SSH: cos'è e come ci si collega a un server

Cos'è, in parole semplici

SSH apre sul tuo computer una finestra che, di fatto, è l'altro computer: quello che scrivi lì dentro viene eseguito là. Tutto quello che passa è cifrato, e il nome sta per «guscio sicuro».

Serve perché le macchine che fanno un lavoro solo — un NAS, un router, un server — non hanno né schermo né tastiera. SSH è il modo standard di comandarle, ed è lo stesso su qualunque marca e qualunque sistema.

Il primo collegamento

Servono tre cose: l'indirizzo della macchina, un nome utente e la password che ti hanno dato.

1. Apri il Terminale (su Windows: cerca «Terminale» o «PowerShell») e scrivi il primo comando, mettendo il tuo nome utente e l'indirizzo giusto.
2. La prima volta ti chiede se ti fidi di quella macchina e mostra una stringa di caratteri. Rispondi yes: da quel momento il tuo computer se la ricorda. Se quella domanda ricompare in futuro senza motivo, fermati: o la macchina è stata reinstallata, o qualcuno si è messo in mezzo.
3. Digita la password. Mentre scrivi non compare niente, nemmeno i pallini: è voluto, non è bloccato.
4. Sei dentro. Il segno che cambia in fondo alla riga è il nome della macchina lontana: da qui in poi tutto quello che scrivi succede là.
5. Per uscire si scrive exit, oppure si chiude la finestra.

La modifica che conta: via la password

Questa è la parte che vale l'articolo. Una macchina raggiungibile da internet con SSH e una password riceve migliaia di tentativi al giorno da programmi automatici che provano combinazioni comuni. Non è mirato a te: è un setaccio che passa su tutti gli indirizzi del mondo.

Le chiavi risolvono il problema alla radice. Si generano due file: uno resta sul tuo computer (privato, non si dà a nessuno) e uno si mette sulla macchina (pubblico). Da quel momento entri senza digitare niente, e chi non ha il primo file non entra — provare a indovinare non ha senso, perché non c'è niente da indovinare.

1. Il primo comando ti chiede dove salvare (premi Invio, va bene così) e una frase di protezione. Mettila: protegge il file privato se ti rubano il computer, e si digita una volta sola per sessione.
2. Il secondo comando chiede la password un'ultima volta e copia la chiave pubblica al posto giusto.
3. Dal terzo in poi entri e basta. Se funziona, sei pronto per il passo successivo.
4. Adesso spegni l'accesso con la password sulla macchina. È il momento in cui il miglioramento diventa reale: finché la password funziona ancora, i tentativi automatici continuano ad avere un bersaglio.
5. Prima di spegnerla, lascia aperta una seconda finestra già collegata. È la rete di sicurezza: se sbagli qualcosa, da lì rimedi invece di restare fuori dalla tua macchina.

Le altre quattro cose da fare subito

Se la macchina è raggiungibile da internet — una VPS, per esempio — queste quattro si fanno il primo giorno.

1. 1

   Un mini computer per fare pratica

   

   259,99 € prezzo del 20 settembre 2026

   Per chi: Chi vuole imparare senza rischiare niente

   Il modo migliore per imparare SSH è avere una macchina su cui non si rompe niente di importante. Un computerino da mettere in un angolo, sempre acceso, su cui provare — e che poi resta utile per davvero: blocco della pubblicità per tutta la casa, copie di sicurezza, piccoli servizi.

   • Si impara su una macchina propria, non su quella che serve
   • Consuma pochissimo, può stare acceso sempre
   • Quello che impari qui vale identico su una VPS
   • Se lo esponi verso internet va aggiornato
   • Serve un minimo di pazienza la prima sera
   Vedi i kit Raspberry Pi su amazon.it

I prezzi e la disponibilità dei prodotti sono accurati alla data indicata e sono soggetti a modifica. Qualsiasi informazione di prezzo o disponibilità visualizzata su Amazon.it al momento dell’acquisto sarà applicata all’acquisto. Apri il collegamento e guarda il prezzo di oggi: su Amazon cambia spesso, e capita che lo stesso prodotto sia in offerta a meno. I bottoni Amazon sono collegamenti affiliati: se compri, a te non costa niente in più e a me resta una piccola commissione.

1. Niente accesso diretto come amministratore. Si entra con un utente normale e si usa sudo quando serve: così un errore non cancella mezza macchina, e i tentativi automatici cercano quasi sempre l'utente amministratore.
2. Metti il blocco dei tentativi. Dopo qualche errore l'indirizzo viene messo in castigo per un po'. Costa un comando.
3. Accendi gli aggiornamenti automatici di sicurezza. Una macchina esposta e non aggiornata è il problema, non l'obiettivo di qualcuno in particolare. Installarli non basta: su Debian vanno accesi con il secondo comando, se no il pacchetto c'è e non fa niente — e tu credi di ricevere le patch.
4. Spegni la password, ma nel file giusto. È il passaggio in cui sbagliano quasi tutti, e sbagliando non te ne accorgi: le immagini dei fornitori di VPS mettono un file 50-cloud-init.conf che riaccende la password, SSH tiene il primo valore che incontra e legge quella cartella in ordine alfabetico. Chi modifica solo sshd_config, o scrive un file 99-, resta con la password attiva credendo di essersela tolta. Per questo il file qui sopra si chiama 10-: viene letto prima. Il passo 2 non si salta — se risponde yes, guarda con ls /etc/ssh/sshd_config.d/ e scegli un numero più basso di tutti.
5. Chiudi tutto tranne quello che serve. Il muro di difesa apre SSH e le porte del sito, e basta.
6. Cambiare la porta di SSH non è sicurezza, è ordine: toglie il rumore dei tentativi automatici dai registri, ma chi guarda davvero la trova lo stesso. Fallo pure, ma non al posto delle chiavi — e attenzione all'ordine: ufw allow OpenSSH apre solo la 22. Se hai spostato SSH sulla 2222 e poi accendi il firewall come scritto qui, ti chiudi fuori dalla tua macchina e rientri solo dalla console di emergenza del fornitore. Se cambi porta, apri quella (sudo ufw allow 2222/tcp) prima di accendere il firewall.