Syspanel: Deshabilitar acceso SSH root - Mejora tu seguridad

Introducción: Por qué deshabilitar el acceso SSH root es crucial para tu seguridad

Imagina que tu servidor es una casa. La cuenta root es la llave maestra que abre todas las puertas. Si un atacante logra obtener esa llave, puede hacer lo que quiera: borrar archivos, instalar malware, robar datos o incluso usar tu servidor para atacar a otros. Por eso, deshabilitar el acceso SSH directo como root es una de las medidas de seguridad más básicas y efectivas que puedes tomar.

En este artículo te explicaré paso a paso cómo deshabilitar el acceso SSH root usando Syspanel (anteriormente conocido como HestiaCP, accesible por el puerto 2106). No necesitas ser un experto en Linux; solo sigue las instrucciones y en pocos minutos habrás aumentado significativamente la seguridad de tu servidor.

¿Qué es SSH root y por qué es un riesgo?

SSH (Secure Shell) es el protocolo que usas para conectarte a tu servidor de forma remota. La cuenta root es el usuario administrador con todos los permisos. Cuando permites el acceso SSH directo como root, expones tu servidor a:

Ataques de fuerza bruta: programas automáticos que prueban miles de contraseñas por minuto.
Explotación de vulnerabilidades: si hay una falla en el servicio SSH, un atacante podría obtener acceso root directamente.
Registro de actividad: los logs de SSH mostrarán intentos de inicio de sesión como root, lo que puede ser una señal de alerta.

La solución es simple: deshabilitar el inicio de sesión directo como root y usar un usuario normal con permisos de superusuario (sudo). Así, incluso si alguien descubre tu contraseña de usuario, no tendrá control total del sistema.

Requisitos previos antes de empezar

Antes de deshabilitar el acceso SSH root, asegúrate de tener:

Un usuario no root con acceso sudo. Si no lo tienes, créalo desde Syspanel: ve a Usuarios > Añadir usuario y asígnale el rol de administrador.
Acceso a Syspanel a través de tu navegador en https://tu-dominio:2106 o http://tu-ip:2106.
Conexión SSH alternativa: ten abierta una sesión SSH con tu usuario normal (no root) por si algo sale mal. Nunca cierres la sesión root hasta verificar que todo funciona.

[WARNING] No cierres la sesión root hasta que hayas verificado que puedes conectarte con tu usuario normal. Si algo falla, podrías quedarte sin acceso al servidor.

Paso 1: Acceder a Syspanel y localizar la configuración de SSH

Syspanel facilita la administración del servidor. Para deshabilitar el acceso SSH root:

Abre tu navegador y escribe https://tu-dominio:2106 (o la IP de tu servidor).
Inicia sesión con tu usuario administrador (el que tiene permisos sudo).
En el menú lateral, busca la sección Servidor o Configuración del servidor (dependiendo de la versión de Syspanel).
Dentro, encontrarás una opción llamada Configuración SSH o Servicio SSH. Haz clic allí.

[INFO] Syspanel unifica muchas configuraciones del sistema. La opción de SSH suele estar en el apartado de servicios del sistema.

Paso 2: Editar el archivo de configuración SSH desde Syspanel

Syspanel te permite modificar directamente el archivo /etc/ssh/sshd_config sin necesidad de usar la terminal. Sigue estos pasos:

En la pantalla de configuración SSH, verás un editor de texto con el contenido del archivo.
Busca la línea que dice #PermitRootLogin yes o PermitRootLogin yes.
Cámbiala por PermitRootLogin no. Si la línea está comentada (con #), elimina el # y escribe no.
Guarda los cambios. Syspanel suele tener un botón Guardar en la parte superior o inferior.

[TIP] Si no encuentras la línea, puedes agregarla al final del archivo: escribe PermitRootLogin no en una nueva línea.

Paso 3: Reiniciar el servicio SSH para aplicar los cambios

Después de guardar, debes reiniciar el servicio SSH para que los cambios surtan efecto. En Syspanel:

Busca el botón Reiniciar servicio o Aplicar cambios en la misma pantalla.
Confirma la acción. El servicio se reiniciará en segundos.
Verás un mensaje de confirmación.

[WARNING] Durante el reinicio, las conexiones SSH activas se mantendrán, pero no se permitirán nuevas conexiones como root. Si tienes una sesión root abierta, no la cierres hasta verificar el nuevo acceso.

Paso 4: Verificar que el cambio funciona correctamente

Ahora es momento de comprobar que el acceso root está deshabilitado:

Abre una nueva terminal (o usa otra ventana).
Intenta conectarte como root: ssh root@tu-dominio o ssh root@tu-ip.
Deberías recibir un mensaje como Permission denied (publickey) o root login is disabled.
Luego, conéctate con tu usuario normal: ssh usuario@tu-dominio.
Si funciona, ¡felicidades! Ya has deshabilitado el acceso SSH root.

[INFO] Si usas clave SSH en lugar de contraseña, asegúrate de haber copiado tu clave pública al usuario normal antes de deshabilitar el acceso root.

¿Qué hacer si algo sale mal? (Solución de problemas)

Si por error cierras la sesión root y no puedes acceder con tu usuario, no entres en pánico. Tienes estas opciones:

Usar la consola del proveedor de hosting: la mayoría de los paneles de control (como DigitalOcean, Linode, AWS) ofrecen acceso por consola web. Inicia sesión como root desde allí y revierte el cambio.
Usar Syspanel para restaurar: si aún tienes acceso a Syspanel (puerto 2106), puedes volver a editar el archivo y cambiar PermitRootLogin a yes.
Pedir ayuda al soporte técnico: si no puedes acceder de ninguna forma, contacta a tu proveedor de hosting. Ellos pueden reiniciar el servidor en modo seguro.

[TIP] Siempre ten un plan B: guarda una copia de seguridad del archivo /etc/ssh/sshd_config antes de modificarlo.

Preguntas frecuentes (FAQ)

¿Es seguro deshabilitar el acceso SSH root?

Sí, es una práctica recomendada por todos los expertos en seguridad. Usar un usuario normal con sudo reduce el riesgo de ataques.

¿Puedo seguir usando comandos con permisos de root?

Sí, una vez que inicies sesión con tu usuario normal, usa sudo antes de cualquier comando que requiera privilegios de root. Por ejemplo: sudo apt update.

¿Qué pasa si necesito acceso root urgente?

Puedes habilitarlo temporalmente editando el archivo de configuración y cambiando PermitRootLogin a yes, pero recuerda volver a deshabilitarlo después.

¿Syspanel permite configurar otros métodos de autenticación SSH?

Sí, desde la misma pantalla puedes habilitar la autenticación por clave pública, deshabilitar contraseñas, cambiar el puerto SSH, etc.

¿El cambio afecta a otros servicios como FTP o bases de datos?

No, solo afecta al acceso SSH. Los demás servicios siguen funcionando normalmente.

Conclusión: Un paso pequeño, una gran mejora en seguridad

Deshabilitar el acceso SSH root es como cambiar la cerradura de la puerta principal de tu casa: simple, rápido y extremadamente efectivo. Con Syspanel, este proceso se vuelve aún más fácil gracias a su interfaz gráfica.

Recuerda que la seguridad no es un destino, sino un proceso continuo. Además de deshabilitar el acceso root, te recomiendo:

Usar claves SSH en lugar de contraseñas.
Cambiar el puerto SSH por defecto (22) a uno no estándar.
Mantener el sistema y Syspanel actualizados.
Revisar periódicamente los logs de acceso.

Si tienes alguna duda, no dudes en consultar la documentación de Syspanel o contactar a tu proveedor de hosting. ¡Tu servidor te lo agradecerá!