Restablecer una contraseña de root perdida

Una contraseña de root nunca se «recupera»: no se guarda en claro, ni siquiera por nosotros. Se sustituye. Todos los métodos siguientes se reducen a la misma idea: obtener temporalmente acceso privilegiado a la máquina y ejecutar passwd.

Están ordenados de lo más sencillo a lo más técnico. Pruébelos en ese orden.

¿Cómo restablezco una contraseña de root perdida desde el área de cliente?

Es la vía normal y no exige ningún acceso previo a la máquina.

1. Abra su servicio en el área de cliente.
2. En la pestaña Acceso y Seguridad, escriba una nueva contraseña y confirme.
3. Reinicie la máquina.

El reinicio no es opcional en un VPS KVM: la nueva contraseña se deposita en la configuración de inicialización de la VM y solo se lee en el arranque siguiente. Sin reinicio, nada cambia.

Este método cubre la gran mayoría de los casos. Pase al siguiente solo si, tras reiniciar, la nueva contraseña sigue siendo rechazada, algo que ocurre en máquinas cuya configuración de inicialización se desactivó o eliminó después de la instalación.

¿Cómo restablezco la contraseña de root con GRUB y la consola de rescate?

La pestaña Consola de su servicio abre la pantalla de la máquina, como si estuviera delante de ella con un teclado. Es el único acceso que sigue funcionando cuando SSH ya no responde.

El principio: en el arranque se pide al núcleo que lance un intérprete de comandos en lugar del sistema completo. Se obtiene acceso root sin autenticación, el tiempo justo para cambiar la contraseña.

Paso 1: mostrar el menú de GRUB

Abra la Consola, reinicie la máquina desde el área de cliente y mantenga la consola a la vista. Al principio del arranque, mantenga Mayús o pulse Esc varias veces para que aparezca el menú de GRUB.

Es la parte más delicada: la ventana de tiempo es corta. No dude en repetir.

Paso 2: modificar la línea de arranque

En el menú:

1. seleccione la entrada de Linux habitual;
2. pulse e para editarla;
3. localice la línea que empieza por linux, linux16 o linuxefi;
4. al final de esa línea, añada:

rw init=/bin/bash

Si la línea ya contiene ro, sustitúyalo por rw.

Arranque con Ctrl + X (o F10).

Esta modificación es temporal: no se guarda y desaparece en el siguiente arranque.

Paso 3: comprobar que la raíz permite escritura

Obtendrá un intérprete de comandos. Compruebe:

mount | grep " on / "

Si aparece ro, vuelva a montar la raíz en lectura-escritura:

mount -o remount,rw /

Sin este paso passwd fallará: el archivo de contraseñas no puede modificarse en un sistema de solo lectura.

Paso 4: cambiar la contraseña

passwd root

Escríbala y confírmela. En Ubuntu la cuenta root suele estar bloqueada por defecto: restablezca mejor la contraseña de su usuario administrador.

passwd nombre_usuario

Paso 5: reiniciar correctamente

Como el sistema no ha arrancado con normalidad, los comandos habituales pueden no responder. Pruebe primero:

sync
exec /sbin/init

Si la máquina no arranca:

sync
reboot -f

El sync no es decorativo: fuerza la escritura en disco de los cambios que aún están en memoria. Sin él, el cambio de contraseña puede perderse al reiniciar.

¿Qué cambia en Rocky, AlmaLinux, Fedora o RHEL?

En estas distribuciones el método recomendado usa rd.break en lugar de init=/bin/bash. En GRUB, añada al final de la línea del núcleo:

rd.break

Después, en el intérprete obtenido:

mount -o remount,rw /sysroot
chroot /sysroot
passwd root
touch /.autorelabel
exit
reboot

El archivo /.autorelabel pide a SELinux que recalcule las etiquetas de seguridad en el arranque siguiente. Sin él, el sistema puede rechazar las conexiones pese a una contraseña correcta. Ese arranque será más lento de lo habitual, es lo esperado.

¿Qué hago si el restablecimiento falla?

Identifique primero el síntoma exacto: cada uno de los casos siguientes tiene una causa concreta y una corrección conocida.

passwd: Authentication token manipulation error

La raíz está montada en solo lectura. Repita:

mount -o remount,rw /

La contraseña es correcta pero SSH rechaza root

La contraseña no es el problema: la configuración de SSH prohíbe la conexión directa como root. Compruebe desde la consola:

grep -E "^PermitRootLogin|^PasswordAuthentication" /etc/ssh/sshd_config

Conéctese con un usuario sudo. Es además la configuración preferible.

El menú de GRUB no aparece nunca

Algunas imágenes arrancan demasiado rápido para dar oportunidad al teclado. En ese caso, abra un ticket: podemos intervenir en la máquina. El montaje de una imagen de rescate externa no está disponible desde el área de cliente.

Prefiere empezar de cero

Si la máquina aún no contiene datos, la pestaña Reinstalación es más rápida y segura que cualquier manipulación del arranque. Borra el disco y reinstala el sistema con la contraseña que usted elija.

¿Qué debo comprobar tras recuperar el acceso?

Perder una contraseña es un buen momento para comprobar que nadie más ha pasado por ahí.

find /root /home -name authorized_keys -type f -print
last -a

El primer comando lista las claves SSH autorizadas: toda clave que no reconozca debe eliminarse. El segundo muestra las últimas conexiones.

Actualice después el sistema y pase a la autenticación por clave SSH para dejar de depender de una contraseña.