Seguridad básica de tu VPS con aplicación

Tu VPS se entrega con una configuración de partida segura, pero es tu servidor: a partir de ahí, mantenerlo así depende de ti. Estas son las bases.

El cortafuegos

El cortafuegos del sistema (ufw) viene activado con solo tres accesos abiertos: SSH, 80 y 443. La aplicación solo es accesible a través de HTTPS; sus puertos internos no están expuestos. Puedes comprobarlo con:

ufw status

• No cierres el 80 ni el 443: los usa el certificado HTTPS y tu aplicación.
• Si instalas algo más que necesite un puerto, ábrelo solo a ese puerto (ufw allow 8443/tcp, por ejemplo), nunca desactives el cortafuegos.

La cuenta root

• Cambia la contraseña de root si la has compartido o la has guardado en un sitio poco seguro. Puedes restablecerla desde la ficha de tu servidor en el área de cliente, o por SSH con passwd.
• Si quieres más seguridad, entra con clave SSH en lugar de contraseña.
• No compartas el acceso root con quien no lo necesite.

Las cuentas de tu aplicación

• Cambia la contraseña inicial de la aplicación por una tuya y guárdala en un gestor de contraseñas.
• Activa la verificación en dos pasos donde exista: n8n y Dokploy la tienen en el perfil de usuario.
• En OpenClaw, el token da acceso total: no lo compartas, y cada navegador nuevo se aprueba desde el servidor.
• En Hermes Agent, el panel incluye una terminal; si quieres más protección, limita el acceso por IP o usa el inicio de sesión con cuenta de Nous Research.

Los agentes de IA

OpenClaw y Hermes Agent ejecutan comandos en tu servidor. Por eso se instalan con un usuario propio sin permisos de administrador:

• No les des acceso root ni los añadas al grupo sudo.
• Trata como no fiable lo que llegue por los canales: alguien podría intentar darle órdenes al agente. Mantén el emparejamiento por código.
• En Hermes, deja activada la aprobación de comandos peligrosos.

Actualizaciones

Las decides tú. Actualiza el sistema con regularidad (apt update && apt upgrade -y) y tu aplicación siguiendo su guía. En Dokploy, los paquetes de Docker están retenidos a propósito: no los fuerces.

Nunca compartas credenciales

Nunca te pediremos tus contraseñas, tokens ni claves. No los pegues en tickets, chats ni canales públicos, y no publiques el contenido de /root/astrol-app.txt ni de los ficheros .env. Si lo has hecho, cámbialos cuanto antes.

Relacionado

• Dónde están los datos de acceso de tu aplicación
• Qué incluye tu VPS con aplicación y qué cubre el soporte
• Protección DDoS incluida

VPS con aplicación: n8n · OpenClaw · Hermes Agent · Dokploy