Syspanel: Consejos de seguridad básicos para principiantes

¡Hola! Bienvenido al mundo de la administración de servidores. Si estás leyendo esto, probablemente acabas de instalar tu primer Syspanel (antes conocido como HestiaCP) y te preguntas: "¿Qué hago ahora para que esto no me lo hackeen?".

No te preocupes, es la pregunta más común y la más inteligente. Un servidor sin protección es como dejar la puerta de tu casa abierta con un cartel de "Pase usted". Pero con unos pocos pasos básicos, puedes convertir tu Syspanel en una fortaleza.

Este artículo es tu guía de seguridad para principiantes. No necesitas ser un experto en Linux ni un gurú de la cibersguridad. Solo necesitas seguir estos consejos, uno por uno, y dormir tranquilo.

Vamos a empezar.

¿Por qué es importante asegurar Syspanel?

Imagina que tu Syspanel es el cuadro de mandos de tu nave espacial. Desde aquí controlas tus sitios web, correos electrónicos y bases de datos. Si alguien no autorizado entra, puede robar información, instalar virus o usar tu servidor para enviar spam.

Los principiantes suelen pensar: "Es solo un sitio web pequeño, a nadie le interesa". Error. Los bots y atacantes automáticos escanean constantemente internet en busca de cualquier servidor desprotegido. No importa si tienes 1 visitante o 1 millón: si tienes una puerta abierta, alguien intentará entrar.

Syspanel seguridad no es un lujo, es una necesidad. Y la buena noticia es que los pasos para protegerlo son muy sencillos.

Paso 1: Cambia el puerto de acceso por defecto

El primer error que comete el 90% de los principiantes es dejar el puerto por defecto. Por defecto, Syspanel se accede por el puerto 2106 (sí, ese es el puerto estándar). Pero dejarlo así es como ponerle a tu casa una puerta de cristal con el cartel de "Aquí vivo".

Los atacantes saben que el puerto 2106 es el de Syspanel. Así que lo primero que hacen sus bots es escanear direcciones IP en busca de ese puerto.

¿Qué hacer? Cambia el puerto a uno diferente. Por ejemplo, el 3106, 4106 o cualquier número entre 1024 y 65535 que no uses.

Pasos para cambiar el puerto en Syspanel

1. Accede a tu servidor por SSH (necesitarás un cliente como PuTTY o Terminal).
2. Edita el archivo de configuración del panel. Escribe este comando:

   sudo nano /usr/local/hestia/conf/hestia.conf
   

3. Busca la línea que dice BACKEND_PORT='2106' y cambia el número por el que quieras. Por ejemplo: BACKEND_PORT='3106'.
4. Guarda y sal (Ctrl+X, luego Y, luego Enter).
5. Reinicia el servicio para que el cambio surta efecto:

   sudo systemctl restart hestia
   

[TIP] Elige un puerto que no sea común. Por ejemplo, evita el 8080, 8443 o 8888, ya que esos también son conocidos.

Ahora, para acceder a tu Syspanel, tendrás que escribir: https://tu-ip-o-dominio:3106 (o el puerto que elegiste).

Paso 2: Activa el firewall desde el propio Syspanel

Syspanel incluye un firewall integrado muy fácil de usar. No necesitas aprender comandos complicados. Es como tener un portero virtual que decide quién entra y quién no.

¿Qué hace? Bloquea todo el tráfico que no sea necesario. Por ejemplo, si solo usas HTTP (puerto 80) y HTTPS (puerto 443), puedes bloquear el resto.

Cómo configurar el firewall en Syspanel

1. Inicia sesión en tu Syspanel (recuerda, ahora con tu nuevo puerto).
2. Ve a la sección "Seguridad" o "Firewall" (depende de la versión, pero suele estar en el menú lateral).
3. Verás una lista de reglas. Por defecto, suele haber una que permite todo. Bórrala.
4. Añade reglas nuevas para los servicios que uses:
   • HTTP: Puerto 80, protocolo TCP.
   • HTTPS: Puerto 443, protocolo TCP.
   • SSH: Puerto 22 (o el que hayas cambiado), protocolo TCP.
   • Syspanel: Tu nuevo puerto (ej. 3106), protocolo TCP.
5. Guarda y aplica.

[WARNING] Si bloqueas el puerto de SSH o el de Syspanel por error, ¡te quedarás fuera! Asegúrate de añadirlos primero. Si te pasa, tendrás que acceder por consola desde tu proveedor de hosting (VPS) para desbloquearlo.

Paso 3: Usa contraseñas fuertes (y cámbialas ya)

Parece obvio, pero es el talón de Aquiles de muchos principiantes. Contraseñas como "admin123", "password" o "123456" son las primeras que prueban los atacantes.

Syspanel te permite crear usuarios con diferentes permisos. No uses la misma contraseña para el usuario admin que para tus cuentas de correo o FTP.

Consejos para contraseñas seguras

• Mínimo 12 caracteres, mezclando mayúsculas, minúsculas, números y símbolos.
• No uses palabras del diccionario ni datos personales (nombre, fecha de nacimiento).
• Usa un gestor de contraseñas como Bitwarden o KeePass para no tener que recordarlas.
• Cambia la contraseña del usuario admin inmediatamente después de instalar Syspanel.

Para cambiar la contraseña de un usuario en Syspanel:

1. Ve a "Usuarios".
2. Selecciona el usuario y haz clic en "Editar".
3. Escribe la nueva contraseña y guarda.

Paso 4: Activa la autenticación de dos factores (2FA)

Si alguien consigue tu contraseña, con el 2FA seguirá sin poder entrar. Es como tener una segunda cerradura en la puerta.

Syspanel no trae 2FA por defecto, pero puedes añadirlo fácilmente usando aplicaciones como Google Authenticator o Authy.

Cómo añadir 2FA a Syspanel

1. Instala la dependencia en tu servidor (necesitas acceso SSH):

   sudo apt install libpam-google-authenticator
   

2. Configúralo para el usuario de Syspanel (normalmente 'admin'):

   sudo google-authenticator
   

   Sigue las instrucciones: te preguntará si quieres un código de emergencia (di que sí), si quieres actualizar el archivo (sí) y si quieres limitar el uso por tiempo (sí).
3. Escanea el código QR con tu app de autenticación.
4. Edita el archivo PAM de Syspanel para que exija el 2FA:

   sudo nano /etc/pam.d/hestia
   

   Añade al final: auth required pam_google_authenticator.so
5. Reinicia Syspanel.

[INFO] Este paso es un poco más técnico, pero es el más efectivo. Si te parece complicado, al menos usa una contraseña larga y única.

Paso 5: Mantén Syspanel y el sistema actualizados

Los desarrolladores de Syspanel lanzan actualizaciones de seguridad con frecuencia. Ignorarlas es como no cerrar una ventana rota.

Cómo actualizar Syspanel

1. Accede por SSH a tu servidor.
2. Ejecuta:

   sudo apt update && sudo apt upgrade -y
   

3. Luego, actualiza Syspanel específicamente:

   sudo /usr/local/hestia/bin/v-update-sys-queue database
   sudo /usr/local/hestia/bin/v-update-sys-queue restart
   

Haz esto al menos una vez al mes. Mejor aún, programa una tarea automática (cron) para que lo haga por ti.

Paso 6: Limita los intentos de acceso

¿Has visto esas películas donde alguien prueba mil combinaciones hasta abrir una caja fuerte? Pues los atacantes hacen lo mismo con tu panel. Pero puedes detenerlos limitando los intentos fallidos.

Syspanel incluye Fail2ban (o puedes instalarlo). Esta herramienta bloquea automáticamente las IPs que intenten acceder varias veces con contraseñas incorrectas.

Configurar Fail2ban para Syspanel

1. Instala Fail2ban si no lo tienes:

   sudo apt install fail2ban
   

2. Crea una configuración específica para Syspanel:

   sudo nano /etc/fail2ban/jail.local
   

3. Añade estas líneas:

   [hestia]
   enabled = true
   port = 2106 (o tu nuevo puerto)
   filter = hestia
   logpath = /var/log/hestia/auth.log
   maxretry = 3
   bantime = 3600
   

4. Reinicia Fail2ban:

   sudo systemctl restart fail2ban
   

Ahora, si alguien falla 3 veces seguidas, su IP será bloqueada por una hora.

Paso 7: No uses el usuario admin para todo

Syspanel te permite crear múltiples usuarios. El usuario 'admin' tiene todos los poderes. Úsalo solo para tareas de administración general.

Para tu día a día, crea usuarios con permisos limitados. Por ejemplo:

• Un usuario para gestionar solo un sitio web.
• Otro para las cuentas de correo.

Así, si un usuario se ve comprometido, el daño es limitado.

Cómo crear un usuario nuevo

1. En Syspanel, ve a "Usuarios" > "Añadir usuario".
2. Dale un nombre, contraseña y selecciona los paquetes de servicios que puede usar.
3. Asigna solo lo necesario: por ejemplo, si solo va a manejar un sitio, dale acceso solo a "Web" y "DNS".

Preguntas frecuentes (FAQ) sobre seguridad en Syspanel

¿Qué hago si olvido la contraseña de Syspanel?

No te preocupes. Puedes resetearla desde SSH con este comando:

sudo /usr/local/hestia/bin/v-change-user-password admin NUEVA_CONTRASEÑA

Sustituye "admin" por el nombre de usuario y pon una contraseña segura.

¿Es seguro usar el puerto 2106 si cambio la contraseña?

No. El puerto 2106 es conocido por todos los atacantes. Aunque tengas una contraseña fuerte, los bots lo escanearán constantemente. Cámbialo siempre.

¿Necesito un certificado SSL para Syspanel?

Sí, y Syspanel te lo ofrece gratis. Ve a "Seguridad" > "SSL" y solicita un certificado Let's Encrypt. Así las conexiones a tu panel estarán encriptadas.

¿Puedo acceder a Syspanel desde cualquier lugar?

Sí, pero no deberías. Lo ideal es restringir el acceso por IP. Si tienes una IP fija en casa o en la oficina, añádela a la regla del firewall para que solo desde allí se pueda acceder al panel.

¿Qué hago si veo intentos de acceso en los logs?

Es normal. No te asustes. Si has seguido estos pasos (firewall, Fail2ban, puerto cambiado), la mayoría serán bloqueados automáticamente. Revisa los logs de vez en cuando para detectar patrones extraños.

Conclusión: La seguridad es un hábito, no un evento

Proteger tu Syspanel no es algo que haces una vez y ya. Es un proceso continuo. Pero no te agobies: con estos 7 pasos básicos, has elevado tu nivel de seguridad de un 1 a un 8 sobre 10.

Resumen rápido para principiantes:

1. Cambia el puerto 2106 por otro.
2. Activa el firewall desde el panel.
3. Usa contraseñas largas y únicas.
4. Añade 2FA si te atreves.
5. Actualiza siempre.
6. Limita los intentos con Fail2ban.
7. Crea usuarios con permisos limitados.

Ahora ya tienes las herramientas. No esperes a que sea demasiado tarde. Dedica 30 minutos hoy a asegurar tu servidor y mañana estarás durmiendo como un bebé.

Si tienes dudas, recuerda: Syspanel tiene una comunidad activa y documentación oficial. Pero con esta guía, ya tienes lo esencial para empezar con buen pie.

¡Buena suerte y navega seguro!