Túnel obligatorio

1. Cargar la sesión guardada.
2. Ir a Connection → SSH → Tunnels.
3. Source port: 3307.
4. Destination: 127.0.0.1:3306.
5. Seleccionar Local, pulsar Add y confirmar L3307 127.0.0.1:3306.
6. En Connection, configurar keepalive en 30 segundos y activar TCP keepalives.
7. Regresar a Session y guardar.

1. Abrir PuTTY y conectar.
2. Mantener PuTTY abierto.
3. Abrir SQLyog y conectar a 127.0.0.1:3307.
4. Al terminar, cerrar SQLyog y después PuTTY.

Se usa SFTP, no FTP tradicional. WinSCP o FileZilla deben configurarse explícitamente como SFTP.

• MySQL escucha únicamente en 127.0.0.1.
• La administración remota de MySQL viaja cifrada en SSH.
• root de MySQL utiliza auth_socket y no tiene acceso remoto por contraseña.
• Solo se publican 22, 80 y 443.
• Las reglas iptables son persistentes.
• SSH utiliza llaves y SFTP no requiere puertos adicionales.
• PHP se ejecuta mediante PHP-FPM.

• Asignar a cada desarrollador su propio usuario y llave.
• No abrir 3306 en Oracle Cloud ni en iptables.
• No guardar llaves, contraseñas ni .env en repositorios, tickets o este portal.
• Definir grupo y permisos antes de subir código productivo.
• Revocar llave y usuario MySQL cuando alguien deje el proyecto.

DNS identifica el servidor; Apache identifica el proyecto por ServerName; DocumentRoot limita la superficie web.

/var/www/eventos/
├── public/       # Única carpeta servida por Apache
│   ├── index.php
│   └── assets/
├── app/          # Código PHP no público
├── config/
│   └── .env      # Secretos fuera de la web
├── storage/      # Logs, cache y cargas privadas
└── vendor/       # Dependencias, si aplica

En un proyecto heredado no se moverán archivos a ciegas: primero se revisan entradas, includes, rutas relativas y directorios de cargas.

• Apache, PHP, firewall y paquetes se cambian con sudo y se documentan.
• El responsable del proyecto administra su código y VirtualHost.
• Cada proyecto tiene su base y usuario MySQL local.
• Antes del despliegue se definen propietario, grupo y directorios de escritura.
• Los administradores con sudo conservan capacidad total; los permisos reducen errores diarios.

1. Crear DNS del subdominio.
2. Crear /var/www/NOMBRE y definir public/.
3. Crear el VirtualHost.
4. Configurar propietario, grupo y permisos.
5. Crear base y usuario MySQL propios.
6. Validar Apache y logs.
7. Emitir certificado HTTPS.

En carpetas, x significa poder atravesar la ruta. Sin x, Apache no puede llegar a los archivos aunque tengan lectura.

Que una carpeta sea pública por web no significa que deba estar abierta en Unix. Apache lee porque www-data pertenece a web-eventos.

sudo groupadd -f web-eventos
sudo usermod -aG web-eventos epadilla
sudo usermod -aG web-eventos ubuntu
sudo usermod -aG web-eventos www-data

sudo install -d -o epadilla -g web-eventos -m 2750 /var/www/eventos
sudo install -d -o epadilla -g web-eventos -m 2750 /var/www/eventos/{public,app,config,vendor}
sudo install -d -o epadilla -g web-eventos -m 2770 /var/www/eventos/storage
sudo install -d -o epadilla -g web-eventos -m 2770 /var/www/eventos/storage/{logs,cache,sessions,uploads-privados}
sudo install -d -o epadilla -g web-eventos -m 2770 /var/www/eventos/public/uploads-publicos

Tras agregar usuarios al grupo, deben cerrar y abrir SSH/SFTP. Reiniciar PHP-FPM y Apache para que www-data tome el grupo.

Si el proyecto necesita escritura compartida, el pool PHP-FPM específico puede usar:

; Pool PHP-FPM específico de Eventos
umask = 0002

sudo systemctl restart php8.5-fpm
sudo systemctl reload apache2

• DocumentRoot apunta exactamente a /var/www/eventos/public.
• .env está fuera de public y conserva 0640.
• Revisar eventos-error.log y storage/logs.
• Las cargas privadas quedan en storage/uploads-privados.
• No existen SQL, ZIP, .env ni logs descargables por URL.

Para Eventos se repite como eventos → CNAME → denkenlab.com.mx. El CNAME sigue al dominio raíz si la IP cambia.

sudo a2ensite test.denkenlab.com.mx.conf
sudo apache2ctl configtest
sudo systemctl reload apache2

curl -i -H 'Host: test.denkenlab.com.mx' http://127.0.0.1/

Debe devolver HTTP/1.1 200 OK y el HTML esperado, incluso antes de la propagación DNS.

Después de que DNS resuelva, emitir certificado Let’s Encrypt y forzar redirección de HTTP a HTTPS. El puerto 443 ya está abierto; no se requiere otro puerto.

• Crear CNAME NOMBRE → denkenlab.com.mx.
• Crear /var/www/NOMBRE/public.
• Crear VirtualHost con ServerName y DocumentRoot.
• Ejecutar a2ensite, configtest y reload.
• Probar con curl y navegador.
• Definir permisos, base y usuario MySQL.
• Emitir HTTPS y validar redirección.

Crear un usuario para Willy y otro para Epadilla. Cada contraseña se revoca de forma independiente y no se comparte.

sudo apt install -y apache2-utils
sudo htpasswd -c /etc/apache2/htpasswd-denkenlab-docs willy
sudo htpasswd /etc/apache2/htpasswd-denkenlab-docs epadilla

sudo chown root:www-data /etc/apache2/htpasswd-denkenlab-docs
sudo chmod 0640 /etc/apache2/htpasswd-denkenlab-docs

Estas directivas se añaden al bloque <Directory /var/www/test/public>:

AuthType Basic
AuthName "Documentación interna denkenlab"
AuthUserFile /etc/apache2/htpasswd-denkenlab-docs
Require valid-user

La autenticación Basic es válida sobre TLS. Sin HTTPS, usuario y contraseña no quedan cifrados de forma segura.

sudo apt install -y certbot python3-certbot-apache
sudo certbot --apache -d test.denkenlab.com.mx

Después se comprueba la renovación:

sudo certbot renew --dry-run

• HTTP redirige a HTTPS.
• Sin credenciales Apache devuelve 401 Unauthorized.
• Willy y Epadilla ingresan con cuentas separadas.
• El archivo htpasswd no está bajo /var/www.
• No hay llaves, contraseñas, .env ni respaldos dentro del HTML.
• La página no se indexa como contenido público.

curl -I https://test.denkenlab.com.mx
# Esperado sin credenciales: HTTP/2 401