Cómo activar actualizaciones de seguridad automáticas en un VPS

Activa unattended-upgrades en Ubuntu/Debian o dnf-automatic en Rocky/AlmaLinux para que los parches de seguridad se instalen solos, y decide sobre los reinicios automáticos.

La mayoría de los servidores que asaltan no caen por algo ingenioso. Ejecutaban software con un fallo conocido y ya corregido, y nadie instaló la corrección. Las actualizaciones de seguridad automáticas cierran ese hueco sin que tengas que acordarte de entrar. Son de los cinco minutos más rentables que puedes dedicar a un servidor nuevo.

Ubuntu y Debian: unattended-upgrades

Las imágenes de Ubuntu suelen traerlo; Debian puede que no. Instálalo y actívalo:

apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades    # answer "Yes"

Eso crea /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Los dos valores 1 significan: refrescar la lista de paquetes e instalar actualizaciones de seguridad cada día.

Decide sobre los reinicios

Los parches del kernel necesitan un reinicio para surtir efecto. Para reiniciar automáticamente a una hora tranquila, edita /etc/apt/apt.conf.d/50unattended-upgrades y establece:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

El servidor solo se reinicia cuando una actualización lo requiere de verdad (cuando existe /var/run/reboot-required).

Pruébalo

unattended-upgrade --dry-run --debug

Los registros están en /var/log/unattended-upgrades/.

Rocky Linux y AlmaLinux: dnf-automatic

dnf install -y dnf-automatic

Edita /etc/dnf/automatic.conf:

[commands]
upgrade_type = security
apply_updates = yes

Activa el temporizador:

systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Para saber si hace falta reiniciar tras las actualizaciones, instala dnf-utils y ejecuta needs-restarting -r.

¿Qué política de reinicios te conviene?

Una sola aplicación que puede parpadear un minuto de noche (un bot, un servicio personal, una web pequeña): reinicios automáticos activados.
Algo que la gente usa las 24 horas, o una base de datos que prefieres reiniciar tú: reinicios desactivados, y un recordatorio para reiniciar cuando aparezca /var/run/reboot-required.

Lo que no cubre

Solo los paquetes del sistema. Tus imágenes de Docker, las dependencias de lenguajes (pip, npm) y los binarios instalados a mano no se actualizan solos: prográmalos aparte. Y las actualizaciones dentro de una versión son automáticas; pasar a una versión nueva (Ubuntu 22.04 → 24.04) sigue siendo un trabajo deliberado y manual.

Si una mala actualización llega a romper el arranque, la consola web del panel de EQVPS te deja entrar sin SSH, y Managed Backups te dan un punto de restauración anterior al cambio.

Relacionado

Preguntas frecuentes

¿Es seguro instalar actualizaciones automáticamente?

Para las actualizaciones de seguridad, sí: es lo que unattended-upgrades instala por defecto. Son correcciones pequeñas y concretas. El riesgo de una vulnerabilidad conocida y sin parchear es mucho mayor que el de que un parche de seguridad rompa algo.

¿Debe reiniciarse el servidor solo?

Los parches del kernel y de las bibliotecas básicas solo surten efecto tras reiniciar. Si tu servicio aguanta un minuto de caída a las 4 de la madrugada, activa los reinicios automáticos. Si no, déjalos desactivados y reinicia a mano cuando aparezca /var/run/reboot-required.

¿Cómo sé que las actualizaciones se han aplicado?

Revisa /var/log/unattended-upgrades/unattended-upgrades.log en Debian/Ubuntu, o 'journalctl -u dnf-automatic' en Rocky/Alma. Una prueba con 'unattended-upgrade --dry-run --debug' muestra lo que se instalaría ahora mismo.

¿Actualizará mi distribución a una versión mayor nueva?

No. unattended-upgrades y dnf-automatic solo instalan actualizaciones dentro de tu versión actual. Pasar, por ejemplo, de Ubuntu 22.04 a 24.04 es siempre un paso manual.

¿También actualiza los contenedores Docker?

No, solo los paquetes del sistema. Las imágenes de contenedores se actualizan descargando nuevas versiones y recreando los contenedores, según tu propio calendario.

Comentarios

Aún no hay comentarios. Sé el primero.