Instalar HestiaCP en un VPS (2026): panel de hosting Ubuntu, Nginx/Apache, correo, SSL, copias de seguridad y endurecimiento de seguridad

HestiaCP es un panel de control de hosting de código abierto que permite gestionar desde un solo backend:

• Dominios web, plantillas de Nginx/Apache y múltiples versiones de PHP;
• Bases de datos MariaDB/MySQL y phpMyAdmin;
• Zonas y registros DNS;
• Exim, Dovecot, Webmail, DKIM y cuentas de correo;
• Usuarios, paquetes, cuotas, tareas programadas y copias de seguridad;
• Firewall, Fail2Ban, estado de los servicios y actualizaciones del sistema.

Es especialmente adecuado para la necesidad de "pocas personas de operaciones gestionando muchos sitios". Si solo vas a desplegar una aplicación en contenedor, Docker Compose más Caddy suele ser más transparente; si necesitas equipos multiusuario, paquetes de sitios y funciones tradicionales de hosting compartido, HestiaCP ahorra más tiempo.

Puedes leer primero la comparativa de paneles de control para VPS y luego decidir según las diferencias siguientes:

Si te importa más el hosting moderno de sitios PHP y no necesitas correo autoalojado, también puedes comparar con el tutorial de instalación de CloudPanel. No instales varios paneles de control que tomen el control de Nginx, la base de datos y el firewall en el mismo servidor.

A agosto de 2026, la última versión estable oficial de HestiaCP es 1.10.4. Es compatible oficialmente con AMD64/x86_64 y ARM64/aarch64 de 64 bits, y enumera Debian 11, 12, 13, así como Ubuntu 22.04, 24.04, 26.04 LTS.

La configuración mínima oficial es 1 núcleo, 1 GB de RAM y 10 GB de disco, pero 1 GB solo es adecuado para un entorno ligero con ClamAV y SpamAssassin desactivados. En la práctica, elige según la combinación de servicios:

Prefiere SSD/NVMe para el disco y confirma que el VPS usa KVM o virtualización con todas las funciones. El correo, las bases de datos y las copias de seguridad generan continuamente archivos pequeños y E/S aleatorias, y un disco con gran capacidad pero mal rendimiento aleatorio ralentizará las operaciones del panel.

El instalador de HestiaCP despliega y configura componentes como Nginx, Apache, PHP-FPM, MariaDB, Exim, Dovecot, BIND, Fail2Ban e iptables. Si la máquina ya tiene Baota, 1Panel, mapeos de puertos de Docker, Nginx escrito a mano o una base de datos existente, el instalador puede sobrescribir configuraciones, ocupar los mismos puertos o incluso dejar fuera de línea los sitios web existentes.

Antes de la instalación debes:

1. Usar un sistema Ubuntu 24.04 LTS de 64 bits nuevo;
2. Guardar el método de inicio de sesión por consola o VNC del VPS;
3. Registrar el punto de configuración de IPv4 pública, IPv6 y DNS inverso;
4. Preparar un nombre de host dedicado para el panel, por ejemplo panel.example.com;
5. Hacer copia de seguridad de los datos importantes en otra máquina o almacenamiento de objetos de antemano;
6. No "probar la instalación" en una máquina que aloja sitios web de producción existentes.

Las instantáneas pueden usarse para revertir toda la máquina si falla la instalación, pero no sustituyen las copias en otra máquina. Si no tienes clara la diferencia, lee primero Simulacros de copia y restauración en VPS.

El nombre de host del panel de HestiaCP debe usar un nombre de dominio completo, no el dominio raíz directamente:

panel.example.com

En tu proveedor de DNS, añade:

类型：A
名称：panel
内容：VPS 公网 IPv4
代理：关闭，仅 DNS

Si el servidor tiene IPv6 configurado correctamente, añade también AAAA; de lo contrario, no dejes registros AAAA apuntando a una dirección incorrecta. Una resolución IPv6 incorrecta puede provocar fallos intermitentes en la validación de Let's Encrypt o en el acceso al panel.

Tras iniciar sesión en el VPS, comprueba el nombre de host actual:

hostnamectl
hostname -f
getent ahosts panel.example.com

Primero cambia el nombre de host del sistema al dominio del panel:

sudo hostnamectl set-hostname panel.example.com

Comprueba /etc/hosts para asegurarte de que el nombre de host se resuelve localmente, pero no copies la IP de ejemplo tal cual:

127.0.0.1 localhost
服务器主IP panel.example.com panel

Si vas a alojar correo, configura también el PTR/DNS inverso a panel.example.com en el panel del proveedor del VPS, y haz que resuelva hacia la misma IP. Sin un PTR correcto, SPF, DKIM, DMARC y una buena reputación de IP, aunque el panel muestre un envío correcto, el correo puede acabar en spam o ser rechazado.

No abras todos los puertos a todo internet primero. Configura el firewall de la nube y el firewall de Hestia según los componentes realmente habilitados:

Los grupos de seguridad de la plataforma en la nube y el firewall del sistema son dos capas de control. Tras instalar el panel, mantén las reglas a través de la página Firewall de Hestia; la documentación oficial advierte que cuando Hestia actualiza el firewall puede borrar reglas temporales de iptables no gestionadas por Hestia.

Si el servicio funciona pero la red externa no puede acceder, comprueba capa por capa según la guía de resolución de problemas de puertos, firewall y grupos de seguridad, y no mantengas todos los firewalls desactivados durante largos periodos solo para probar.

Inicia sesión como root, o entra primero en un shell de root:

ssh root@服务器IP

Un usuario sudo normal puede ejecutar:

sudo -i

Confirma el sistema y la arquitectura:

cat /etc/os-release
uname -m
free -h
df -h /

Actualiza los paquetes base y reinicia:

apt update
apt full-upgrade -y
apt install -y ca-certificates wget curl
reboot

Tras volver a iniciar sesión, comprueba si sigue pendiente un reinicio:

uname -r
uptime

La combinación de instalación predeterminada de HestiaCP cubre web, DNS, correo, base de datos, firewall y FTP, con funciones completas pero también mayor consumo de recursos y superficie de ataque. Antes de elegir, responde tres preguntas:

1. ¿Ya se ha delegado el DNS a un proveedor externo?
2. ¿Realmente quieres enviar y recibir correo en este VPS?
3. ¿Las subidas de archivos pueden usar solo SSH/SFTP?

wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
less hst-install.sh
bash hst-install.sh

bash hst-install.sh -h

HestiaCP puede usar por defecto Nginx como proxy inverso frontal y Apache para gestionar las peticiones dinámicas del backend, o puedes desactivar Apache y usar Nginx + PHP-FPM.

No desactives Apache solo porque "Nginx es más rápido". Primero confirma si la aplicación depende de reescrituras de .htaccess, reglas de permisos de directorio o módulos de Apache. Al migrar sitios antiguos, la compatibilidad suele ser más importante que ahorrar unos cientos de MB de memoria.

Tampoco instales todas las versiones de PHP. Elige según las necesidades reales del sitio, por ejemplo 8.3 y 8.4; cuantas más versiones, más difícil es gestionar actualizaciones, consistencia de extensiones y uso de disco.

Al terminar la instalación, el terminal mostrará:

• La dirección de acceso al panel;
• El nombre de usuario del administrador;
• Una contraseña aleatoria o la contraseña que hayas establecido;
• El nombre de host y el puerto.

Guarda esta información en un gestor de contraseñas de inmediato y no hagas capturas de pantalla para enviarlas a grupos de chat. La forma de acceso predeterminada al panel es:

https://panel.example.com:8083

Si el certificado del dominio aún no se ha emitido, el navegador puede mostrar primero un certificado autofirmado. Tras confirmar que el dominio realmente resuelve a tu VPS, puedes ejecutar el comando oficial en un shell de root:

v-change-sys-hostname panel.example.com
v-add-letsencrypt-host

Verifica el panel:

curl -Ik https://panel.example.com:8083
ss -lntup
systemctl status hestia --no-pager

Completa esto inmediatamente tras el primer inicio de sesión:

1. Cambiar el administrador a una contraseña fuerte;
2. Activar la autenticación de dos factores en la configuración de la cuenta;
3. Revisar el correo del administrador y las notificaciones del sistema;
4. Desactivar la API y Web Terminal no utilizadas;
5. Restringir 8083 solo a IP de administrador o rangos de VPN;
6. Crear un usuario de gestión diaria y evitar mantener todos los sitios bajo la cuenta de máximo privilegio a largo plazo.

Primero apunta los registros A/AAAA del dominio de negocio al VPS, luego ve a la página Web en HestiaCP para añadir el dominio. Se recomienda seguir este orden:

1. Crear un usuario normal de Hestia;
2. Añadir un Web Domain con ese usuario;
3. Elegir la Web Template y la Backend Template adecuadas;
4. Activar SSL;
5. Marcar Let's Encrypt;
6. Activar la redirección forzada a HTTPS según necesidad;
7. Crear una base de datos y un usuario de base de datos separados;
8. Subir el sitio web o usar Quick Install App.

Cada sitio debe usar su propio usuario del sistema, base de datos y contraseña. No permitas que varios sitios de clientes compartan el usuario admin o la misma cuenta de base de datos, de lo contrario, si un sitio se ve comprometido, es más fácil leer lateralmente los archivos de otros sitios.

Tomando WordPress como ejemplo, tras la instalación también debes configurar actualizaciones automáticas, restringir los inicios de sesión de administrador, eliminar plugins y temas no usados, y copiar las copias de seguridad del sitio a otra máquina. Para una configuración más detallada de la capa de aplicación, puedes consultar las ideas de caché, copia y restauración del tutorial de Docker y endurecimiento de seguridad de WordPress, pero no apliques directamente la configuración de puertos de Docker de ese artículo al host de HestiaCP.

Cuando falla la solicitud del certificado del panel o del sitio web, comprueba en orden:

getent ahosts panel.example.com
curl -I http://panel.example.com
ss -lntp | grep -E ':(80|443|8083)\b'
ls -lah /var/log/hestia/

Las causas comunes incluyen:

• El registro A aún no ha surtido efecto;
• Un registro AAAA incorrecto dirige el tráfico de validación a otro host;
• El firewall de la nube no abre 80/TCP;
• El estado del proxy de Cloudflare o el modo SSL entra en conflicto con el flujo de validación;
• La configuración de Nginx/Apache no se recargó;
• Solicitudes repetidas en poco tiempo activan los límites de velocidad de Let's Encrypt.

La documentación oficial de Hestia recomienda revisar el LE-用户-域名.log correspondiente en /var/log/hestia/. Soluciona primero el DNS y la accesibilidad HTTP-01, luego vuelve a solicitar, y no hagas clic una docena de veces seguidas.

La parte difícil del correo autoalojado no es crear buzones, sino la entregabilidad, la reputación de IP, el antispam, el DNS y la operación continua. Si solo necesitas que WordPress envíe códigos de verificación, notificaciones de pedidos o restablecimientos de contraseña, usar un relay SMTP de confianza suele ser más fiable que autoalojar un servidor de correo completo.

Antes de decidir alojar correo, confirma:

• Si el VPS permite salida a 25/TCP;
• Si la IP tiene historial de spam;
• Si el proveedor puede configurar PTR;
• Si estás dispuesto a mantener SPF, DKIM, DMARC y políticas antispam;
• Si tienes copias de seguridad y monitorización separadas en otra máquina.

La documentación oficial de Hestia también señala que muchos proveedores bloquean el puerto 25 de salida por defecto; si no se puede abrir, puedes configurar un relay SMTP en Global SMTP o en la configuración del dominio de correo.

A      mail                 VPS_IP
MX     @                    mail.example.com
TXT    @                    v=spf1 a mx ip4:VPS_IP -all
TXT    _dmarc               v=DMARC1; p=quarantine; rua=mailto:[email protected]
TXT    Hestia生成的DKIM名称    Hestia生成的DKIM公钥
PTR    VPS_IP               mail.example.com

Ve a Server Settings → Firewall y elimina o restringe las reglas innecesarias:

• 8083/TCP: permitir solo la IP fija del administrador o el rango de VPN;
• 22/TCP: permitir solo orígenes de operaciones; cambiar el puerto no sustituye la autenticación por clave;
• DNS, FTP, POP3: desactivar si el servicio correspondiente no está habilitado;
• Puertos de base de datos: no abrir a internet público;
• Puertos web: abrir solo 80/443.

Ver los listeners y reglas actuales:

ss -lntup
iptables -S
fail2ban-client status

Las actualizaciones del firewall de Hestia reconstruyen las reglas. Si realmente necesitas personalización avanzada, coloca los scripts de la forma oficial en:

/usr/local/hestia/data/firewall/custom.sh

Antes de modificar, mantén abierta una sesión de consola del VPS y prueba que el script no te deje fuera de SSH. No sobrescribas repetidamente el mismo puerto con UFW, iptables manual, el firewall de la nube y las reglas del panel al mismo tiempo, o al final será muy difícil saber qué capa está en efecto.

Primero configura una clave pública SSH para el administrador diario y verifica en otra terminal que puedes iniciar sesión:

install -d -m 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Tras confirmar que el inicio de sesión con clave funciona, considera desactivar el inicio de sesión de root con contraseña. Antes de editar la configuración de SSH, mantén un método de acceso por consola:

sshd -t
systemctl reload ssh

Los usuarios de sitio no deben obtener privilegios SSH innecesarios por defecto. Cuando realmente se necesite acceso Shell, usa el mínimo privilegio y evita añadir usuarios del panel al grupo sudo o Docker. El grupo Docker está cerca de los privilegios de root y no es adecuado como herramienta de comodidad para usuarios normales de sitios web.

HestiaCP puede generar copias de seguridad por usuario; el comando habitual es:

v-backup-user 用户名
ls -lh /backup

Antes de restaurar, ensaya en un entorno de prueba:

v-restore-user 用户名 用户名.日期-时间.tar

La copia local /backup sigue estando en el mismo VPS que el sitio web. Si el disco del sistema falla, la cuenta se elimina o se pierde toda la máquina, las copias locales también pueden perderse, así que cópialas al menos a otra ubicación de almacenamiento en otra máquina.

Hestia admite oficialmente hosts de copia de seguridad FTP, SFTP y Rclone. Al usar SFTP, prefiere claves y no trates las contraseñas en texto plano como solución a largo plazo. Hestia 1.9 y posteriores también incluyen un proceso de copia incremental basado en Restic; el restic.conf generado al crear el repositorio por primera vez contiene la clave necesaria para la restauración y debe copiarse por separado de forma segura.

Completa al menos un simulacro de restauración antes de poner en producción:

1. Activar manualmente una copia de seguridad de usuario;
2. Confirmar que el objeto en otra máquina existe realmente y tiene un tamaño razonable;
3. Restaurar en un usuario de prueba o un VPS de prueba;
4. Revisar los archivos del sitio web, las bases de datos, los buzones y la configuración de DNS;
5. Registrar la duración de la restauración y los elementos faltantes.

"La tarea de copia muestra éxito" no es suficiente; solo una copia que se puede restaurar cuenta como copia válida.

El panel de control tiene capacidad administrativa cercana a root y no debe permanecer en una versión antigua durante mucho tiempo. 1.10.4 es la versión estable actual en el momento de escribir este artículo, pero seguirá cambiando; antes de operar realmente, consulta las Releases oficiales y la página de actualización del panel.

Antes de actualizar:

v-backup-user 用户名
df -h
free -h
apt update
apt list --upgradable

Luego:

1. Leer las notas de la versión entre la versión actual y la versión objetivo;
2. Guardar la configuración del panel, las copias de usuario y las copias en otra máquina;
3. Confirmar que hay suficiente espacio de disco e inodos;
4. Realizar la actualización desde la página de actualización de Hestia en horas de baja carga;
5. Tras actualizar, revisar web, base de datos, correo, certificados, tareas programadas y copias de seguridad;
6. No actualizar Ubuntu entre distribuciones directamente sin instrucciones oficiales.

Las versiones recientes incluyen varias correcciones de seguridad, lo que demuestra aún más que "el panel abre, así que no hace falta actualizar" no es una estrategia de seguridad. Tampoco actives Web Terminal y API no utilizadas, para evitar ampliar la superficie de gestión expuesta.

• Usar un sistema de 64 bits nuevo compatible oficialmente;
• panel.example.com resuelve correctamente al VPS;
• El panel tiene un certificado HTTPS válido emitido;
• La contraseña del administrador es única y la autenticación de dos factores está activada;
• 8083 y SSH están restringidos a orígenes de administrador;
• DNS, FTP, correo, API y Web Terminal no utilizados están desactivados;
• Cada sitio usa su propio usuario, base de datos y contraseña;
• Sitios web, bases de datos, buzones y certificados del panel han sido probados;
• Las copias se han copiado a otra máquina y se ha completado un simulacro de restauración;
• Se han documentado los métodos de actualización, resolución de problemas e inicio de sesión de emergencia.

El valor de HestiaCP no es "hacer clic para instalar WordPress", sino poner los múltiples sitios, usuarios, bases de datos, certificados, DNS, correo, firewall y copias de seguridad en un proceso de gestión repetible. Lo que realmente determina la estabilidad es usar un sistema limpio antes de la instalación, habilitar solo los componentes necesarios, restringir la entrada al panel, aislar los usuarios de los sitios y poner las copias en otra máquina y verificar que se pueden restaurar.

Cuando solo alojas sitios web, prefiere Ubuntu 24.04, Nginx/PHP-FPM, MariaDB y Fail2Ban, y desactiva correo, BIND, FTP, API y Web Terminal; cuando realmente necesites correo autoalojado, reserva coste operativo adicional para PTR, DNS, puertos, reputación de IP y copias en otra máquina.

• HestiaCP Getting Started y parámetros de instalación
• HestiaCP 1.10.4 Releases
• HestiaCP SSL Certificates
• HestiaCP Firewall
• HestiaCP Backup & Restore
• HestiaCP Email and mail server