Lista de seguridad de WHM para un servidor cPanel nuevo

Antes de publicar el primer sitio en un servidor cPanel nuevo, revise esta lista en WHM: actualizaciones, llaves SSH, Security Advisor, PHP-FPM, cPHulk, ModSecurity y restricciones de compiladores y SMTP.

M Por Max 30 de octubre de 2026 · 8 min de lectura

Lista de seguridad de WHM para un servidor cPanel nuevo

Un servidor cPanel & WHM nuevo no está protegido solo porque el instalador terminó. Antes de alojar el primer sitio o buzón de un cliente, dedique una hora al Security Center de WHM y a algunas pantallas relacionadas: confirme las actualizaciones automáticas de seguridad, pase root a llaves SSH, ejecute Security Advisor, elija un manejador de PHP por usuario como PHP-FPM, active cPHulk, instale las reglas de OWASP para ModSecurity y restrinja los compiladores, el SMTP saliente y los recursos de shell. Cada punto de esta lista es una interfaz real de WHM documentada por cPanel, así que puede seguirla en orden.

Antes de empezar: conserve una forma de volver a entrar

Varios de estos pasos cambian la forma de iniciar sesión. Un error puede dejarlo fuera de su propio servidor.

Confirme que tiene acceso de consola de su proveedor de hosting o centro de datos (consola web, KVM o IPMI). La guía de firewall de cPanel lo dice claramente: mantenga siempre el acceso de consola.
Anote las direcciones IP públicas que usa su equipo para administrar el servidor. Las agregará a listas blancas en varios lugares.
Haga los cambios de uno en uno y pruebe un inicio de sesión nuevo después de cada uno, desde una segunda sesión del navegador, antes de cerrar la primera.

1. Primero, las actualizaciones

Un panel de control sin parches es la entrada más fácil, así que empiece aquí.

Elija un nivel de versión

En WHM » Server Configuration » Update Preferences, elija el nivel de versión (release tier). cPanel describe LTS como una versión por año, STABLE como la más probada, RELEASE como la predeterminada en instalaciones nuevas y EDGE como mínimamente probada y no recomendada para producción. Para un servidor de negocio, STABLE, RELEASE o LTS son opciones sensatas; nunca EDGE.

Deje activas las actualizaciones automáticas de seguridad

En la misma página, mantenga marcada la opción "Automatically apply security updates as soon as they are available". La documentación de cPanel explica que las actualizaciones de seguridad de su versión mayor se aplican mediante una tarea que corre cada hora, incluso si las actualizaciones de versión están en modo manual, y recomienda dejarla activada.

Actualice también el sistema operativo

cPanel actualiza su propio software, pero los paquetes de AlmaLinux, Rocky Linux, CloudLinux o Ubuntu que están debajo también necesitan actualizaciones periódicas. Prográmelas y reinicie cuando cambie el kernel.

2. Ejecute Security Advisor y lea cada alerta

Abra WHM » Security Center » Security Advisor. El análisis se ejecuta automáticamente y clasifica los hallazgos por color: rojo para problemas graves, amarillo para posibles problemas críticos, azul para mejoras opcionales y verde para lo ya resuelto. La mayoría de las alertas llevan directamente a la pantalla de WHM que las corrige.

Úselo como lista de tareas, no como calificación. Resuelva primero lo rojo y lo amarillo, y luego haga clic en Scan Again para confirmar. En algunas plataformas VPS ciertas opciones del sistema operativo no están disponibles, así que una alerta pendiente puede simplemente no aplicar a su entorno; deje anotado por qué la aceptó.

Un ingeniero de sistemas revisando la configuración de seguridad de un servidor

3. Proteja root y SSH

Use llaves SSH en lugar de contraseñas

Cree o importe una llave en WHM » Security Center » Manage root's SSH Keys y autorícela.
Inicie sesión con la llave desde una terminal nueva y confirme que funciona.
Solo entonces abra SSH Password Authorization Tweak y desactive la autenticación por contraseña. cPanel advierte que esta opción también aplica a root, así que la llave debe funcionar antes.

Limite quién puede convertirse en root

Los inicios de sesión directos como root deben ser la excepción. Cree un usuario administrativo normal y agréguelo en Manage Wheel Group Users (en Ubuntu, Manage Sudo Group Users). cPanel pide actuar con precaución extrema, porque pertenecer al grupo wheel permite usar su para pasar a root. Cuando ese camino funcione, muchos administradores también configuran PermitRootLogin en /etc/ssh/sshd_config como prohibit-password o no; pruébelo con cuidado y tenga la consola a mano.

Use tokens de API para las integraciones

Los scripts y sistemas de facturación nunca deben guardar la contraseña de root. Cree tokens limitados en WHM » Development » Manage API Tokens, otorgue solo los privilegios necesarios, fije una fecha de vencimiento y restrinja el token a direcciones IP conocidas.

4. Active la autenticación de dos factores y las reglas de contraseñas

Two-Factor Authentication for WHM: active la política como root y configure 2FA para root y los revendedores. Luego los usuarios de cPanel pueden activarla en su propio cPanel.
Password Strength Configuration: cPanel recomienda una fortaleza mínima predeterminada de 40 o más en su escala de 0 a 100.
Configure Security Policies: active Password Strength para que la regla se aplique también a las cuentas existentes, no solo a las nuevas, y considere extender las políticas a las API requests.

Tratamos estos ajustes a fondo en una guía aparte sobre 2FA y políticas de contraseñas.

5. Elija un manejador de PHP seguro

La forma en que se ejecuta PHP determina si un sitio comprometido puede leer los archivos de otro. La documentación de cPanel sobre manejadores de PHP indica que con DSO los scripts se ejecutan como el usuario nobody salvo que se agreguen módulos adicionales, lo que dificulta saber a qué cuenta pertenece un script, y que DSO no es compatible con PHP 8.0 o posterior. En MultiPHP Manager, active PHP-FPM en la pestaña System Settings para las cuentas nuevas y en User Domain Settings para los dominios existentes, de modo que el PHP de cada cuenta se ejecute en su propio pool con el usuario de esa cuenta.

De paso, elimine las versiones de PHP que ya no reciben correcciones de seguridad según php.net, a menos que una aplicación antigua realmente necesite una y usted cuente con soporte extendido para ella.

6. Proteja los inicios de sesión y los sitios web

cPHulk Brute Force Protection

Active cPHulk en WHM » Security Center. Vigila los inicios de sesión de cPanel, WHM, correo, FTP y SSH, y bloquea las direcciones y cuentas que fallan demasiadas veces. Agregue primero su propia IP a la lista blanca; cPHulk muestra una advertencia y un botón Add to Whitelist si su dirección actual no está incluida.

ModSecurity con el OWASP Core Rule Set

Instale el módulo ModSecurity de Apache con EasyApache 4 y luego agregue el OWASP Core Rule Set. La documentación de cPanel señala el paquete ea-modsec2-rules-owasp-crs como la versión actual y actualizada con frecuencia; la entrada de proveedor más antigua, "V3.0", ya no se actualiza. Revise ModSecurity Tools » Hits List durante las primeras semanas para detectar falsos positivos.

Firewall y AutoSSL

Abra solo los puertos de los servicios que realmente usa, siguiendo la tabla de puertos de la guía de firewall de cPanel. Verifique que Manage AutoSSL esté activado para que cada dominio tenga un certificado válido que se renueve solo.

7. Restrinja lo que pueden hacer las cuentas

Estos interruptores del Security Center son mejoras rápidas en cualquier servidor compartido o con varios sitios:

Interfaz de WHM	Qué hace	Recomendación
Shell Fork Bomb Protection	Aplica límites `ulimit` a las sesiones de shell, incluido un máximo de 35 procesos por usuario	Activar
Compiler Access	Restringe `gcc` a un grupo `compiler` en lugar de a todos los usuarios	Desactivar compiladores salvo que una cuenta los necesite
SMTP Restrictions	Solo el servidor de correo, Mailman y root pueden conectarse a servidores SMTP remotos	Activar, para que scripts maliciosos no esquiven Exim
Apache mod_userdir Tweak	Controla el acceso a sitios con URL del tipo `http://hostname/~username`	Restringir para la mayoría de los usuarios, como recomienda cPanel
Traceroute Enable/Disable	Cambia los permisos del binario traceroute; viene desactivado	Dejarlo desactivado salvo que lo necesite
Host Access Control	Permite o bloquea por IP el acceso a servicios como WHM y SSH	Limitar WHM y SSH a las IP de administración cuando sea práctico

Además, dé acceso a shell solo a las cuentas que lo necesiten. cPanel advierte que los usuarios con shell pueden saltarse las reglas de fortaleza de contraseña con el comando passwd.

8. Copias de seguridad y alertas antes de salir a producción

Configure Backup Configuration con al menos un destino remoto y pruebe una restauración antes de confiar en él.
Indique una dirección vigilada en Basic WebHost Manager Setup y revise Contact Manager para que las notificaciones de seguridad lleguen a una persona.
Considere Background Process Killer para detener, durante la actualización nocturna, programas de IRC y de captura de paquetes que suelen usarse con fines abusivos.

Lista de una página

Acceso de consola confirmado; IP de administración anotadas.
Nivel de versión elegido; actualizaciones automáticas de seguridad activas; actualizaciones del sistema operativo programadas.
Security Advisor sin alertas o con excepciones documentadas.
Root usa llaves SSH; SSH por contraseña desactivado; usuario wheel creado; tokens de API limitados.
Política de 2FA activa; fortaleza de contraseña de 40 o más y aplicada a cuentas existentes.
PHP-FPM en todas las cuentas; versiones de PHP sin soporte eliminadas.
cPHulk activo con su IP en lista blanca; ModSecurity con OWASP CRS; firewall limitado a los puertos necesarios; AutoSSL activo.
Protección contra fork bombs, restricción de compiladores y restricciones SMTP activadas.
Copias remotas configuradas y una restauración de prueba hecha; las notificaciones llegan a un buzón real.

Pida una segunda opinión

Asegurar un servidor una vez es lo fácil; mantenerlo así mientras cambian las cuentas, las versiones de PHP y el personal es donde muchas empresas fallan. Max, nuestro fundador, está certificado en cPanel & WHM, y nuestro equipo administra servidores de hosting para empresas de Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. Solicite una evaluación de TI gratuita y revisaremos con usted la configuración de su WHM.