Checklist de seguridad VPS: 12 pasos para proteger un servidor nuevo

Un checklist de seguridad VPS es la lista de pasos que aplicas en cada servidor nuevo antes de poner en él algo importante: cerrar SSH, activar un firewall, mantener el sistema actualizado, limitar lo que se ejecuta y asegurarte de poder recuperarte. Los bots automáticos empiezan a sondear las IP nuevas en minutos, así que la primera hora importa más que cualquier ajuste posterior.

Los pasos suponen un VPS Linux como Ubuntu o Debian con acceso root. Los comandos son ejemplos; adáptalos a tu distribución. Síguelos en orden y mantén abierta una segunda sesión SSH mientras cambias la configuración de acceso, para que un error no te deje fuera.

Por qué hay que blindar un VPS nuevo

Un servidor privado virtual te da control total, y eso también significa responsabilidad total. A diferencia del hosting compartido, nadie parchea tus paquetes ni vigila tus accesos. La mayoría de compromisos reales no son ataques ingeniosos sino fallos simples: contraseñas SSH débiles, una aplicación web desactualizada, un puerto de base de datos expuesto o un servicio de pruebas olvidado.

La primera hora: 8 pasos esenciales

1. Actualízalo todo — ejecuta apt update && apt upgrade (o el equivalente de tu distribución) y reinicia si cambió el kernel.
2. Crea un usuario no root — añade un usuario con permisos sudo y úsalo para el trabajo diario en lugar de root.
3. Usa claves SSH — genera un par de claves en tu ordenador y copia la pública al servidor con ssh-copy-id.
4. Desactiva contraseña y root — en /etc/ssh/sshd_config pon PasswordAuthentication no y PermitRootLogin no, y reinicia SSH tras probar el acceso con clave en otra sesión.
5. Activa un firewall — con ufw, permite solo lo necesario, por ejemplo ufw allow OpenSSH, ufw allow 80,443/tcp y luego ufw enable.
6. Activa las actualizaciones de seguridad automáticas — en Debian/Ubuntu instala y habilita unattended-upgrades.
7. Instala fail2ban — bloquea las IP que fallan el acceso repetidamente y frena los ataques de fuerza bruta.
8. Configura zona horaria y hostname — unas marcas de tiempo correctas hacen fiables los registros y los certificados.

Blindaje continuo: 4 pasos más

1. Elimina lo que no uses — desinstala paquetes innecesarios y detén servicios que no necesitas. Revisa los puertos en escucha con ss -tulpn.
2. Mantén privadas las bases de datos — enlaza MySQL, PostgreSQL o Redis a 127.0.0.1 o a una red privada, nunca a internet.
3. Haz copias fuera del servidor — copia los backups a otra ubicación y prueba una restauración. Un snapshot en la misma máquina no es un backup.
4. Vigila registros y recursos — revisa los logs de autenticación, configura alertas sencillas de disponibilidad y espacio en disco e investiga picos de CPU inesperados.

El checklist de un vistazo

Proteger la capa web

Si el VPS aloja una web, la aplicación suele ser el punto más débil. Mantén actualizados el CMS, los plugins y los frameworks, usa HTTPS con un certificado gratuito y ejecuta cada sitio con su propio usuario de sistema para que un sitio comprometido no pueda leer los demás. Añade un registro CAA a tu dominio para que solo tu autoridad de certificación elegida pueda emitir certificados, y apunta el dominio correctamente con nuestra guía para apuntar un dominio a un VPS.

Guarda secretos como claves de API y contraseñas de bases de datos en archivos de entorno con permisos restringidos, nunca en un directorio web público ni en un repositorio Git.

Acceso para equipos y varios administradores

Los servidores rara vez siguen siendo de un solo usuario mucho tiempo. En cuanto un compañero, un freelance o una herramienta de despliegue necesita acceso, la forma de repartir credenciales pasa a formar parte de tu seguridad.

• Una clave por persona — cada administrador tiene su propia cuenta y clave SSH. Nunca compartas una contraseña root ni una sola clave en el equipo.
• Claves separadas para automatización — los pipelines de CI y las tareas de backup tienen sus propias claves restringidas a los comandos o directorios que necesitan.
• Retira el acceso el mismo día — cuando alguien deja un proyecto, borra su usuario y su clave de inmediato. Revisa los archivos authorized_keys cada trimestre.
• Registra las acciones privilegiadas — sudo anota quién ejecutó qué, lo que facilita mucho rastrear errores e incidentes.
• Protege también el panel — tu cuenta del proveedor puede reinstalar o borrar el servidor; usa una contraseña fuerte y única y verificación en dos pasos si está disponible.

Qué hacer si sospechas una intrusión

• No borres pruebas de inmediato; haz antes un snapshot o copia los registros.
• Cambia todas las contraseñas y claves SSH que tocaron el servidor.
• Busca usuarios, tareas cron, claves SSH y procesos desconocidos.
• Ante la duda, reinstala desde una imagen limpia y restaura datos de un backup anterior al incidente.

Una base segura con el VPS de mistREG

mistREG ofrece servidores VPS KVM en Eslovenia (UE) sobre NVMe SSD y AMD EPYC. KVM da a cada servidor su propio kernel, así que puedes usar el firewall, los ajustes de kernel o las herramientas de seguridad que prefieras. El aprovisionamiento es automático: unos 60 segundos después del pago la IP y la contraseña root aparecen en tu panel, listas para este checklist. Más información en nuestra guía de VPS offshore.

Crea una cuenta, recarga con cripto o tarjeta y elige un servidor en la sección de planes. ¿Dudas? Nuestro equipo está en Telegram en @mistnetwork.