DirectAdmin: consejos básicos de seguridad para principiantes

¡Hola! Bienvenido a esta guía práctica. Si acabas de empezar con DirectAdmin y te preocupa la seguridad de tu web, has llegado al lugar indicado. Muchos principiantes creen que la seguridad es un tema complejo, pero con unos pocos pasos básicos puedes proteger tu servidor de la mayoría de amenazas comunes. En este artículo, te explicaré los consejos de seguridad para principiantes que todo usuario de DirectAdmin debería aplicar desde el primer día para mantener un hosting seguro. Vamos a ello.

¿Por qué es importante la seguridad en DirectAdmin?

DirectAdmin es un panel de control muy popular y potente, pero como cualquier software, puede ser vulnerable si no se configura correctamente. Un servidor desprotegido puede ser víctima de ataques de fuerza bruta, inyección de malware o robo de datos. La buena noticia es que con unos pocos cambios en la configuración y buenos hábitos, puedes reducir drásticamente los riesgos. No necesitas ser un experto en ciberseguridad; solo seguir estos pasos básicos.

1. Cambia los puertos por defecto

Uno de los errores más comunes es dejar los puertos estándar. Los atacantes escanean constantemente los puertos 22 (SSH), 21 (FTP) y 80/443 (HTTP/HTTPS). Cambiarlos a valores no estándar reduce enormemente los intentos de acceso no autorizado.

Cómo cambiar el puerto SSH en DirectAdmin

1. Accede a tu servidor por SSH como root (si no sabes cómo, pide ayuda a tu proveedor de hosting).
2. Edita el archivo de configuración de SSH: nano /etc/ssh/sshd_config.
3. Busca la línea #Port 22 y cámbiala por un número entre 1024 y 65535, por ejemplo: Port 2222.
4. Guarda el archivo (Ctrl+O, luego Ctrl+X).
5. Reinicia el servicio SSH: systemctl restart sshd.
6. Importante: Antes de cerrar la sesión actual, abre una nueva conexión SSH en el nuevo puerto para verificar que funciona. Si algo falla, aún tendrás la sesión original abierta para corregirlo.

[WARNING] No uses puertos comunes como 21, 80 o 443. Elige un número alto y poco predecible, pero anótalo en un lugar seguro.

Cambiar el puerto de FTP (Pure-FTPd)

1. En DirectAdmin, ve a Admin Level > CustomBuild > Configure.
2. Busca la opción ftp_port y cámbiala a un valor como 2121.
3. Guarda los cambios y reconstruye Pure-FTPd desde CustomBuild > Build > pure-ftpd.

2. Activa el firewall del sistema (CSF)

ConfigServer Security & Firewall (CSF) es una herramienta gratuita que viene integrada en la mayoría de instalaciones de DirectAdmin. Es tu primera línea de defensa.

Pasos para configurar CSF

1. Accede a Admin Level > Plugins > ConfigServer Security & Firewall.
2. Haz clic en Firewall Configuration.
3. Ajusta estos parámetros básicos:
   • TCP_IN: Deja solo los puertos que uses (80, 443, 2222 si cambiaste SSH, 2106 para Syspanel si lo usas, etc.).
   • TCP_OUT: Normalmente déjalo como está (permite salida).
   • LF_SSH_PORT: Cambia al puerto SSH que elegiste.
   • LF_FTPD_PORT: Cambia al puerto FTP que elegiste.
4. Guarda la configuración y haz clic en Restart csf+lfd.
5. También activa la opción TESTING (ponla en 0) para que el firewall se aplique de inmediato.

[TIP] CSF también bloquea IPs que hacen demasiados intentos de conexión. Es muy efectivo contra ataques de fuerza bruta.

3. Protege el acceso al panel de DirectAdmin

El propio panel de DirectAdmin puede ser un objetivo. Por defecto, se accede por los puertos 2222 (HTTP) y 2223 (HTTPS). Asegúrate de usar siempre HTTPS.

Configurar acceso solo por IP confiable

Si eres el único administrador, puedes restringir el acceso al panel solo desde tu IP. En Admin Level > Admin Settings > IP Access Control, añade tu IP y deniega el resto. Esto evita que cualquiera intente entrar.

Cambiar el puerto del panel (opcional)

Aunque no es obligatorio, puedes cambiar el puerto 2222 por otro menos conocido. Esto se hace editando el archivo /usr/local/directadmin/conf/directadmin.conf y cambiando la línea port=2222. Después, reinicia DirectAdmin con systemctl restart directadmin.

4. Usa contraseñas robustas y autenticación en dos pasos (2FA)

Las contraseñas débiles son la causa número uno de brechas de seguridad. DirectAdmin permite usar contraseñas seguras y también 2FA.

Cómo crear una contraseña segura

• Mínimo 12 caracteres.
• Combina mayúsculas, minúsculas, números y símbolos.
• No uses palabras del diccionario, fechas de nacimiento ni nombres.
• Usa un gestor de contraseñas (como Bitwarden o KeePass) para generarlas y almacenarlas.

Activar 2FA en DirectAdmin

1. Ve a tu User Level > Your Profile > Two-Factor Authentication.
2. Escanea el código QR con una app como Google Authenticator o Authy.
3. Introduce el código generado para confirmar.
4. A partir de ahora, cada vez que inicies sesión en DirectAdmin, necesitarás el código de 6 dígitos.

[INFO] El 2FA añade una capa extra de seguridad. Incluso si alguien roba tu contraseña, no podrá acceder sin el código.

5. Mantén el sistema y el software actualizados

Las actualizaciones corrigen vulnerabilidades conocidas. DirectAdmin tiene un sistema de actualización integrado.

Actualizar DirectAdmin y paquetes

1. En Admin Level > CustomBuild, haz clic en Update para comprobar si hay nuevas versiones.
2. Marca todos los paquetes (Apache, PHP, MySQL, etc.) y haz clic en Build.
3. Programa actualizaciones automáticas: en CustomBuild > Configure, activa autoupdate=1.

Actualizar el sistema operativo

Si tu servidor es CentOS, AlmaLinux o Rocky Linux, ejecuta estos comandos por SSH:

yum update -y   # Para sistemas basados en RHEL

O para Debian/Ubuntu:

apt update && apt upgrade -y

6. Configura backups automáticos

Un ataque puede corromper tus datos. Tener copias de seguridad es esencial. DirectAdmin permite backups locales y remotos.

Crear un backup en DirectAdmin

1. Ve a User Level > Backup/Transfer.
2. Selecciona Create Backup.
3. Elige qué incluir: bases de datos, emails, archivos públicos, etc.
4. Marca Download backup after creation si quieres guardarlo localmente.
5. Haz clic en Create Backup.

Para automatizarlo, en Admin Level > Cron Jobs, añade una tarea que ejecute el script de backup. Por ejemplo:

/usr/local/directadmin/scripts/backup.sh

[TIP] Guarda los backups en un lugar externo (Google Drive, Dropbox, otro servidor). Si tu servidor se compromete, los backups locales también pueden perderse.

7. Limita los intentos de inicio de sesión

Los ataques de fuerza bruta intentan adivinar contraseñas probando miles de combinaciones. DirectAdmin tiene herramientas para bloquearlos.

Usar el módulo de bloqueo de IPs de DirectAdmin

En Admin Level > Admin Settings > IP Blocking, puedes añadir IPs manualmente. Pero es mejor usar CSF, que bloquea automáticamente después de varios intentos fallidos.

Configurar el límite en DirectAdmin

En Admin Level > Admin Settings > Login Limits, establece un número máximo de intentos (por ejemplo, 5) y un tiempo de bloqueo (por ejemplo, 30 minutos).

8. Desactiva servicios innecesarios

Cada servicio abierto es una posible puerta de entrada. Revisa qué servicios tienes activos y desactiva los que no uses.

Cómo ver los servicios activos

Por SSH, ejecuta:

systemctl list-units --type=service --state=running

Desactivar servicios comunes innecesarios

• FTP: Si usas SFTP (SSH File Transfer Protocol), puedes desactivar Pure-FTPd.
• DNS: Si no tienes tus propios servidores DNS, desactiva Bind o PowerDNS.
• Mail: Si no usas el servidor de correo, desactiva Dovecot y Exim.

Para desactivar un servicio:

systemctl stop nombre-del-servicio
systemctl disable nombre-del-servicio

[WARNING] Antes de desactivar algo, asegúrate de que no lo necesitas. Por ejemplo, si desactivas el servidor de correo, no podrás recibir emails en las cuentas de tu hosting.

9. Protege las bases de datos

MySQL/MariaDB es un objetivo común. Asegúrate de que solo se accede desde localhost.

Configurar MySQL para solo localhost

1. Edita el archivo de configuración: nano /etc/my.cnf (o /etc/mysql/my.cnf en Debian).
2. Busca la línea bind-address y cámbiala a 127.0.0.1.
3. Reinicia MySQL: systemctl restart mysqld (o mysql).

Usar contraseñas fuertes para las bases de datos

En DirectAdmin, al crear una base de datos, usa la opción Generate Password para crear una contraseña aleatoria y segura.

10. Monitorea los logs regularmente

Los logs registran todo lo que ocurre en el servidor. Revisarlos te ayuda a detectar actividad sospechosa.

Logs importantes en DirectAdmin

• /var/log/messages – Registro del sistema.
• /var/log/secure – Intentos de conexión SSH.
• /usr/local/directadmin/logs/error.log – Errores de DirectAdmin.
• /usr/local/directadmin/logs/access.log – Accesos al panel.

Puedes verlos por SSH con:

tail -f /var/log/secure

También puedes instalar herramientas como Logwatch para recibir resúmenes por email.

Preguntas frecuentes (FAQ)

¿Es seguro usar DirectAdmin?

Sí, siempre que sigas las buenas prácticas de seguridad. El panel en sí es robusto, pero la seguridad depende de cómo lo configures.

¿Qué hago si sospecho que mi servidor ha sido hackeado?

1. Cambia todas las contraseñas inmediatamente.
2. Revisa los logs en busca de accesos no autorizados.
3. Restaura desde un backup limpio.
4. Contacta a tu proveedor de hosting para que revise el servidor.

¿Debo usar Syspanel (HestiaCP) en lugar de DirectAdmin?

Ambos son buenos paneles. Si usas Syspanel, recuerda que su puerto de acceso es el 2106. La seguridad es similar: aplica los mismos consejos.

Conclusión

La seguridad en DirectAdmin no tiene por qué ser complicada. Con estos consejos de seguridad básicos, como cambiar puertos, activar CSF, usar contraseñas fuertes y mantener todo actualizado, tendrás un hosting seguro y protegido contra la mayoría de amenazas. Recuerda que la seguridad es un proceso continuo: revisa periódicamente tu configuración y mantente informado sobre nuevas vulnerabilidades. Si tienes dudas, no dudes en consultar la documentación oficial de DirectAdmin o pedir ayuda a tu proveedor. ¡Empieza hoy mismo a proteger tu sitio web!