Como configurar acesso SSH por chave no Ubuntu VPS

--- queue_position: 19 title: "Como configurar acesso SSH por chave no Ubuntu VPS" slug: configurar-ssh-chave-ubuntu-vps site_key: host-yousecure canonical: https://yousecure.io/blog/configurar-ssh-chave-ubuntu-vps category: self-hosting cluster: seguranca-e-acesso search_intent: informacional-pratica funnel_stage: meio author: "Host You Secure Team" created_at: "2026-09-09T11:29:43-03:00" planned_scheduled_at: null status: queued-review meta_description: "Aprenda a configurar SSH por chave no Ubuntu, testar o acesso e reduzir a exposição do login por senha sem perder a recuperação." excerpt: "Um passo a passo seguro para trocar senha por chave SSH, validar a sessão e só depois endurecer o sshd." quick_answer: "Crie um par de chaves no seu computador, copie a chave pública para o usuário do VPS, abra uma segunda sessão para testar e só então desative a autenticação por senha." featured_image: images/19-ssh-key-ubuntu.png featured_image_alt: "Chave SSH conectando um terminal a um servidor virtual" tags: [ssh, ubuntu, seguranca, vps, linux] evidence_type: reproducible_procedure evidence_environment: Ubuntu Server com OpenSSH e um cliente macOS, Linux ou Windows evidence_procedure: "Gerar chave ed25519, instalar authorized_keys, testar nova sessão e revisar sshd -T." evidence_observed_result: "O procedimento permite validar a chave antes de remover o acesso por senha." evidence_limitation: "Os nomes de serviço e políticas podem variar em imagens customizadas; mantenha um console de recuperação." information_gain: "O foco é a ordem segura de validação, com uma segunda sessão aberta e rollback explícito." primary_cta: "Ver planos de VPS" landing: /hosting_vps --- # Como configurar acesso SSH por chave no Ubuntu VPS ## Resposta rápida O caminho seguro é criar uma chave **Ed25519** no computador administrador, instalar somente a chave pública no usuário do servidor, abrir uma nova sessão de teste e apenas depois alterar o `sshd`. Nunca feche a sessão original antes de confirmar que a nova autenticação funciona. ## Por que trocar senha por chave Senhas podem ser reutilizadas, expostas em gerenciadores mal configurados ou submetidas a tentativas automatizadas. A chave privada permanece no cliente e a chave pública pode ficar no servidor. Isso não elimina a necessidade de atualizações, firewall e menor privilégio, mas reduz uma superfície comum de ataque. ## 1. Gere a chave no computador administrador No macOS ou Linux: ```bash ssh-keygen -t ed25519 -C "admin-vps" ``` Aceite o caminho padrão ou informe um arquivo separado para cada ambiente. Use uma frase secreta forte. A chave privada não deve ser enviada por e-mail, commitada no Git ou copiada para o VPS. Confira os arquivos: ```bash ls -l ~/.ssh/id_ed25519 ~/.ssh/id_ed25519.pub ``` ## 2. Instale a chave pública Se `ssh-copy-id` estiver disponível: ```bash ssh-copy-id -i ~/.ssh/id_ed25519.pub usuario@IP_DO_VPS ``` Alternativamente, conecte com a senha atual e execute no servidor: ```bash mkdir -p ~/.ssh chmod 700 ~/.ssh printf '%s\n' 'COLE_AQUI_A_CHAVE_PUBLICA' >> ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys ``` Garanta que o arquivo pertença ao usuário correto: ```bash chown -R usuario:usuario ~/.ssh ``` ## 3. Teste sem encerrar a sessão original Abra outro terminal e force a chave: ```bash ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 usuario@IP_DO_VPS ``` Se falhar, veja os logs no Ubuntu: ```bash sudo journalctl -u ssh -n 80 --no-pager ``` Permissões incorretas em `~/.ssh` e `authorized_keys`, usuário errado e chave colada com quebra de linha são causas frequentes. ## 4. Endureça o servidor depois da validação Faça backup e edite uma configuração em arquivo separado: ```bash sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak sudoedit /etc/ssh/sshd_config.d/99-hardening.conf ``` Exemplo conservador: ```text PubkeyAuthentication yes PasswordAuthentication no PermitRootLogin no ``` Valide antes de recarregar: ```bash sudo sshd -t sudo systemctl reload ssh ``` Mantenha o console de recuperação do provedor disponível. Se perder todas as sessões, restaure o backup pelo console, não tente adivinhar alterações de firewall ou SSH. ## Checklist final - [ ] Chave privada protegida por frase secreta. - [ ] Chave pública instalada no usuário certo. - [ ] Nova sessão testada com `IdentitiesOnly=yes`. - [ ] `sshd -t` passou antes do reload. - [ ] Console de recuperação conhecido. Uma VPS é mais fácil de operar quando o acesso administrativo tem um procedimento repetível. [Veja os planos de VPS](https://yousecure.io/hosting_vps) e dimensione o ambiente de acordo com a aplicação, não apenas com o número de conexões SSH. ## FAQ ### Posso apagar a senha imediatamente? Não. Primeiro teste uma segunda sessão com a chave e mantenha uma forma de recuperação. Só depois desative a senha. ### Ed25519 funciona em todo cliente? Funciona nos clientes OpenSSH atuais. Em equipamentos antigos, confirme a versão antes de padronizar a política. ## Decisão operacional Para uma única VPS, uma chave por administrador e um usuário sem privilégio de root costumam ser mais fáceis de auditar do que compartilhar uma chave. Para uma equipe, registre o responsável por cada chave e remova acessos de pessoas que deixam o projeto. O arquivo `authorized_keys` aceita comentários que ajudam na identificação, mas o comentário não é uma permissão. Combine a chave com firewall, atualizações, MFA no painel do provedor e logs centralizados. O objetivo é tornar o acesso revogável e recuperável, não apenas trocar uma senha por um arquivo.

Veja a infraestrutura: VPS com monitoramento e backup semanal para colocar este projeto no ar.