SSH: cos'è e come ci si collega a un server

Cos'è, in parole semplici

SSH apre sul tuo computer una finestra che, di fatto, è l'altro computer: quello che scrivi lì dentro viene eseguito là. Tutto quello che passa è cifrato, e il nome sta per «guscio sicuro».

Serve perché le macchine che fanno un lavoro solo — un NAS, un router, un server — non hanno né schermo né tastiera. SSH è il modo standard di comandarle, ed è lo stesso su qualunque marca e qualunque sistema.

Il primo collegamento

Servono tre cose: l'indirizzo della macchina, un nome utente e la password che ti hanno dato.

1. Apri il Terminale (su Windows: cerca «Terminale» o «PowerShell») e scrivi il primo comando, mettendo il tuo nome utente e l'indirizzo giusto.
2. La prima volta ti chiede se ti fidi di quella macchina e mostra una stringa di caratteri. Rispondi yes: da quel momento il tuo computer se la ricorda, e quella domanda non si ripete più per la stessa macchina. Se un giorno, collegandoti allo stesso indirizzo, vedi scritto in maiuscolo «WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!» e la connessione si blocca, fermati: o la macchina è stata reinstallata, o qualcuno si è messo in mezzo.
3. Digita la password. Mentre scrivi non compare niente, nemmeno i pallini: è voluto, non è bloccato.
4. Sei dentro. Il prompt è cambiato e adesso mostra il nome della macchina lontana al posto del tuo: da qui in poi tutto quello che scrivi succede là.
5. Per uscire si scrive exit, oppure si chiude la finestra.

La modifica che conta: via la password

Questa è la parte che vale l'articolo. Una macchina raggiungibile da internet con SSH e una password riceve migliaia di tentativi al giorno da programmi automatici che provano combinazioni comuni. Non è mirato a te: è un setaccio che passa su tutti gli indirizzi del mondo.

Le chiavi risolvono il problema alla radice. Si generano due file: uno resta sul tuo computer (privato, non si dà a nessuno) e uno si mette sulla macchina (pubblico). Da quel momento entri senza digitare niente, e chi non ha il primo file non entra — provare a indovinare non ha senso, perché non c'è niente da indovinare.

1. Il primo comando ti chiede dove salvare (premi Invio, va bene così) e una frase di protezione. Mettila: protegge il file privato se ti rubano il computer. Su Linux col portachiavi del desktop e su Mac si digita una volta sola per sessione; su Windows e su un Mac senza portachiavi acceso te la richiede a ogni collegamento, ed è normale.
2. Il secondo comando chiede la password un'ultima volta e copia la chiave pubblica al posto giusto.
3. Dal terzo in poi non chiede più la password della macchina — se hai messo una frase di protezione sulla chiave, quella può ancora chiedertela, ma è un'altra cosa. Se funziona, sei pronto per il passo successivo.
4. Adesso spegni l'accesso con la password sulla macchina. È il momento in cui il miglioramento diventa reale: finché la password funziona ancora, i tentativi automatici continuano ad avere un bersaglio.
5. Prima di spegnerla, lascia aperta una seconda finestra già collegata. È la rete di sicurezza: se sbagli qualcosa, da lì rimedi invece di restare fuori dalla tua macchina.

Il resto da fare il primo giorno

Se la macchina è raggiungibile da internet — una VPS, per esempio — queste si fanno il primo giorno.

1. 1

   Raspberry Pi 5 8 GB, kit con NVMe per fare pratica

   

   264,99 € prezzo del 24 ottobre 2026

   Per chi: Chi vuole imparare senza rischiare niente

   Il modo migliore per imparare SSH è avere una macchina su cui non si rompe niente di importante. Un computerino da mettere in un angolo, sempre acceso, su cui provare — e che poi resta utile per davvero: blocco della pubblicità per tutta la casa, copie di sicurezza, piccoli servizi.

   • Si impara su una macchina propria, non su quella che serve
   • Consuma pochissimo, può stare acceso sempre
   • Quello che impari qui vale identico su una VPS
   • Se lo esponi verso internet va aggiornato
   • Serve un minimo di pazienza la prima sera
   Vedi i kit Raspberry Pi su amazon.it

I prezzi e la disponibilità dei prodotti sono accurati alla data indicata e sono soggetti a modifica. Qualsiasi informazione di prezzo o disponibilità visualizzata su Amazon.it al momento dell’acquisto sarà applicata all’acquisto. Apri il collegamento e guarda il prezzo di oggi: su Amazon cambia spesso, e capita che lo stesso prodotto sia in offerta a meno. I bottoni Amazon sono collegamenti affiliati: se compri, a te non costa niente in più e a me resta una piccola commissione.

1. Niente accesso diretto come amministratore. Se sei entrato come root (succede spesso su una VPS appena creata), prima di andare avanti crea un utente normale col comando 0 qui sopra e prova a collegarti con quello, in una finestra nuova, prima di disattivare l'accesso di root più sotto: se salti questo passo e poi spegni PermitRootLogin, resti chiuso fuori dalla tua macchina. Da qui in poi si usa sudo quando serve: così un errore non cancella mezza macchina, e i tentativi automatici cercano quasi sempre l'utente amministratore.
2. Metti il blocco dei tentativi. Dopo qualche errore l'indirizzo viene messo in castigo per un po'. Costa un comando — tranne su Debian 12, dove il pacchetto si installa ma non parte (i suoi registri non stanno più nel file che fail2ban cerca di default): serve anche il secondo comando qui sopra. Su Debian 13 e Ubuntu non serve.
3. Accendi gli aggiornamenti automatici di sicurezza. Una macchina esposta e non aggiornata è il problema, non l'obiettivo di qualcuno in particolare. Installarli non basta: su Debian vanno accesi con il secondo comando, se no il pacchetto c'è e non fa niente — e tu credi di ricevere le patch.
4. Spegni la password, ma nel file giusto. È il passaggio in cui sbagliano quasi tutti, e sbagliando non te ne accorgi: le immagini dei fornitori di VPS mettono un file 50-cloud-init.conf che riaccende la password, SSH tiene il primo valore che incontra e legge quella cartella in ordine alfabetico. Chi modifica solo sshd_config, o scrive un file 99-, resta con la password attiva credendo di essersela tolta. Per questo il file qui sopra si chiama 10-: viene letto prima. Il passo 2 non si salta — se risponde yes, guarda con ls /etc/ssh/sshd_config.d/ e scegli un numero più basso di tutti.
5. Chiudi tutto tranne quello che serve. Il muro di difesa apre SSH e le porte del sito, e basta.
6. Cambiare la porta di SSH non è sicurezza, è ordine: toglie il rumore dei tentativi automatici dai registri, ma chi guarda davvero la trova lo stesso. Fallo pure, ma non al posto delle chiavi — e attenzione all'ordine: ufw allow OpenSSH apre solo la 22. Se hai spostato SSH sulla 2222 e poi accendi il firewall come scritto qui, ti chiudi fuori dalla tua macchina e rientri solo dalla console di emergenza del fornitore. Se cambi porta, apri quella (sudo ufw allow 2222/tcp) prima di accendere il firewall.