Cómo detener ataques de fuerza bruta en servidores cPanel: cPHulk, firewalls y la situación de CSF

Todo servidor cPanel expuesto a internet recibe un flujo constante de intentos automáticos de adivinar contraseñas contra SSH, WHM, cPanel, webmail, correo y FTP. La defensa integrada es cPHulk Brute Force Protection en WHM: actívela, agregue sus propias IP a la lista blanca, mantenga activas la protección por IP y los bloqueos de un día, y deje que bloquee en el firewall a quienes insisten. Combínela con un firewall de paquetes que exponga solo los puertos que usa. Si depende de ConfigServer Security & Firewall (CSF), sepa que su desarrollador original cerró el 31 de agosto de 2025; cPanel mantiene ahora un fork con correcciones de seguridad y estabilidad, y los servidores elegibles deberían usar esa versión. Así se combinan las piezas.

Qué atacan los ataques de fuerza bruta en un servidor cPanel

Los atacantes prueban contraseñas comunes y filtradas en cualquier acceso que puedan alcanzar:

• SSH (puerto 22 de forma predeterminada)
• WHM (2087) y cPanel (2083)
• Webmail (2096) y los accesos de correo por IMAP, POP3 y SMTP
• FTP
• Aplicaciones web como las páginas de inicio de sesión de WordPress, que funcionan sobre HTTPS normal y se protegen de otra forma (vea más abajo)

Incluso los ataques fallidos consumen recursos y llenan los registros. Los exitosos terminan en spam desde buzones secuestrados, sitios alterados o el compromiso total del servidor.

Capa 1: cPHulk Brute Force Protection

cPHulk viene incluido en cPanel y WHM. Según la documentación de cPanel, vigila cPanel, WHM, el correo (Dovecot y Exim), Pure-FTPd y SSH.

Actívelo de forma segura

1. Abra WHM » Security Center » cPHulk Brute Force Protection y ponga el interruptor en On.
2. Vaya directamente a Whitelist Management y agregue las direcciones IP que usan sus administradores. cPHulk muestra una advertencia con un botón Add to Whitelist si su dirección actual no está incluida. cPanel lo recomienda enfáticamente para no quedarse fuera.

Los ajustes que importan

Ajuste	Valor predeterminado de cPanel	Qué hace
Maximum Failures by Account	15	Bloquea el nombre de cuenta tras fallos repetidos dentro del período de protección
Brute Force Protection Period	5 minutos	Ventana en la que se cuentan los fallos por cuenta
Maximum Failures per IP Address	5	Bloquea la IP de origen tras fallos repetidos
Maximum Failures per IP Address before the IP Address is Blocked for One Day	30	Bloqueo más largo para orígenes persistentes
Block IP addresses at the firewall level if they trigger a one-day block	Marcado	Agrega una regla de firewall para que la IP no llegue a ningún servicio
Duration for Retaining Failed Logins	360 minutos	Cuánto tiempo se recuerdan los fallos

Los valores predeterminados son un buen punto de partida. Dos ajustes a considerar:

• Active Block IP addresses at the firewall level if they trigger brute force protection para que los bloqueos cortos también se apliquen en el firewall, no solo en el inicio de sesión.
• Deje desmarcado Allow username protection to lock the "root" user salvo que tenga acceso de consola; de lo contrario, un atacante podría bloquear a root a propósito.

Notificaciones e informes

En Notifications, considere las alertas por inicios de sesión de root desde direcciones IP que no están en la lista blanca. Use History Reports (Failed Logins, Blocked Users, Blocked IP Addresses y One-day Blocks) para detectar patrones, y Remove Block cuando un usuario legítimo se bloquee a sí mismo.

Reglas por país, con cuidado

Countries Management permite poner países en lista blanca o negra usando datos de MaxMind GeoLite2. Bloquear regiones donde no tiene personal ni clientes puede reducir el ruido, pero recuerde que existen viajeros y usuarios de VPN, y que los atacantes también usan servidores dentro de Estados Unidos.

Lo que cPHulk no detiene

cPanel indica que cPHulk no afecta la autenticación por llave pública ni los tokens de API. Eso es bueno (puede seguir entrando con una llave), pero también significa que los tokens deben estar limitados y guardarse en secreto. cPHulk tampoco protege los accesos de aplicaciones web como WordPress.

Capa 2: Un firewall de paquetes

cPHulk reacciona ante los fallos; un firewall reduce desde el principio lo que los atacantes pueden alcanzar.

Abra solo lo que usa

La guía de firewall de cPanel enumera todos los puertos que usan sus servicios y lo dice claramente: abra solo los puertos de los servicios que usa y mantenga siempre el acceso de consola. Recomienda nftables en AlmaLinux, Rocky Linux y CloudLinux, e iptables en lugar de ufw en Ubuntu.

Restrinja los puertos de administración por IP

Si su equipo trabaja desde IP fijas o desde la VPN de la empresa, limite SSH (22) y WHM (2087) a esas direcciones. En AlmaLinux, Rocky Linux y CloudLinux, Host Access Control de WHM escribe reglas nft por puerto; en Ubuntu usa /etc/hosts.allow y /etc/hosts.deny. Escriba las reglas ACCEPT antes que las DROP o REJECT. cPanel también advierte que las reglas de Host Access Control se ignoran si hay otra aplicación de firewall instalada en un servidor con nftables, así que use una sola herramienta, no dos.

Use llaves para SSH

Adivinar contraseñas de SSH no sirve de nada si las contraseñas están desactivadas. Configure llaves en Manage root's SSH Keys, pruébelas y luego desactive las contraseñas con SSH Password Authorization Tweak.

Situación actual de ConfigServer CSF

Durante años, CSF (con su demonio de fallos de inicio de sesión, lfd) fue la respuesta estándar a "¿cómo pongo un firewall en un servidor cPanel?". La situación cambió en 2025, y mucho de lo que circula en internet está desactualizado. Esto es lo que respaldan las fuentes al momento de escribir:

Fecha	Qué pasó
31 de agosto de 2025	Cerró Way to the Web Ltd, la empresa detrás de ConfigServer. Terminaron las descargas, las actualizaciones y el soporte. Sus productos comerciales (cxs, osm, MSFE) ya no podían instalarse; las copias instaladas de los scripts gratuitos, incluido csf, siguieron funcionando pero dejaron de recibir actualizaciones de ConfigServer.
Antes del cierre	CSF se publicó bajo la licencia GNU GPLv3.
Febrero de 2026	cPanel comenzó a publicar un fork público de CSF bajo GPLv3, centrado en correcciones críticas de seguridad y estabilidad, empaquetado como cpanel-csf para servidores cPanel y WHM, y trasladó los servidores elegibles a sus servidores de actualización. Los avisos de los proveedores citan el 18 de febrero; el artículo de cPanel cita el 25 de febrero.

Según el anuncio de cPanel, tal como lo resumieron varios proveedores de hosting, el cambio automático solo se aplicó a servidores con CSF 14.00 a 15.00 que seguían usando la fuente de actualización original y tenían AUTO_UPDATES activado. Se conservaron las reglas y la configuración existentes. Los servidores fuera de esas condiciones, o con las actualizaciones automáticas desactivadas, no se cambiaron.

Qué deben hacer los administradores ahora

1. Revise su versión. Ejecute csf -v. Si el servidor sigue apuntando a la antigua fuente de ConfigServer, no está recibiendo ninguna actualización.
2. Pase a la versión mantenida. El comando citado del anuncio de cPanel es /scripts/autorepair cpanel_csf_install. Mantenga AUTO_UPDATES activado después, para recibir las correcciones de seguridad.
3. Espere mantenimiento, no funciones nuevas. cPanel describe su alcance como correcciones de seguridad y estabilidad. Considere la configuración y la resolución de problemas como responsabilidad propia.
4. No mezcle firewalls. La documentación de cPanel indica que CSF y APF no funcionan con firewalld; si los usa, debe eliminar firewalld.

Alternativas si no quiere usar CSF

• cPHulk junto con nftables (o iptables en Ubuntu) y Host Access Control. Todo integrado o recomendado por cPanel, sin depender de terceros.
• Forks comunitarios de CSF, como el proyecto Aetherinox/csf-firewall en GitHub, que se mantiene activo. Son independientes de cPanel, así que evalúe quién los mantiene y cómo se entregan las actualizaciones antes de depender de uno.
• Suites de seguridad comerciales que se ofrecen para servidores cPanel. Compare lo que cubren y asegúrese de que un solo producto administre el firewall.

Para la mayoría de los servidores de pequeñas empresas, cPHulk junto con un firewall nftables bien acotado, llaves SSH y 2FA cubre el riesgo de fuerza bruta sin agregar otro componente que mantener.

Capa 3: Accesos de aplicaciones web

WordPress y otras aplicaciones funcionan sobre HTTPS, así que cPHulk y los firewalls de paquetes no ven las contraseñas fallidas en esos accesos. Protéjalos con:

• ModSecurity con el OWASP Core Rule Set, además de limitación de solicitudes en una CDN o WAF delante del sitio.
• 2FA para todas las cuentas de administrador de la aplicación.
• Nombres de usuario de administrador únicos y eliminación de cuentas que no se usan.

Lista de defensa contra fuerza bruta

1. cPHulk activo; IP de administración en lista blanca; bloqueos de un día en el firewall activados.
2. Bloqueo de root por nombre de usuario desactivado; notificaciones de acceso de root activadas.
3. El firewall expone solo los puertos necesarios; SSH y WHM limitados por IP cuando sea práctico.
4. SSH solo con llaves; 2FA en WHM y cPanel.
5. CSF eliminado o en la versión cpanel-csf que mantiene cPanel, con actualizaciones automáticas; nunca junto a firewalld.
6. Accesos de aplicaciones web protegidos con un WAF y 2FA.

Obtenga una revisión profesional

El ruido de fuerza bruta es constante, pero una intrusión por esa vía se puede evitar. Max, nuestro fundador, está certificado en cPanel & WHM, y nuestro equipo asegura y monitorea servidores cPanel para empresas de Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. Solicite una evaluación de TI gratuita y revisaremos con usted la configuración de cPHulk, del firewall y de CSF.

Fuentes

• cPHulk Brute Force Protection – cPanel & WHM Documentation
• How to Configure Your Firewall for cPanel Services – cPanel Documentation
• Host Access Control – cPanel & WHM Documentation
• Will cPanel provide its own fork of CSF? – cPanel Support
• cpanel/cpanel-csf – fork de CSF de cPanel en GitHub
• End of Life Notice: ConfigServer Software and Support Ending August 31, 2025 – EuroVPS
• Important Update About CSF – Easyspace