Revocar el acceso SSH a su VPS para un antiguo empleado o un portátil perdido
Un antiguo empleado, un desarrollador web que ya ha terminado su trabajo o un portátil robado: cualquiera que tuviera una clave SSH en su servidor puede seguir iniciando sesión. Una clave normal no caduca. Lo que usted no elimine seguirá funcionando, incluso años después. A continuación le explicamos cómo revocar correctamente el acceso a su VPS.
Paso 1: revisar todas las claves
Las claves se guardan por usuario en ~/.ssh/authorized_keys, una clave por línea. Revise cada usuario, también root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf muestra para cada clave la huella digital y el comentario, como jan@laptop. Así puede ver a quién o a qué dispositivo pertenece una clave. Por eso conviene añadir a cada clave un comentario claro al crearla y utilizar una clave distinta para cada dispositivo.
- Haga una copia:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Abra el archivo con
sudo nanoy elimine la línea de esa persona o de ese dispositivo. - Compruebe en una segunda ventana que usted mismo sigue pudiendo acceder antes de cerrar su sesión actual.
¿Aparece una clave que no reconoce y que usted no ha añadido? Es una señal de alarma: a los intrusos les gusta colocar su propia clave para poder volver más tarde. En ese caso, siga ¿Le han hackeado? Los primeros pasos.
Paso 2: la cuenta de esa persona
Si esa persona tenía su propio usuario, bloquéelo o elimínelo. Compruebe primero quién ha iniciado sesión en este momento con who.
| Qué | Comando (Debian y Ubuntu) |
|---|---|
| Bloquear la cuenta y conservar los archivos | sudo usermod -L -e 1 jan |
| Detener sesiones y procesos en curso | sudo pkill -u jan |
| Quitar del grupo sudo | sudo gpasswd -d jan sudo |
| Eliminar la cuenta con su directorio personal | sudo deluser --remove-home jan |
-L bloquea la contraseña y -e 1 hace que la cuenta caduque. Bloquear solo la contraseña no siempre impide el acceso con una clave SSH; una cuenta caducada, sí. Aun así, elimine también las claves (paso 1). Compruebe además si hay archivos para esa persona en /etc/sudoers.d/ y si se ejecutan tareas programadas con ese nombre: sudo crontab -l -u jan. En AlmaLinux y Rocky Linux, el grupo de administradores se llama wheel y una cuenta se elimina con sudo userdel -r jan.
Paso 3: sustituir contraseñas y secretos
Eliminar una clave no basta si esa persona también ha visto contraseñas. Sustituya todo lo que esa persona conocía o podía leer:
- La contraseña de root. Puede establecerla en la pantalla del VPS, pestaña Configuración, o en el servidor con
sudo passwd root. - Contraseñas de bases de datos y paneles de administración, así como tokens o claves API en archivos de configuración y archivos
.env. Sustitúyalos también en el servicio que los emitió. - Claves compartidas para copias de seguridad, por ejemplo la contraseña de su repositorio de restic.
Paso 4: su cuenta de WebOké
Si esa persona tenía acceso a Mi WebOké, retíreselo también. Con los permisos adecuados, alguien puede, por ejemplo, gestionar su VPS desde la pantalla del VPS. Vaya a Mi Administración, pestaña Usuarios, y seleccione Eliminar acceso junto a esa persona. Consulte Añadir un usuario adicional a cuentas de WebOké: gestionar varias cuentas de WebOké con un solo usuario. Si alguna vez ha compartido sus propios datos de acceso, cambie su contraseña; consulte Establecer, cambiar o recuperar la contraseña.
Un portátil perdido o robado
Elimine solo la clave de ese dispositivo, en cada servidor donde estuviera. Cree una nueva clave en su nuevo dispositivo y añádala; consulte Colocar su clave en el servidor y probarla. Si la clave privada no tenía passphrase, dé por hecho que puede haberse utilizado y sustituya también las contraseñas del paso 3. Si usted mismo ya no puede acceder, utilice la consola de la pantalla del VPS; consulte Sin acceso a su VPS: ¿qué hacer?
authorized_keys la opción expiry-time="20261231", seguida de un espacio y la clave. Pasada esa fecha, el servidor rechazará la clave automáticamente. Además, lleve un registro en el expediente de su servidor de quién tiene acceso y revíselo cada trimestre; consulte Mantener su VPS seguro: hardening, Lynis y un ritmo de mantenimiento.Si más adelante reinstala el VPS, introduzca en el campo Clave SSH únicamente una clave que todavía le pertenezca a usted. Su VPS es totalmente autogestionado: usted decide quién tiene acceso al servidor. Nosotros le ayudamos con la parte de WebOké, como la pantalla del VPS, la consola y las instantáneas.
¿Quiere aprender más? Siga el curso gratuito de VPS y administración de servidores Linux, lección 2.1 Crear y utilizar claves SSH o lección 2.3 Usar SSH de forma inteligente.