Como reforço o SSH em uma VPS nova?

Por que reforçar o SSH antes de tudo?

O SSH é o único serviço que toda VPS expõe desde o primeiro minuto, por isso é a primeira porta a trancar. Tentativas de adivinhar senhas na porta 22 começam assim que um endereço fica ativo, e o login somente por chave elimina essa classe inteira de ataque.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Se você colou uma chave na finalização da compra, o login por senha já está desativado, e este guia acrescenta os limites restantes. Se você recebeu uma senha root temporária, troque-a no primeiro login com passwd antes de fazer qualquer outra coisa. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 6 provedores aceitam Monero e não pedem e-mail no cadastro; assim, nesses servidores, a chave SSH e o número da conta são os únicos segredos que protegem a máquina.

Como crio um usuário sudo e dou a ele minha chave?

Crie o usuário, adicione-o a sudo e copie para ele a chave autorizada da conta root. Use sua chave de Como gero uma chave SSH para minha VPS? caso ainda não tenha uma. Substitua admin pelo nome de usuário que você quiser.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

O que vai no arquivo drop-in do sshd_config?

Coloque as opções em um único drop-in para que uma atualização de pacote nunca as sobrescreva. O manual do sshd_config diz que, para a maioria das palavras-chave, é usado o primeiro valor obtido, e que o arquivo do Debian inclui /etc/ssh/sshd_config.d/*.conf no início; assim, o prefixo 00- faz com que o seu prevaleça sobre arquivos como o drop-in próprio de uma imagem de nuvem.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Devo mudar a porta SSH ou adicionar um firewall?

Uma porta diferente reduz o ruído nos logs, mas não acrescenta segurança real, então trate-a como opcional. O manual permite defini-la com Port, e são permitidas várias linhas Port. Se você mudar, abra a nova porta no firewall antes de reiniciar ssh. Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar, então você usa o firewall que lhe convier.

Com o SSH bem fechado, as próximas camadas são um túnel privado (Como configuro o WireGuard em uma VPS?) e um volume de dados criptografado (Consigo criptografar o disco de uma VPS com LUKS?). O Dusk, com 2 GB de RAM, custa $5.25 por mês no período de 12 meses; veja a página de preços.