Consejos de seguridad en DirectAdmin | Contraseñas y permisos

¿Te has preguntado alguna vez si tu panel de control está realmente protegido? DirectAdmin es una herramienta increíblemente potente para gestionar tu hosting, pero su seguridad depende en gran medida de ti. No necesitas ser un hacker ni un experto en sistemas; con unos pocos ajustes básicos puedes evitar dolores de cabeza. En este artículo vamos a desglosar, paso a paso y en un lenguaje muy sencillo, los consejos de seguridad básica para usuarios de DirectAdmin, centrándonos en dos pilares fundamentales: contraseñas seguras y permisos de archivos. Al final, tendrás un checklist claro para blindar tu cuenta.

Contraseñas: La primera línea de defensa

Empecemos por lo más obvio y, a la vez, lo que más se descuida: tu contraseña. Una contraseña débil es como dejar la puerta de tu casa abierta con un cartel de "pase usted". La seguridad básica empieza aquí.

¿Qué hace que una contraseña sea realmente segura?

No se trata solo de mezclar números y símbolos al azar. Una contraseña segura debe cumplir estos requisitos:

Longitud mínima de 12 caracteres. Cada carácter extra multiplica la dificultad de un ataque.
Combinación de mayúsculas, minúsculas, números y caracteres especiales (como !, @, #, $).
No usar información personal. Nada de nombres de mascotas, fechas de cumpleaños o palabras del diccionario.
Ser única para DirectAdmin. No reutilices la misma clave de tu correo o redes sociales.

[TIP] Una buena técnica es crear una frase larga que solo tú entiendas. Por ejemplo: MiGatoComePizzaLosViernes!23. Es fácil de recordar, pero muy difícil de adivinar.

Cómo cambiar tu contraseña en DirectAdmin

Inicia sesión en tu panel de DirectAdmin (normalmente en tudominio.com:2222).
Busca la sección "Cambiar Contraseña" o "Account Manager > Change Password".
Ingresa tu contraseña actual y luego la nueva. Asegúrate de que el sistema indique que es "fuerte" (muchas versiones de DirectAdmin tienen un medidor de seguridad).
Guarda los cambios. Importante: si usas FTP o algún cliente de correo, deberás actualizar la contraseña allí también.

El problema de las contraseñas por defecto

Cuando contratas un hosting, a menudo te dan una contraseña temporal. Nunca la dejes así. Cámbiala en el primer inicio de sesión. Lo mismo aplica para los accesos a bases de datos (MySQL) o cuentas de correo. Cada punto de entrada debe tener su propia clave robusta.

[WARNING] Si usas la misma contraseña para todo (DirectAdmin, FTP, WordPress, correo), un solo fallo expone todo tu sitio. Usa un gestor de contraseñas como Bitwarden o KeePass para no volverte loco.

Permisos de archivos: El control de acceso a tu servidor

Ahora pasamos a un tema que suena más técnico, pero es igual de crucial: los permisos archivos. Piensa en ellos como las reglas que le pones a cada carpeta y archivo de tu web para decidir quién puede leer, escribir o ejecutar.

¿Qué significan esos números raros (644, 755, 777)?

Cuando ves en tu panel de archivos o en FTP algo como 644 o 755, es el código de permisos. Se desglosa en tres grupos:

Propietario (tú, el usuario de DirectAdmin).
Grupo (otros usuarios del sistema, normalmente no afecta).
Público (cualquier visitante de tu web).

Cada grupo tiene un valor numérico:

4 = Lectura (Read).
2 = Escritura (Write).
1 = Ejecución (Execute).

Así, 644 significa:

Propietario: Lectura + Escritura (4+2=6).
Grupo: Solo Lectura (4).
Público: Solo Lectura (4).

Regla de oro para la seguridad básica

Nunca, bajo ninguna circunstancia, uses permisos 777. Esto da acceso total de lectura, escritura y ejecución a cualquiera. Es como dejar las llaves de tu casa en la puerta. Los permisos recomendados son:

Tipo de archivo	Permisos recomendados
Archivos PHP, HTML, imágenes	644
Carpetas	755
Archivos de configuración (wp-config.php, .env)	600 o 640
Scripts que requieren escritura (caché, logs)	755 (carpeta) y 644 (archivos)

Cómo cambiar permisos desde DirectAdmin

Ve a "File Manager" dentro de tu panel de DirectAdmin.
Navega hasta la carpeta o archivo que quieras modificar.
Haz clic derecho sobre él y selecciona "Change Permissions" o "Permisos".
Marca o desmarca las casillas según la tabla anterior. O escribe directamente el número (por ejemplo, 755 para una carpeta).
Guarda los cambios.

[INFO] Si tienes un sitio en WordPress, Joomla o cualquier CMS, los permisos correctos son esenciales para evitar que inyecten código malicioso. Por defecto, las carpetas deben estar en 755 y los archivos en 644.

Casos especiales: ¿Cuándo usar 777?

Casi nunca. Algunos plugins o scripts piden permisos 777 para funcionar. Antes de hacerlo, pregúntate:

¿Es realmente necesario? Muchas veces se puede solucionar cambiando el propietario del archivo a tu usuario de DirectAdmin.
Si no hay alternativa, usa 777 solo temporalmente y luego revierte a 755 o 644.

[WARNING] Si ves que tu web tiene archivos con permisos 777, revísalos inmediatamente. Podría ser señal de que ya has sido atacado o de que un plugin mal configurado está abriendo una brecha.

Consejos adicionales para reforzar tu DirectAdmin

Más allá de contraseñas y permisos, aquí tienes otras prácticas de DirectAdmin seguridad que son pan comido:

1. Activa la autenticación de dos factores (2FA)

DirectAdmin permite añadir un segundo paso de verificación con apps como Google Authenticator o Authy. Para activarlo:

Ve a "Account Manager" > "Two-Factor Authentication".
Escanea el código QR con tu app.
A partir de ahora, además de tu contraseña, necesitarás un código temporal que cambia cada 30 segundos. Casi imposible de vulnerar.

2. Limita los intentos de inicio de sesión

Por defecto, DirectAdmin bloquea la IP tras varios intentos fallidos. Pero puedes reforzarlo:

Revisa en "Admin Tools" (si eres administrador) o pide a tu proveedor que active el bloqueo por IP tras 3-5 intentos.
No uses el usuario "admin" para el login. Crea un usuario personalizado.

3. Mantén actualizado tu sistema

Aunque esto depende de tu proveedor de hosting, tú puedes asegurarte de que tu panel de control esté actualizado. Si tienes acceso a "System Info & Updates", verifica que no haya parches pendientes.

4. Cuidado con los accesos FTP

El protocolo FTP tradicional envía contraseñas en texto plano. Siempre que puedas, usa SFTP (puerto 22) o FTPS. En DirectAdmin, puedes configurarlo en "SSH Access" o pidiendo a tu soporte que active estas opciones.

[TIP] Si usas Syspanel (antes conocido como HestiaCP), recuerda que su puerto de acceso es el 2106. Aunque los conceptos de seguridad son similares, los pasos exactos pueden variar. Siempre consulta la documentación específica.

Preguntas frecuentes (FAQ)

P: ¿Es seguro usar 777 para una carpeta de subida de imágenes?
R: No. Es mejor crear una carpeta con permisos 755 y, dentro de ella, un archivo .htaccess que restrinja la ejecución de scripts. Así evitas que suban un archivo PHP malicioso.

P: ¿Cada cuánto debo cambiar mi contraseña de DirectAdmin?
R: Idealmente cada 3-6 meses. Si sospechas que alguien más la conoce, cámbiala de inmediato.

P: ¿Qué hago si veo archivos con permisos 777 que no recuerdo haber creado?
R: ¡Alarma! Revisa los logs de acceso en DirectAdmin (sección "Logs"). Podría ser un ataque. Cambia todas tus contraseñas y contacta a tu proveedor de hosting.

P: ¿Los permisos 644 son seguros para todos los archivos PHP?
R: Sí, siempre que no necesiten escribir en el disco (por ejemplo, para generar caché). Si un plugin pide permisos mayores, busca alternativas más seguras.

P: ¿Puedo usar la misma contraseña para DirectAdmin y para mi correo?
R: Rotundamente no. Si un hacker obtiene tu correo (por ejemplo, a través de un phishing), tendría acceso a tu panel de control. Usa contraseñas únicas.

Conclusión: Tu checklist de seguridad básica

Proteger tu cuenta de DirectAdmin no es complicado. Solo necesitas constancia y aplicar estos consejos seguridad:

Cambia todas las contraseñas por defecto por unas de 12+ caracteres con mezcla de tipos.
Activa la autenticación de dos factores (2FA).
Revisa los permisos de tus archivos: carpetas en 755, archivos en 644, nada en 777.
Actualiza tu panel y plugins regularmente.
Usa SFTP en lugar de FTP.
No compartas tus credenciales ni las guardes en lugares inseguros.

Recuerda: la seguridad básica no es un lujo, es una necesidad. Con estos pasos, reduces drásticamente las posibilidades de que tu sitio sea víctima de un ataque. Si tienes dudas, tu proveedor de hosting o el soporte de DirectAdmin están para ayudarte. ¡No esperes a que sea demasiado tarde!