Los bots automatizados comienzan a escanear un VPS nuevo pocos minutos después de que entra en línea. Antes de instalar aplicaciones o dirigir un dominio a tu servidor, completa esta lista. Estos nueve pasos cubren los puntos que los exploits automatizados atacan primero: acceso root, configuración SSH débil, puertos abiertos y paquetes sin actualizar. Los planes Contabo VPS y VDS también incluyen un firewall gratuito a nivel de red, administrado desde el Customer Control Panel (CCP). Este agrega una capa de hardware antes de que el tráfico llegue al sistema operativo. El paso 9 explica cómo configurarlo.
Lista de seguridad para VPS en 9 pasos
| Paso | Qué hace | Tiempo |
|---|---|---|
| 1. Actualiza el sistema operativo | Corrige vulnerabilidades conocidas en la imagen base | 2 min |
| 2. Crea un usuario sudo que no sea root | Elimina el riesgo de usar root de forma predeterminada | 2 min |
| 3. Configura la autenticación con claves SSH | Elimina los ataques de fuerza bruta contra contraseñas | 5 min |
| 4. Desactiva el acceso root y la autenticación con contraseña | Cierra los dos vectores de SSH más explotados | 2 min |
| 5. Configura el firewall UFW | Bloquea de forma predeterminada todos los puertos de entrada innecesarios | 3 min |
| 6. Instala Fail2ban | Bloquea IPs después de varios intentos de acceso fallidos | 3 min |
| 7. Activa las actualizaciones de seguridad automáticas | Mantiene los parches al día sin ejecuciones manuales | 2 min |
| 8. Activa 2FA/TOTP para SSH | Agrega un segundo factor aunque las claves SSH estén comprometidas | 5 min |
| 9. Activa el firewall de red de Contabo en el CCP | Bloquea el tráfico a nivel de red antes de que llegue al sistema operativo | 2 min |
Paso 1: actualiza primero el sistema operativo
La imagen del VPS podría haberse creado semanas atrás. Si aplicas los parches primero, los siguientes pasos se ejecutarán sobre una base actualizada.
# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y
sudo reboot # si se aplicó una actualización del kernel
# AlmaLinux / Rocky Linux
sudo dnf update -y
Paso 2: crea un usuario sudo que no sea root
Si ejecutas todo como root, un solo proceso comprometido tendrá acceso a todo el sistema. Crea un usuario administrador dedicado y úsalo en los siguientes pasos.
adduser [username]
usermod -aG sudo [username]
su – [username]
Paso 3: configura la autenticación con claves SSH
Las contraseñas pueden atacarse por fuerza bruta, pero los pares de claves criptográficas no. Genera un par de claves en tu computadora, cópialo al servidor y comprueba que funciona antes de modificar la configuración de SSH.
# En tu computadora LOCAL:
ssh-keygen -t ed25519 -C «[email protected]»
# Copia la clave pública al VPS:
ssh-copy-id [username]@[server-ip]
# Comprueba que el acceso con clave funciona ANTES de continuar:
ssh [username]@[server-ip]
Paso 4: desactiva el acceso root y la autenticación con contraseña
Después de confirmar el acceso con claves SSH, cierra los dos puntos de entrada más explotados: el acceso root directo y la autenticación con contraseña.
sudo nano /etc/ssh/sshd_config
# Configura estas líneas:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
# Reinicia SSH:
sudo systemctl restart sshd
Opcional: cambia el puerto SSH predeterminado 22 por uno no estándar (agrega Port [number] a sshd_config). Así reducirás bastante el ruido de los escaneos automatizados, sobre todo si tus registros de autenticación muestran mucha actividad. Esto no sustituye una autenticación bien configurada. Si cambias el puerto, actualiza las reglas de UFW (paso 5) y el firewall del CCP de Contabo (paso 9) para permitir el nuevo puerto.
Paso 5: configura el firewall UFW con denegación predeterminada
Un firewall con denegación predeterminada bloquea todas las conexiones entrantes que no hayas permitido expresamente. Permite SSH primero o perderás el acceso al servidor.
sudo apt install ufw -y
# Permite SSH (usa tu puerto personalizado si lo cambiaste en el paso 4):
sudo ufw allow 22/tcp
# Permite tráfico web si lo necesitas:
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# Define las políticas y activa UFW:
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable
sudo ufw status verbose
Paso 6: instala Fail2ban
Fail2ban monitorea los registros de autenticación y bloquea las IPs que superan un límite de intentos de acceso fallidos. Apareció en 86 de 90 respuestas de IA sobre este tema, por lo que es una recomendación casi universal.
sudo apt install fail2ban -y
# Copia la configuración (nunca edites jail.conf directamente):
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
# Edita jail.local, busca [sshd] y configura:
# bantime = 1h
# maxretry = 5
# findtime = 10m
sudo systemctl enable –now fail2ban
sudo fail2ban-client status sshd
Paso 7: activa las actualizaciones de seguridad automáticas
Los retrasos entre actualizaciones manuales son una de las principales causas de ataques exitosos contra servidores. Unattended-upgrades aplica automáticamente los parches críticos de seguridad.
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure –priority=low unattended-upgrades
# Comprueba que las actualizaciones de seguridad estén activadas:
grep ‘security’ /etc/apt/apt.conf.d/50unattended-upgrades
Paso 8: activa 2FA/TOTP para SSH
La autenticación de dos factores agrega otra capa aunque las claves SSH estén comprometidas. Para iniciar sesión también necesitarás una contraseña de un solo uso basada en tiempo desde tu app de autenticación. La guía específica cubre toda la configuración, incluido el módulo PAM de Google Authenticator, sshd_config y la configuración de PAM. Consulta el enlace interno que aparece abajo. Aquí solo se resume el paso, mientras que la guía explica cada comando.
Paso 9: activa el firewall de red de Contabo en el CCP
Todos los planes Cloud VPS y Cloud VDS incluyen un firewall gratuito a nivel de red, administrado desde el Customer Control Panel. Funciona en la capa de red antes de que el tráfico llegue al sistema operativo del VPS y complementa el firewall de software UFW configurado en el paso 5.
Para activarlo: abre el CCP de Contabo → selecciona tu servidor → Firewall → crea reglas de entrada que coincidan con los puertos permitidos en el paso 5 (SSH, 80, 443 y cualquier puerto personalizado). Configura el resto del tráfico entrante como denegado. El firewall de red ofrece protección basada en hardware contra escaneos de puertos y ataques volumétricos antes de que consuman recursos del servidor. Muchos proveedores cobran esta función por separado o no la incluyen.
Adicional: configura backups periódicos
Hasta la mejor configuración de seguridad falla sin un backup probado. Si un servidor queda comprometido, cifrado por ransomware o mal configurado hasta el punto de no poder recuperarlo, un backup reciente marca la diferencia entre restaurarlo en una hora y reconstruirlo por completo. Trata los backups como una medida de seguridad básica, no como un extra opcional.
- Snapshots en el CCP de Contabo: crea un snapshot de todo el servidor antes de hacer cambios importantes. Puedes restaurarlo desde el CCP en pocos minutos.
- Backups externos en Object Storage: usa rclone para programar backups automáticos de datos críticos en un Bucket compatible con S3. Si comprometen el servidor, no podrán borrar un backup externo.
- Prueba tus backups: si nunca has restaurado un backup, no puedes contar con él.
Preguntas frecuentes sobre la seguridad de un VPS después de configurarlo
¿Cuál es el paso de seguridad más importante después de configurar un VPS?
Desactivar el acceso root y cambiar a la autenticación con claves SSH son las dos medidas con mayor impacto. Eliminan los principales vectores que usan los bots automatizados pocos minutos después de que un VPS entra en línea. Si solo puedes hacer dos cosas de inmediato, completa los pasos 3 y 4 de esta lista.
¿Contabo incluye funciones de seguridad integradas?
Sí. Todos los Cloud VPS y Cloud VDS incluyen un firewall gratuito a nivel de red administrado desde el Customer Control Panel. Filtra el tráfico mediante hardware antes de que los paquetes lleguen al sistema operativo del servidor y complementa firewalls de software como UFW. El CCP también admite 2FA para iniciar sesión en tu cuenta. Ninguna función requiere instalación ni pagos adicionales.
¿Cuánto tiempo se necesita para completar la lista de seguridad para VPS?
Los nueve pasos principales toman aproximadamente 30 minutos si tienes experiencia básica con Linux. El paso 8 (2FA/TOTP) agrega entre 5 y 10 minutos si es la primera vez que lo configuras. La configuración adicional de backups tarda entre 10 y 15 minutos. En total, puedes establecer una base de seguridad para producción en menos de una hora.
Aviso: las especificaciones, funciones y precios de los productos mencionados en este artículo están sujetos a cambios y pueden variar según la región, el periodo de facturación y las promociones vigentes. Consulta el sitio web oficial de cada proveedor o marca para conocer las cifras, los precios y los tipos de cambio locales actuales.
