Auditor de configuración del servidor SSH
Pega tu sshd_config o sube el archivo. La auditoría se ejecuta por completo en tu navegador — no se sube nada — y obtienes una puntuación, hallazgos por línea y una configuración endurecida para descargar.
sshd_config es el archivo que decide quién puede entrar en tu servidor y cómo: inicio de sesión como root, autenticación por contraseña, qué cifrados y algoritmos de intercambio de claves se ofrecen, y cuánto duran las sesiones inactivas. Esta herramienta audita tu sshd_config en el navegador según las directrices OpenSSH de Mozilla y los valores por defecto de OpenSSH 10.6, le da una puntuación de 0 a 100, enumera cada hallazgo por línea y genera una configuración endurecida para descargar. Entiende la semántica de primer valor válido, los bloques Match y las líneas Include, así que una primera página limpia no puede esconder un bloque Match débil. Para generar claves, usa el conjunto de claves SSH; para comprobar si una contraseña se ha filtrado, usa la comprobación de filtraciones de contraseñas; y si un secreto acaba en una configuración, el escáner de secretos filtrados lo encuentra. El artículo complementario cómo endurecer la configuración de tu servidor SSH explica los mismos ajustes en prosa.
Línea base: directrices OpenSSH de Mozilla + valores por defecto de OpenSSH 10.6, verificados el 2026-11-13.
Última actualización:
🔒 Tu configuración se analiza en tu navegador y nunca sale de tu dispositivo. Sin cuenta, sin subida, sin llamadas al servidor.
Qué pasa con la configuración que pegas
Nada sale de tu navegador. La configuración se analiza localmente con JavaScript en esta página: sin subida, sin llamadas al servidor, sin almacenamiento, sin cuenta. Eso importa porque una configuración de servidor es un detalle de infraestructura — nombres de host, usuarios, usuarios permitidos y puertos — y nunca debería pegarse en un chat ni en un comprobador del lado del servidor. Al cerrar la página, se descarta.
Lo que esta puntuación NO demuestra
Una puntuación limpia no es prueba de seguridad. Significa que este archivo, frente a esta línea base, no tiene ninguna directiva marcada: una clave débil, una credencial filtrada, un sshd sin parchear o un cortafuegos ausente aún pueden deshacerlo todo.
Una puntuación mala no es prueba de una intrusión. Es una lista de ajustes que cambiar, en orden de prioridad: primero los errores, luego las advertencias.
Las líneas base se mueven. Esta auditoría está fechada el 2026-11-13 según las directrices OpenSSH de Mozilla y los valores por defecto de OpenSSH 10.6; un algoritmo moderno hoy puede quedar obsoleto mañana. Vuelve a auditar cuando actualices sshd.
Cómo se construye la puntuación
Cada error cuesta 15 puntos y cada advertencia 7; las notas no cuestan nada. Los hallazgos dentro de bloques Match son condicionales — solo se aplican a las sesiones que coinciden con el bloque, así que se enumeran pero no bajan la puntuación. Las cuatro bandas son deliberadamente gruesas: 80–100 es alta, 60–79 moderada, 40–59 baja y 0–39 mala; una escala más fina fingiría una precisión que una auditoría de configuración no tiene.
Cómo funciona la auditoría
sshd lee cada directiva una vez: para cada palabra clave, gana el primer valor que encuentra, y los duplicados posteriores se ignoran en silencio. Esta herramienta cita la línea efectiva y marca el duplicado oculto, así que una línea «corregida» debajo de la primera no la engaña. Una directiva ausente se audita contra su valor por defecto de OpenSSH: la ausencia nunca se trata como un aprobado cuando el valor por defecto es permisivo, y por eso PasswordAuthentication es el hallazgo más común en configuraciones intactas.
Las directivas dentro de un bloque Match solo se aplican a las sesiones que cumplen sus criterios, así que los hallazgos allí son condicionales: se enumeran con el bloque al que pertenecen, pero no bajan la puntuación. Las líneas Include se marcan como no seguidas: los archivos incluidos nunca se leen, así que una directiva que vive solo en un archivo incluido es invisible para esta auditoría. Para una auditoría completa, pega la configuración fusionada (sshd -T muestra la configuración efectiva).
Esta herramienta lee el archivo, no el servidor en ejecución: no puede ver si sshd está usando realmente esta configuración, lo fuertes que son tus claves, ni si un cortafuegos o fail2ban protege el puerto. Desactivar PasswordAuthentication no basta por sí solo si PAM aún puede aceptar contraseñas: revisa también KbdInteractiveAuthentication y tu pila PAM. Y cambiar el puerto es oscuridad, no endurecimiento: se anota, nunca se puntúa.
Preguntas frecuentes
¿Por qué PasswordAuthentication es el hallazgo más común?
Porque el valor por defecto de OpenSSH es yes: la mayoría de las distribuciones traen el inicio de sesión por contraseña activado, y muchos operadores nunca lo desactivan. Desactivarlo — y revisar KbdInteractiveAuthentication y PAM, que aún pueden aceptar contraseñas — importa mucho más que cambiar el puerto, que solo mueve el mensaje de inicio de sesión.
Mi configuración está repartida en archivos Include. ¿Por qué la auditoría los ignora?
Esta herramienta se ejecuta en tu navegador y no puede leer el sistema de archivos de tu servidor, así que las líneas Include se marcan como no seguidas en lugar de omitirse en silencio. Pega la configuración fusionada: sshd -T muestra la configuración efectiva con todos los includes resueltos, y es el archivo para el que está hecha esta auditoría.
¿Puedo poner la configuración endurecida directamente en mi servidor?
No: revísala primero. La descarga reescribe las directivas marcadas con los valores de la línea base y comenta las líneas eliminadas u ocultas, pero no conoce tus bloques Match, tus usuarios ni tu red. Pruébala con sshd -t, mantén una sesión abierta y prueba un segundo inicio de sesión antes de cerrar la primera.