Un VPS recién entregado es funcional pero no está endurecido. Este es el orden recomendado para asegurar una máquina antes de instalar en ella cualquier cosa sensible.
1. Configurar una clave SSH
Si aún no lo has hecho (consulta el artículo sobre la conexión SSH), genera e instala una clave SSH antes que cualquier otro paso: es la base sobre la que se apoya todo lo demás.
2. Desactivar la autenticación por contraseña
Una vez que la clave SSH funciona y está probada, desactiva la autenticación por contraseña en la configuración SSH para aceptar únicamente las conexiones por clave:
sudo nano /etc/ssh/sshd_configModifica o añade la línea:
PasswordAuthentication noDespués reinicia el servicio:
sudo systemctl restart sshd3. Crear un usuario sin privilegios de root para el uso diario
Consulta el artículo dedicado a la creación de un usuario sin root: evita usar root para las tareas cotidianas y resérvalo para las operaciones que realmente lo exigen.
4. Activar el cortafuegos
Configura un cortafuegos (consulta el artículo dedicado a UFW) para abrir únicamente los puertos que realmente se usan: SSH y los servicios que quieras exponer (web, juego, etc.).
5. Activar las actualizaciones de seguridad automáticas
En Debian/Ubuntu, el paquete unattended-upgrades aplica automáticamente los parches de seguridad sin intervención:
sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades6. Cambiar el puerto SSH por defecto (opcional)
Cambiar el puerto 22 por defecto no hace el servidor más seguro por sí mismo (no es una medida de seguridad real), pero reduce mucho el ruido de los escaneos automatizados en los registros: útil sobre todo para mantener unos logs más legibles.