# Como reforço o SSH em uma VPS nova?

> Reforce o SSH em um VPS novo em 6 passos: só chave, usuário sudo, root desativado, depois sshd -t. Dusk, 2 GB RAM, $5.25 por mês.

- URL: https://gloamport.com/pt/guides/how-to-harden-ssh-on-a-vps/
- Última atualização: 2026-11-10
- Editor: Gloamport (https://gloamport.com)

Seis alterações no sshd_config levam cerca de dez minutos. Mantenha sua primeira sessão aberta até que a última seja testada.

**Resposta rápida — Como reforço o SSH em uma VPS nova?**

Para reforçar o SSH em uma VPS nova, crie um usuário sudo, instale sua chave pública e depois defina PasswordAuthentication no, PermitRootLogin no e AllowUsers em um arquivo drop-in em /etc/ssh/sshd_config.d/, verifique com sshd -t e recarregue. O Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, custa $5.25 por mês no período de 12 meses.

## Quais opções do sshd_config mais importam em uma VPS nova?

| Opção | Valor | Padrão no manual do sshd_config |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes` (o arquivo do Debian define `no`) |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | seu usuário sudo | todos os usuários |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120 segundos |

Padrões conforme indicado em sshd_config(5), verificados em 2026-11-10. Os valores da coluna do meio são as escolhas deste guia.

## Por que reforçar o SSH antes de tudo?

O SSH é o único serviço que toda VPS expõe desde o primeiro minuto, por isso é a primeira porta a trancar. Tentativas de adivinhar senhas na porta 22 começam assim que um endereço fica ativo, e o login somente por chave elimina essa classe inteira de ataque.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Se você colou uma chave na finalização da compra, o login por senha já está desativado, e este guia acrescenta os limites restantes. Se você recebeu uma senha root temporária, troque-a no primeiro login com `passwd` antes de fazer qualquer outra coisa. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 6 provedores aceitam Monero e não pedem e-mail no cadastro; assim, nesses servidores, a chave SSH e o número da conta são os únicos segredos que protegem a máquina.

## Como reforço o SSH em uma VPS nova, passo a passo?

Faça-os nesta ordem e mantenha a primeira sessão aberta até o fim.

1. **Crie um usuário comum** — Execute adduser e adicione o usuário ao grupo sudo, para que você deixe de trabalhar como root.
2. **Instale sua chave pública para esse usuário** — Copie sua chave autorizada para o novo usuário, ou execute ssh-copy-id -i a partir do seu próprio computador. Teste o login em um segundo terminal.
3. **Crie um arquivo drop-in** — Crie /etc/ssh/sshd_config.d/00-hardening.conf com as opções da tabela. O Debian inclui essa pasta no início do sshd_config, e o primeiro valor de uma opção prevalece, então o nome precisa ficar no começo da ordem alfabética.
4. **Teste a configuração** — Execute sshd -t. Ele verifica o arquivo de configuração e as chaves sem reiniciar nada. Execute sshd -T para exibir os valores efetivos.
5. **Recarregue o serviço** — Reinicie ssh e abra uma nova sessão com o novo usuário antes de fechar a antiga.
6. **Confirme que root e senhas são recusados** — Tente fazer login como root e com senha a partir de outro terminal. Os dois devem falhar.

## Como crio um usuário sudo e dou a ele minha chave?

Crie o usuário, adicione-o a `sudo` e copie para ele a chave autorizada da conta root. Use sua chave de [Como gero uma chave SSH para minha VPS?](https://gloamport.com/pt/guides/how-to-generate-an-ssh-key/ "Como gero uma chave SSH para o meu VPS?") caso ainda não tenha uma. Substitua `admin` pelo nome de usuário que você quiser.

*Crie o usuário e copie a chave (como root)*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## O que vai no arquivo drop-in do sshd_config?

Coloque as opções em um único drop-in para que uma atualização de pacote nunca as sobrescreva. O manual do sshd_config diz que, para a maioria das palavras-chave, é usado o primeiro valor obtido, e que o arquivo do Debian inclui `/etc/ssh/sshd_config.d/*.conf` no início; assim, o prefixo `00-` faz com que o seu prevaleça sobre arquivos como o drop-in próprio de uma imagem de nuvem.

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*Teste e depois aplique*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **Nunca feche sua única sessão** Se AllowUsers indicar um usuário sem a sua chave, você se tranca para fora. Mantenha a primeira sessão aberta, teste um segundo login com o novo usuário e só então feche a primeira. sshd -t verifica a sintaxe, não se a sua chave está instalada.

## Devo mudar a porta SSH ou adicionar um firewall?

Uma porta diferente reduz o ruído nos logs, mas não acrescenta segurança real, então trate-a como opcional. O manual permite defini-la com `Port`, e são permitidas várias linhas `Port`. Se você mudar, abra a nova porta no firewall antes de reiniciar `ssh`. Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar, então você usa o firewall que lhe convier.

Com o SSH bem fechado, as próximas camadas são um túnel privado ([Como configuro o WireGuard em uma VPS?](https://gloamport.com/pt/guides/how-to-set-up-wireguard-on-a-vps/ "Como configuro o WireGuard em um VPS?")) e um volume de dados criptografado ([Consigo criptografar o disco de uma VPS com LUKS?](https://gloamport.com/pt/guides/how-to-encrypt-a-vps-disk-with-luks/ "Posso criptografar o disco de um VPS com LUKS?")). O Dusk, com 2 GB de RAM, custa $5.25 por mês no período de 12 meses; veja [a página de preços](https://gloamport.com/pt/pricing/ "Quanto custa uma VPS da Gloamport?").

**Resumo**

- Trabalhe como usuário sudo, não como root.
- Defina `PasswordAuthentication no` e `KbdInteractiveAuthentication no`.
- Defina `PermitRootLogin no` assim que o usuário sudo funcionar.
- Use `AllowUsers` para indicar quem pode fazer login.
- Coloque as opções em um drop-in cujo nome fique em primeiro na ordem, como `00-hardening.conf`.
- Execute `sshd -t` antes de cada reinício e mantenha uma segunda sessão aberta.
- O Dusk custa $5.25 por mês no período de 12 meses.

## Reforço do SSH em uma VPS: perguntas frequentes

### O que significa PermitRootLogin prohibit-password?

Permite que root faça login com chave, mas não com senha. O manual o lista como padrão, e `no` vai um passo além.

### Por que minha alteração no sshd_config não tem efeito?

O primeiro valor de uma opção prevalece, e o Debian inclui primeiro a pasta sshd_config.d. Um drop-in anterior pode definir a opção, então dê ao seu o nome `00-hardening.conf` e verifique com `sshd -T`.

### Como testo a configuração sem quebrar o SSH?

Execute `sshd -t`, que apenas verifica o arquivo de configuração e as chaves. Mantenha uma segunda sessão aberta ao reiniciar.

### Preciso desativar o login por senha se colei uma chave na finalização da compra?

Na Gloamport, uma chave colada já deixa o login por senha desativado. Definir as opções em um drop-in mantém isso após as atualizações.

### O que faz o MaxAuthTries?

Limita as tentativas de autenticação por conexão. O manual indica o padrão de 6, e este guia define 3.

## Fontes

1. [Página do manual sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [Página do manual sshd(8) (-t e -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [Página do manual ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: A Gloamport é um provedor de VPS que vende servidores Linux KVM sem KYC, pedidos com número de conta e pagos em cripto, Monero em primeiro lugar; é operada pela DomaineGoat LLC, empresa registrada no Panamá. Um pedido pede um plano, uma moeda e, só se você quiser, um endereço de e-mail: sem nome, sem endereço postal, sem telefone e sem documento de identidade. No prazo de 12 meses, cada plano custa pelo menos 25% menos que um plano comparável nomeado, de uma pesquisa com 38 hosts de VPS cripto sem KYC lida em 10 de novembro de 2026.