Cambiar la contraseña de root y de usuarios en un VPS Linux

Una contraseña robusta y renovada con regularidad es la primera línea de defensa de su VPS Linux Infrawire. Desde su área de cliente encuentra la IP y la contraseña de root del VPS, y conviene cambiarla tras el primer acceso. Esta guía cubre el cambio de contraseñas, la caducidad y la política, el bloqueo de cuentas y la recuperación de una contraseña de root perdida.

📋 Requisitos previos

Un VPS Linux (Ubuntu 24.04, Debian 12, AlmaLinux 9 o Rocky Linux 9)
Acceso SSH como root o como usuario con sudo
Para la recuperación: acceso a la consola (VNC) del VPS o a un modo de rescate

1. Cambiar la contraseña de root

Conectado como root:

Bash
1passwd

Con sudo:

Bash
1sudo passwd root

Escriba la nueva contraseña dos veces; no se muestra nada mientras teclea. Use al menos 14 caracteres o, mejor, una frase de contraseña de un gestor de contraseñas.

2. Cambiar la contraseña de otro usuario

Bash
1sudo passwd USER

Un usuario normal cambia su propia contraseña con passwd a secas, que pide primero la contraseña actual. Para obligar a un usuario a elegir una nueva en su próximo inicio de sesión:

Bash
1sudo passwd -e USER

3. Definir contraseñas en un script con chpasswd

chpasswd lee líneas usuario:contraseña de la entrada estándar, útil para automatizar:

Bash
1read -r -s -p "Nueva contraseña: " PW; echo
2echo "USER:$PW" | sudo chpasswd
3unset PW

Evite escribir la contraseña directamente en el comando: quedaría en ~/.bash_history y sería visible en la lista de procesos.

4. Caducidad y política de contraseñas

Consulte y defina las reglas de envejecimiento con chage:

Bash
1sudo chage -l USER                  # mostrar la política actual
2sudo chage -M 90 -W 7 USER          # edad máxima 90 días, aviso 7 días antes

Para exigir complejidad, instale el módulo de calidad:

Bash
1# Ubuntu / Debian
2sudo apt install -y libpam-pwquality
3
4# AlmaLinux / Rocky
5sudo dnf install -y libpwquality

Luego edite /etc/security/pwquality.conf:

INI
minlen = 12
minclass = 3
retry = 3

Las reglas se aplican a los usuarios normales. Root puede saltárselas, así que sea riguroso.

5. Bloquear y desbloquear una cuenta

Bash
1sudo passwd -l USER       # bloquear la contraseña
2sudo passwd -u USER       # desbloquearla
3sudo chage -E 0 USER      # hacer caducar la cuenta de inmediato
4sudo chage -E -1 USER     # quitar la fecha de caducidad

Bloquear la contraseña no impide el acceso con clave SSH. Para desactivar por completo el acceso, cambie además el shell a /usr/sbin/nologin con sudo usermod -s /usr/sbin/nologin USER.

6. Recuperar una contraseña de root olvidada

Abra la consola VNC del VPS (o arranque el modo de rescate) y reinicie. En el menú de GRUB pulse e, localice la línea que empieza por linux y añada al final:

Bash
1init=/bin/bash

Pulse Ctrl+X para arrancar y después:

Bash
1mount -o remount,rw /
2passwd root
3sync
4exec /sbin/init

En AlmaLinux y Rocky, añada rd.break en su lugar y ejecute mount -o remount,rw /sysroot, chroot /sysroot, passwd root, touch /.autorelabel y salga dos veces. En modo de rescate, monte el disco del sistema, ejecute chroot /mnt y luego passwd root.

7. Verificar

Bash
1sudo passwd -S USER
2sudo chage -l USER

P indica una contraseña utilizable y L una cuenta bloqueada. Abra una segunda sesión SSH para confirmar que la nueva contraseña funciona antes de cerrar la primera.

🔧 Solución de problemas

«Authentication token manipulation error»
El sistema de archivos está en solo lectura, típico del modo de recuperación. Ejecute mount -o remount,rw / y reintente.

«BAD PASSWORD: The password fails the dictionary check»
La política rechaza una contraseña débil. Elija una más larga con varios tipos de caracteres.

SSH sigue rechazando la nueva contraseña de root
Revise sudo grep -E 'PermitRootLogin|PasswordAuthentication' /etc/ssh/sshd_config y los archivos de /etc/ssh/sshd_config.d/. Puede que el acceso por contraseña esté desactivado a favor de las claves.

Sin acceso tras una recuperación con SELinux
En AlmaLinux o Rocky, olvidar touch /.autorelabel hace fallar el inicio de sesión. Repita la recuperación y cree el archivo.

🔒 Sus cuentas quedan protegidas con contraseñas robustas, una caducidad razonable y una vía de recuperación que ya sabe usar.