Cambiar la contraseña de root de su VPS Linux

La cuenta root puede hacerlo todo en la máquina: leer cualquier archivo, instalar cualquier cosa, borrar cualquier cosa. Su contraseña es, por tanto, la cerradura principal de su servidor, y esa cerradura está expuesta en una dirección IP pública. Los robots suelen probarla a los pocos minutos de poner el VPS en línea.

Cámbiela cuando tome el control de la máquina y siempre que dude de su confidencialidad.

¿Qué política de contraseñas se aplica en un VPS?

By-Hoster valida la contraseña en el servidor, en cada punto de entrada (pedido, reinstalación, cambio desde el área de cliente). Debe cumplir:

También se rechazan los fragmentos demasiado comunes (password, azerty, 123456, admin, debian…) y el nombre de host o de usuario de su propio VPS.

Los demás símbolos (comillas, barra invertida, acento grave, $) se excluyen a propósito: pasan por la configuración de inicialización de la máquina, donde provocan errores de escapado.

¿Cómo cambio la contraseña de root desde el área de cliente?

Es la vía recomendada y la única que funciona si ya no tiene acceso a la máquina.

1. Abra su servicio desde el área de cliente.
2. Vaya a la pestaña Acceso y Seguridad.
3. Escriba la nueva contraseña en el campo previsto y confirme.

Importante: un VPS KVM debe reiniciarse

En una máquina virtual KVM, el cambio se deposita en la configuración de inicialización (cloud-init) de la VM. No se aplica al sistema en ejecución: se tendrá en cuenta en el siguiente arranque.

Dicho de otro modo: envíe el formulario y reinicie la máquina. Mientras no reinicie, la contraseña antigua sigue siendo válida y la nueva todavía no funciona. En un contenedor LXC, por el contrario, el efecto es inmediato.

¿Cómo cambio la contraseña de root por línea de comandos?

Si ya está conectado a la máquina, passwd cambia la contraseña de inmediato, sin reiniciar.

Conectado como root:

passwd

Conectado con un usuario con sudo:

sudo passwd root

Escriba y confirme la nueva contraseña. No se muestra nada mientras teclea, ni siquiera asteriscos: es normal, el terminal oculta la entrada por completo. La confirmación esperada es:

passwd: password updated successfully

Atención: este método no avisa al área de cliente. La contraseña guardada en su ficha de servicio sigue siendo la antigua y ambas divergen. Si quiere que el área de cliente siga siendo la referencia, use el método 1.

¿Cómo compruebo que la nueva contraseña funciona?

Abra una segunda sesión SSH sin cerrar la primera. Si la nueva contraseña es rechazada, conserva la sesión actual para corregirlo.

ssh root@su-ip

O bien, desde la propia máquina, forzando una autenticación completa:

su -

¿Qué más puedo hacer, además de la contraseña, para proteger el acceso?

Dos medidas: las claves SSH, que sustituyen la contraseña por un par criptográfico, y fail2ban, que banea a las direcciones insistentes.

Una contraseña, por larga que sea, sigue siendo una cadena que puede adivinarse a fuerza de intentos. Dos medidas cambian de verdad el panorama:

• las claves SSH, que sustituyen la contraseña por un par criptográfico imposible de adivinar;
• fail2ban y el cortafuegos, que bloquean las direcciones que insisten.

Si ha perdido la contraseña y ya no tiene acceso a la máquina, el procedimiento de recuperación se describe en su propio artículo.