Piensa un momento en qué pasaría si mañana no pudieras entrar en una de tus máquinas. La clave SSH estaba en el portátil de alguien que ya no está. La contraseña de Administrator la cambió un técnico "temporalmente" y nadie la apuntó. Un cambio en la configuración de SSH salió mal y la puerta se cerró contigo fuera. La máquina sigue funcionando y la web sigue abierta, pero ya no mandas en ella, y en AWS no hay un "he olvidado la contraseña" ni un soporte que entre por ti.
Las salidas que quedan no son cómodas. En Linux, Lightsail te deja su consola web; en Windows, solo si nadie cambió nunca la contraseña. Cuando eso no sirve, toca parar la máquina, hacer una instantánea y levantar otra: horas de trabajo y de parada, en el peor momento, con la aplicación de un cliente dando servicio. Y si tampoco hay instantánea, se pierde todo lo que había dentro: no hay a quién llamar. La llave de repuesto de Simplio es exactamente lo que su nombre dice: una copia de la llave que dejas guardada antes de necesitarla. Se crea con un botón en la tarjeta de la máquina y, a partir de ahí, Simplio comprueba cada día que sigue abriendo. El día que te quedes fuera, desde esa misma tarjeta pones una contraseña nueva al administrador, le añades tu clave pública o lo desbloqueas. Con tu código del doble factor, en un minuto, sin parar nada.
Cómo funciona
Pulsas "Crear llave de repuesto" en la tarjeta de la máquina
En una máquina Linux, Simplio entra una sola vez con la clave temporal que da Lightsail y deja preparado el usuario
simplio-rescate. En Windows, Simplio te da un guion de PowerShell para pegar una vez por Escritorio remoto: activa el servidor OpenSSH que ya trae Windows, crea el usuario y abre el puerto 22 solo para la IP de Simplio. No se instala nada de Simplio en la máquina.El usuario queda sin contraseña utilizable y solo admite certificados de cinco minutos
simplio-rescateno tiene una contraseña que se pueda adivinar ni robar: en Linux no tiene ninguna; en Windows lleva una aleatoria de 40 caracteres que se genera, se aplica y se descarta en el mismo instante, sin guardarse ni mostrarse. La única forma de entrar es un certificado SSH firmado por Simplio, que caduca a los cinco minutos y que la máquina solo acepta si viene desde la IP del servidor de Simplio.Simplio comprueba cada día que la llave sigue abriendo
Una conexión de prueba diaria. Si alguien borra el usuario, cambia la configuración de SSH o cierra el puerto, lo ves en la tarjeta (la pastilla pasa a "Llave de repuesto perdida") y recibes un aviso, mientras todavía tienes acceso normal para rehacerla. Puedes comprobarlo a mano cuando quieras con "Comprobar ahora".
El día que te quedes fuera: "Rescatar con la llave de repuesto"
Escribes el usuario que quieres recuperar (bitnami, ubuntu, ec2-user, Administrator…) o, si no lo sabes, eliges "Ver qué usuarios hay en la máquina" y Simplio te los lista con su carpeta, si son administradores y cuándo entraron por última vez. Después eliges qué hacer:
- Ponerle una contraseña nueva. Simplio genera una, la aplica y te la muestra una sola vez. No se guarda en ningún sitio. En Linux puedes marcar que SSH admita además entrar con contraseña, porque muchas máquinas solo aceptan clave.
- Añadirle tu clave pública SSH. Pegas la pública de tu clave nueva y vuelves a entrar como siempre.
- Desbloquearlo. Para cuentas bloqueadas por intentos fallidos o caducadas.
- Consola como simplio-rescate. Para el técnico: una terminal con permisos de administrador, en el navegador, para arreglar lo que haga falta a mano.
Todo pide el código del doble factor, también si eres administrador de Simplio, y todo queda en el registro de actividad: quién, qué, cuándo y desde qué IP.
Si un día no la quieres, la quitas
"Quitar la llave de repuesto" borra el usuario, sus ficheros y las líneas de configuración que Simplio dejó. La máquina queda como antes.
Qué seguridad tiene
Sin contraseña que robar
El usuario de la llave no tiene contraseña utilizable. Aunque alguien conozca el nombre simplio-rescate, no hay nada que probar: ni fuerza bruta, ni diccionario, ni contraseña filtrada.
Certificados que caducan solos
Cada entrada usa un certificado SSH firmado por Simplio que vale cinco minutos. No hay que revocar nada ni limpiar nada después: pasado ese tiempo, deja de valer por sí solo.
Solo desde la IP de Simplio
El certificado solo lo acepta la máquina si la conexión llega desde el servidor de Simplio. Un certificado copiado o la propia autoridad de firma, fuera de ese servidor, no sirven para entrar.
La autoridad de firma, fuera de la base de datos
La clave con la que Simplio firma los certificados vive en el fichero de secretos del servidor, fuera de la base de datos y de las copias de seguridad, igual que la clave maestra que cifra el resto de secretos.
Simplio no guarda ninguna clave de tu máquina
Ni la clave SSH de Lightsail, ni la contraseña de Administrator, ni la contraseña nueva que genera: esa se muestra una vez y se olvida. Lo único que queda en Simplio es la huella del servidor SSH de la máquina, para comprobar en cada conexión que habla con la máquina correcta.
Doble factor siempre, y dos permisos distintos
Crear la llave y usarla son permisos separados: puedes dejar que un técnico la cree en todas las máquinas sin que pueda usarla, o al revés. Y cada uso exige el código del móvil, sin excepciones para administradores.
Todo en el registro de actividad
Cada creación, comprobación, rescate y borrado de la llave queda registrado con quién, qué máquina, qué acción, cuándo y desde qué IP. La contraseña nueva, no: nunca se escribe en ningún registro.
Convive con lo que ya tiene la máquina
En Linux, la llave se apoya en el mecanismo estándar de OpenSSH (certificados de usuario) sin tocar la configuración global de SSH, así que convive con la autoridad de certificados que Lightsail usa para su consola web. En Windows usa el servidor OpenSSH de Microsoft que trae el propio sistema.
Lo mismo, en AWS y en Simplio
| Por tu cuenta en AWS | En Simplio | |
|---|---|---|
| Dejar la puerta preparada | Crear una autoridad de certificados, un usuario, sudo, ficheros de principales y directivas de SSH en cada máquina, a mano; en Windows, instalar y configurar OpenSSH | Un botón en Linux; en Windows, pegar un guion una vez |
| Guardar la llave | Tú, en un gestor de contraseñas, y acordarte de dónde | En el servidor de Simplio, fuera de la base de datos; la máquina solo la acepta desde la IP de Simplio |
| Saber que sigue funcionando | Acordarte de probarla de vez en cuando | Comprobación diaria automática y aviso si deja de abrir |
| Recuperar el acceso | Firmar un certificado a mano, entrar por SSH, cambiar la contraseña o la clave con comandos | Doble factor, elegir usuario y acción, y la contraseña nueva en pantalla una sola vez |
| No saber el usuario | Entrar como sea y mirar /home o la lista de cuentas | "Ver qué usuarios hay en la máquina": lista con carpeta, administrador y último acceso |
| Si no había puerta | Linux: consola web de Lightsail. Windows: solo si nadie cambió la contraseña; si no, instantánea y máquina nueva | Igual: la llave hay que dejarla antes. Por eso Simplio te avisa si una máquina no la tiene |
| Si tampoco hay instantánea | Se pierde todo lo que había en la máquina | Instantáneas programadas cada noche, también en otra región, con aviso si fallan |
Preguntas frecuentes
¿Simplio puede entrar en mi máquina cuando quiera?
Técnicamente, la llave de repuesto es una puerta que abre Simplio. Por eso está hecha para que cada uso deje rastro y requiera a una persona: hace falta un usuario de tu cuenta con el permiso de usarla, su código del doble factor en ese momento, y todo queda en tu registro de actividad. Nadie de Simplio puede usarla sin eso, y tú puedes quitarla de cualquier máquina cuando quieras.
¿Funciona si la máquina ya usa certificados SSH para otra cosa?
Sí. En Linux la llave no toca la configuración global de SSH: se apoya en el fichero de claves autorizadas del propio usuario simplio-rescate, así que convive con la autoridad de certificados de Lightsail o con cualquier otra. En Windows, si el servidor OpenSSH ya tenía configurada otra autoridad, el guion se detiene y te lo dice para que lo revises a mano.
¿Y en Windows, qué hace falta?
Windows Server 2019 y posteriores traen el servidor OpenSSH de Microsoft como característica opcional (2025 lo trae ya instalado). El guion lo activa, crea el usuario con una contraseña aleatoria que no se guarda, deja la autoridad de Simplio en la configuración de OpenSSH y abre el puerto 22 en el cortafuegos de Windows. En el cortafuegos de Lightsail abres el 22 solo para la IP de Simplio. Para ti, el Escritorio remoto sigue igual.
¿Qué pasa si alguien borra el usuario simplio-rescate?
Quien es administrador de la máquina puede hacerlo, es inevitable. Por eso Simplio lo comprueba cada día: la tarjeta pasa a "Llave de repuesto perdida" y recibes un aviso, de modo que la rehaces mientras aún tienes acceso.
¿La contraseña nueva que genera Simplio se guarda?
No. Se genera en el momento, se aplica en la máquina y se muestra una sola vez en pantalla. No va a la base de datos, ni al registro de actividad, ni a ningún correo. Si la pierdes, pides otra.
¿Sirve para EC2?
Hoy la llave de repuesto está pensada para máquinas Lightsail, donde Simplio puede entrar la primera vez con la clave temporal que da AWS. Para EC2 el camino oficial de AWS es el procedimiento AWSSupport-ResetAccess de Systems Manager, que explicamos en las guías.
Guías relacionadas
- Lightsail Una llave de repuesto para no quedarte fuera de tu máquina
- Lightsail Has perdido la contraseña de Administrator de un Windows en AWS: qué puedes hacer
- EC2 Certificados SSH explicados desde cero: entrar sin repartir claves
- Lightsail Qué hacer si has perdido la clave SSH de tu máquina
- Lightsail Abrir una terminal de tu máquina de AWS desde el navegador, en Linux y en Windows