Se quiere pasar de contraseña a llaves SSH en un VPS propio. ¿Qué orden reduce el riesgo de bloquear al administrador?

Conserva una sesión administrativa abierta mientras preparas el cambio y comprueba que dispones de una vía de recuperación independiente, como la consola del servidor, si el servicio la ofrece. Antes de desactivar contraseñas debes haber demostrado que puedes entrar con tu llave desde una segunda conexión.

1. Crea o utiliza una llave personal protegida y añade su clave pública a la cuenta prevista. La clave privada permanece en tu equipo. Comprueba propietario y permisos según la documentación de tu distribución. Si necesitas administrar el sistema con esa cuenta, verifica también su acceso autorizado a elevación de privilegios.

2. Abre una conexión nueva y confirma que la autenticación realmente utiliza la llave. Revisa la configuración efectiva: archivos incluidos y bloques Match pueden cambiar el comportamiento para usuarios o direcciones concretos. Guarda una copia de los archivos antes de modificarlos.

3. Configura las opciones de autenticación que correspondan a tu política. Desactivar solo PasswordAuthentication puede dejar disponible la autenticación interactiva por teclado; revisa también ese método y cualquier requisito de varios factores. Valida la sintaxis con el modo de comprobación de sshd antes de recargar el servicio, usando la ruta y el procedimiento de tu distribución.

Vuelve a conectar desde otra sesión después de aplicar el cambio y confirma que el acceso esperado funciona. No cierres la sesión inicial hasta completar esa prueba. Si falla, restaura la configuración desde la sesión conservada o la consola y revisa los registros. Cambiar el puerto no reemplaza la autenticación segura ni las actualizaciones.

Fuentes: OpenSSH: configuración · Ubuntu: servidor OpenSSH.