Um VPS dá controle sobre uma máquina virtual, mas também exige cuidado com acesso remoto, atualizações e portas abertas. Para reduzir o risco de perder o acesso, prepare primeiro a recuperação do provedor e teste cada mudança numa sessão separada antes de fechar a conexão atual.

Este checklist é uma síntese da documentação oficial do Ubuntu e do OpenSSH consultada em 27 de outubro de 2026. Os exemplos são explicativos e não foram executados num servidor. A interface do provedor, a distribuição e a porta SSH podem ser diferentes.

1. Garanta uma forma de recuperar o acesso

Antes de alterar SSH ou firewall, localize o console de recuperação no painel do provedor, anote como usá-lo e confirme que tem a conta administrativa inicial. Descubra também qual porta SSH está ativa; não presuma que todo servidor usa a porta padrão.

Mantenha a sessão atual aberta durante mudanças de acesso remoto. Se uma nova regra bloquear sua conexão, a sessão aberta e o console do provedor podem ser necessários para corrigir a configuração.

2. Use uma chave SSH sem expor a parte privada

Uma chave SSH tem uma parte pública, instalada no servidor, e outra privada, que fica no seu computador. Proteja a chave privada — de preferência com uma senha — e não a envie por mensagem, não a publique no site e não a copie para uma pasta pública.

Em um computador com OpenSSH, este comando cria uma chave Ed25519 local:

ssh-keygen -t ed25519

Se o provedor permitir adicionar uma chave pública ao criar a VM, esse pode ser um caminho mais seguro para iniciar o acesso. Os métodos e formatos compatíveis dependem do cliente SSH e do servidor.

3. Teste uma segunda sessão antes de restringir o SSH

1. Configure a chave pública para uma conta administrativa que use sudo.

2. Abra uma nova janela ou sessão SSH e confirme que a chave funciona.

3. Verifique que a conta consegue executar as tarefas administrativas necessárias.

4. Confirme que o console de recuperação do provedor continua disponível.

5. Só depois avalie restringir autenticação por senha ou acesso direto de root, seguindo a documentação da distribuição.

Desativar uma forma de login antes de validar outra pode bloquear o acesso. No Ubuntu, valide a sintaxe da configuração SSH com sudo sshd -t antes de reiniciar ou recarregar o serviço. Se o teste mostrar erro, corrija a configuração e mantenha a sessão atual aberta. Não copie uma configuração endurecida de outro sistema sem confirmar diretórios de inclusão, métodos de autenticação e regras do provedor.

4. Atualize o sistema com uma política conhecida

Em Ubuntu, sudo apt update && sudo apt upgrade é o caminho comum para atualizar índices e pacotes manualmente. Leia as alterações apresentadas antes de confirmar, principalmente num servidor que já atende usuários.

Ubuntu inclui unattended-upgrades por padrão em versões suportadas há vários anos, mas a configuração pode ter sido alterada. Confira se o serviço está instalado, quais origens de pacotes estão autorizadas e os registros das execuções. Atualizações automáticas ajudam a aplicar correções, mas ainda exigem acompanhamento, planejamento de reinicializações e uma forma de restaurar a aplicação.

Para outra distribuição Linux, use o gerenciador e a política de atualização documentados pelo fornecedor; os comandos do Ubuntu não se aplicam automaticamente.

5. Configure o firewall sem cortar sua própria conexão

No Ubuntu Server, UFW é uma interface simples para regras de firewall e vem desativada inicialmente. Antes de habilitá-la, permita a porta SSH que o seu servidor realmente utiliza. O perfil OpenSSH só serve quando existe e corresponde à configuração; uma porta personalizada pode precisar de uma regra própria.

Comece consultando o estado e os perfis disponíveis:

sudo ufw status verbose
sudo ufw app list

Depois de identificar a porta SSH real, autorize essa porta conforme a documentação UFW. Libere HTTP e HTTPS apenas se o VPS for servir um site. Um perfil chamado OpenSSH pode não existir ou não corresponder a uma porta personalizada. Antes de habilitar o firewall, valide as regras, mantenha a sessão atual aberta e teste uma segunda conexão. O provedor também pode ter um firewall de rede separado; ele precisa permitir o tráfego necessário.

6. Reduza o que fica exposto

• Crie contas de trabalho com privilégios mínimos e use sudo para administração.

• Remova serviços que não são necessários e faça inventário das portas em escuta.

• Restrinja acesso a painéis e serviços administrativos; não os abra ao mundo sem necessidade.

• Acompanhe logs de autenticação, do firewall e dos serviços web.

• Faça backup e confirme que consegue restaurar antes de guardar dados importantes.

• Atualize aplicações e extensões além do sistema operacional.

Firewall ligado não torna um VPS automaticamente seguro. Serviço vulnerável, senha reutilizada, segredo exposto e backup impossível de restaurar continuam sendo riscos. Quando for hospedar páginas estáticas, siga também o guia de NGINX no Linux para publicar um site, agendado para o dia anterior.

Perguntas frequentes

Posso desativar a senha SSH logo depois de criar a chave?

Só depois de testar a chave numa nova sessão, verificar a conta administrativa e confirmar a recuperação pelo provedor. Mantenha uma sessão ativa durante a alteração.

Ativar UFW basta para proteger um servidor?

Não. Firewall é uma camada; atualizações, controle de acesso, serviços expostos, logs e restauração também importam.

Todo VPS Ubuntu já instala atualizações sozinho?

Ubuntu documenta unattended-upgrades como padrão em instalações suportadas, mas configuração e execução podem variar. Confira o estado e os logs do seu sistema em vez de assumir que está ativo.