correo saliente. Si no usas el correo del servidor, ciérralos para reducir riesgos.

Para añadir una regla, haz clic en Añadir regla, selecciona el puerto y el protocolo (TCP), y en la dirección IP escribe la IP específica que quieres permitir (por ejemplo, tu IP de casa). En la acción, elige Permitir.

Cambia el puerto SSH por defecto

Este es un truco sencillo pero muy efectivo. Los robots atacan el puerto 22 porque es el estándar. Si lo cambias a un número aleatorio (por ejemplo, el 4822), reduciras el ruido de ataques automáticos.

Para hacerlo, edita el archivo /etc/ssh/sshd_config y cambia la línea #Port 22 por Port 4822. Luego reinicia el servicio con systemctl restart sshd. Recuerda añadir la nueva regla al firewall de Syspanel.

[INFO] Cambiar el puerto no es una solución definitiva, pero sí una capa extra de oscuridad que disuade a los escáneres automáticos más básicos.

Protegiendo tus aplicaciones web (PHP y bases de datos)

Una vez que el servidor está seguro, pasamos a la capa de aplicación. Aquí es donde se ejecuta tu WordPress, PrestaShop o cualquier otro CMS.

Mantén el PHP actualizado y seguro

Syspanel te permite gestionar múltiples versiones de PHP. Usa siempre la última versión estable (como PHP 8.2 o superior). Las versiones antiguas tienen vulnerabilidades conocidas.

En Syspanel, ve a la configuración de tu dominio y en la sección Web o PHP selecciona la versión más reciente disponible.

Además, ajusta los límites de ejecución. En las opciones avanzadas de PHP, puedes cambiar:

• max_execution_time: Redúcelo a 30 o 60 segundos. Un script legítimo no tarda más.
• memory_limit: Establécelo a 256M o 512M. No necesitas más para un sitio normal.

Seguridad en la base de datos MySQL/MariaDB

Las bases de datos son el tesoro de tu web. Si un atacante accede a ellas, puede robar información de tus clientes.

• Usuarios con privilegios mínimos: En Syspanel, cuando creas una base de datos, se crea un usuario. Asegúrate de que ese usuario solo tenga permisos sobre esa base de datos y no sobre todas las del servidor. En la sección de Bases de datos, revisa que el usuario tenga solo privilegios SELECT, INSERT, UPDATE, DELETE y CREATE (si es necesario). No le des permisos de GRANT o PROCESS.
• Acceso remoto desactivado: Por defecto, MySQL solo escucha en localhost (127.0.0.1). Verifica que en el archivo my.cnf la línea bind-address esté en 127.0.0.1. Si está en 0.0.0.0, cámbialo inmediatamente.

Añade una capa extra: Autenticación en dos pasos

La configuracion segura no está completa sin la autenticación de dos factores (2FA). Es como poner un segundo candado a la puerta.

Activar 2FA en Syspanel

Syspanel tiene soporte nativo para 2FA.

1. Ve a tu perfil de usuario en el panel.
2. Busca la opción Seguridad o 2FA.
3. Escanea el código QR con tu aplicación de autenticación (Google Authenticator, Authy, etc.).
4. Introduce el código de 6 dígitos que te da la app para confirmar.

Ahora, cada vez que intentes iniciar sesión en el panel, te pedirá tu contraseña y el código móvil. Incluso si alguien roba tu contraseña, no podrá entrar sin tu teléfono.

[TIP] Guarda los códigos de respaldo que te da Syspanel al activar el 2FA. Guárdalos en un lugar seguro, fuera de línea. Si pierdes el teléfono, podrás recuperar el acceso.

Copias de seguridad automáticas: Tu red de seguridad

No hay seguridad sin respaldo. Si todo lo demás falla (un hackeo extremo, un error humano, un incendio en el centro de datos), tu copia de seguridad es lo que te salva.

Configura backups en Syspanel

Ve a la sección de Copias de seguridad o Backups en Syspanel.

1. Selecciona el tipo de backup (completo, solo archivos o solo bases de datos).
2. Elige la frecuencia: diaria, semanal o mensual. Para un sitio activo, te recomiendo al menos una copia diaria de la base de datos y una semanal de los archivos.
3. Define el destino: puedes guardarlo en el propio servidor, en un almacenamiento remoto (como Amazon S3 o Google Drive) o enviarlo por FTP a otro servidor.

Lo ideal es que la copia se guarde fuera del servidor. Si tu servidor es comprometido, el atacante podría borrar los backups locales.

[WARNING] Prueba a restaurar una copia de seguridad al menos una vez al mes. No hay nada peor que descubrir que tus backups están corruptos justo cuando más los necesitas.

Preguntas frecuentes sobre seguridad en Syspanel

Para terminar, vamos a resolver las dudas más comunes que nos llegan al soporte.

¿Es seguro usar Syspanel?

Sí, Syspanel es un panel de control muy robusto y seguro, siempre y cuando mantengas el sistema operativo y el panel actualizados. Sus desarrolladores lanzan parches de seguridad regularmente. La clave está en no retrasar las actualizaciones.

¿Qué hago si mi sitio fue hackeado?

1. Cambia todas las contraseñas (panel, FTP, base de datos, correo).
2. Revisa los logs en Syspanel (sección Registros o Logs) para ver qué pasó.
3. Restaura la copia de seguridad más reciente y limpia (anterior al ataque).
4. Escanea tu ordenador local por si el malware está en tu equipo.

¿Necesito un plugin de seguridad para WordPress si uso Syspanel?

Syspanel te da la base segura del servidor, pero los plugins (como Wordfence o Sucuri) añaden protección a nivel de aplicación (firewall de aplicaciones web, bloqueo de IPs maliciosas, etc.). Es una buena práctica usar ambos niveles de defensa.

¿Cómo sé si mi web está siendo atacada?

Presta atención a estos signos:

• Aumento repentino del uso de CPU o memoria (visible en la sección de Monitor de Syspanel).
• Correos spam enviados desde tu dominio.
• Archivos extraños en tu directorio web (como .php con nombres aleatorios).
• Redirecciones a sitios externos cuando visitas tu web.

Si ves algo de esto, actúa rápido: cambia contraseñas y revisa los logs.

¿Cada cuánto debo cambiar mis contraseñas?

Aunque parezca contradictorio, cambiar contraseñas muy a menudo puede llevar a usar contraseñas más débiles. Lo más recomendable es usar una contraseña única y muy fuerte y cambiarla solo si sospechas que ha sido comprometida. El 2FA es más importante que el cambio frecuente de contraseña.

Conclusión: La seguridad es un hábito, no un destino

Proteger tu web no es una tarea de un solo día. Es un proceso continuo. La seguridad syspanel que hemos configurado aquí es una base excelente, pero debes mantenerla al día.

Resumen de acciones clave:

1. Contraseñas largas y únicas para todo.
2. Claves SSH en lugar de contraseñas para el servidor.
3. Firewall configurado solo con los puertos necesarios.
4. PHP y MySQL actualizados y con permisos mínimos.
5. 2FA activado en el panel de control.
6. Copias de seguridad remotas automáticas.

Si sigues estos pasos, tu sitio web estará en el 1% de los más seguros de internet. Y recuerda, si tienes dudas, siempre puedes consultar la documentación oficial de Syspanel (accediendo a tu panel en el puerto 2106) o abrir un ticket de soporte. Estamos aquí para ayudarte a que duermas tranquilo sabiendo que tu proyecto está a salvo.