Uso de OpenBSD para hospedaje de página web

2026-02-03T00:00:00+00:00

Contexto y motivación</h2>
Decidí migrar el hospedaje de mi página web a OpenBSD como un ejercicio deliberado de control, simplicidad y seguridad.
No fue una decisión basada en rendimiento, escalabilidad comercial ni automatización extrema, sino en comprensión total del sistema.</p>
OpenBSD obliga a entender cada archivo de configuración, cada servicio activo y cada permiso. No oculta complejidad: la expone. Ese fue el motivo central de esta migración.</p>
El objetivo era claro: un servidor auditable, predecible y mínimo.</p>

Infraestructura y VM</h2>

El servidor corre en una máquina virtual alquilada (VPS) de bajo costo, suficiente para contenido estático y servicios mínimos.</p>

Características generales de la VM:</p>

1 vCPU</li>
1–2 GB de RAM</li>
Almacenamiento SSD</li>
IP pública dedicada</li>

Acceso root inicial para bootstrap</li> </ul>

El proveedor no es relevante: OpenBSD no depende de features del host. El sistema se mantiene portable y reproducible.</p>

Elección del stack</h2>

El stack fue elegido conscientemente para reducir superficie de ataque:</p>

Sistema operativo: OpenBSD</li>
Servidor web: httpd (nativo)</li>
HTTPS: acme-client (Let’s Encrypt)</li>
Generador estático: Zola</li>
Tema: Duckquill (modificado)</li>
Repositorio: Git + GitHub</li>
Acceso remoto: SSH con YubiKey (OpenPGP)</li>

Servicio oculto: Tor (mirror .onion)</li> </ul>

No hay nginx, no hay docker, no hay paneles web, no hay Node en producción. Solo binarios del sistema base y archivos de texto.</p>

Migración a OpenBSD</h2>

La migración incluyó:</p>

Instalación limpia de OpenBSD</li>
Configuración manual de red y DNS</li>
Creación explícita de usuarios</li>
Uso exclusivo de doas (sin sudo)</li>

Servicios deshabilitados por defecto</li> </ul>

Separación clara entre: sistema (/etc), contenido (/var/www), claves (/etc/ssl, /etc/acme). Nada se dejó “por default” sin entenderlo.</p>

Servidor web con httpd</h2>

El servidor web se configuró usando httpd nativo, sin módulos externos.</p>

Configuración base simplificada:</strong></p>

server "nezzontli.xyz" {
</span>    listen on * port 80
</span>    root "/htdocs"
</span>
</span>    location "/.well-known/acme-challenge/*" {
</span>        root "/acme"
</span>        request strip 2
</span>    }
</span>}
</span>
</span>server "nezzontli.xyz" {
</span>    listen on * tls port 443
</span>    root "/htdocs"
</span>
</span>    tls {
</span>        certificate "/etc/ssl/nezzontli.xyz.fullchain.pem"
</span>        key "/etc/ssl/private/nezzontli.xyz.key"
</span>    }
</span>}
</span></code></pre>
HTTPS con acme-client</h2>
OpenBSD incluye acme-client en base, lo que elimina dependencias externas.</p>
Flujo real:</strong></p>

Configurar httpd solo en HTTP</li>
Resolver DNS correctamente (A records apuntando a la VM)</li>
Ejecutar: doas acme-client -v nezzontli.xyz</code></li>
Verificar creación de certificados en /etc/ssl</li>
Habilitar TLS en httpd</li>
Reiniciar servicio</li>
</ol>
No se usan scripts externos. La renovación se maneja vía cron del sistema.</p>
Problemas encontrados (y soluciones)</h2>
1. Error 404 en ACME challenge</h3>
Causa:</strong> httpd no estaba sirviendo correctamente /var/www/acme.</p>
Solución:</strong></p>
doas</span></span> mkdir -</span>p</span> /var/www/acme</span>
</span>doas</span></span> chown -</span>R</span> web:web /var/www</span>
</span></code></pre>
2. DNS no propagado</h3>
Durante el primer intento, el dominio resolvía a múltiples IPs antiguas: dig nezzontli.xyz +short</code></p>
Solución:</strong> Esperar propagación completa y eliminar registros conflictivos.</p>
3. Confusión con DNSSEC</h3>
DNSSEC no es requisito para Let’s Encrypt HTTP-01. DNSSEC es independiente de TLS. No se activó en esta etapa.</p>
Generación del sitio con Zola</h2>
El sitio es 100% estático.</p>
Flujo básico:</strong></p>
zola</span></span> build</span>
</span>doas</span></span> rsync -</span>a</span> --</span>delete</span> public/ /var/www/htdocs/</span>
</span></code></pre>
No hay generación en runtime. No hay escritura desde el servidor web.</p>
Mirror Tor (.onion)</h2>
Se configuró un Hidden Service de Tor como mirror del sitio.</p>
/etc/tor/torrc:</strong></p>
HiddenServiceDir /var/tor/hidden_service/
</span>HiddenServicePort 80 127.0.0.1:80
</span></code></pre>
httpd escucha solo en localhost para Tor:</strong></p>
server "*" {
</span>    listen on 127.0.0.1 port 80
</span>    root "/tor"
</span>}
</span></code></pre>
Build específico para Tor:</strong></p>
zola</span></span> build --</span>base-url</span> http://<</span>onion></span>.onion</span>
</span>doas</span></span> rsync -</span>a</span> --</span>delete</span> public/ /var/www/tor/</span>
</span></code></pre>
Integración Tor Browser (Onion-Location):</strong></p>
<</span>meta</span> http-equiv</span>=</span>"</span>onion-location"</span></span></span> content</span>=</span>"</span>http://<onion>.onion"</span></span></span>></span></span>
</span></code></pre>
Automatización del despliegue</h2>
Script único para clearnet + Tor:</p>
#</span></span>!/bin/sh</span>
</span></span>set</span></span> -</span>e</span></span>
</span>
</span>ONION_URL</span>=</span>"</span>http://<onion>.onion"</span></span></span>
</span>
</span>git</span></span> pull</span>
</span>
</span>zola</span></span> build</span>
</span>doas</span></span> rsync -</span>a</span> --</span>delete</span> public/ /var/www/htdocs/</span>
</span>
</span>zola</span></span> build --</span>base-url</span> "</span>$</span>ONION_URL</span></span>"</span></span></span>
</span>doas</span></span> rsync -</span>a</span> --</span>delete</span> public/ /var/www/tor/</span>
</span></code></pre>
Instalado en: /usr/local/bin/update-site</code></p>
Control de acceso: SSH + YubiKey</h2>
Acceso remoto sin contraseñas persistentes:</p>

Clave OpenPGP en YubiKey</li>
PIN + touch físico</li>
gpg-agent como SSH agent</li>
ssh-ed25519</li>
</ul>
La clave privada nunca toca el disco.</p>
Control de versiones y firmas</h2>
Repositorio alojado en GitHub:</p>

Git puro</li>
Commits firmados</li>
Modelo de confianza por defecto</li>
Sin CI obligatorio</li>
</ul>
El servidor no compila desde hooks remotos: el despliegue es consciente y manual.</p>
Estructura del proyecto</h2>
site/
</span>├── config.toml
</span>├── content/
</span>├── templates/
</span>├── static/
</span>├── public/
</span>└── scripts/
</span></code></pre>
En servidor:</strong></p>
/var/www/
</span>├── htdocs/
</span>├── tor/
</span>└── acme/
</span></code></pre>
Qué falta por hacer</h2>
Pendientes reales:</strong></p>

Hardening adicional de httpd</li>
Documentar bootstrap completo desde cero</li>
Monitoreo mínimo (sin agentes invasivos)</li>
Publicar configs como referencia reproducible</li>
Auditoría de headers de seguridad</li>
</ul>
Idea central</h2>
Este proyecto no busca conveniencia ni velocidad de desarrollo.</p>
Busca:</strong></p>

Comprensión</li>
Control</li>
Auditabilidad</li>
Reducción de estados implícitos</li>
</ul>
OpenBSD no acelera el trabajo. Elimina errores silenciosos. Ese es el valor.</p>

Nezzontli - OpenBSD

Uso de OpenBSD para hospedaje de página web

Problemas encontrados (y soluciones)</h2>

2. DNS no propagado</h3>
Durante el primer intento, el dominio resolvía a múltiples IPs antiguas: `dig nezzontli.xyz +short</code></p>`
`Solución:</strong> Esperar propagación completa y eliminar registros conflictivos.</p>`

Idea central</h2>
Este proyecto no busca conveniencia ni velocidad de desarrollo.</p>
Busca:</strong></p>

Comprensión</li>
Control</li>
Auditabilidad</li>
Reducción de estados implícitos</li> </ul>
OpenBSD no acelera el trabajo. Elimina errores silenciosos. Ese es el valor.</p>

Nezzontli - OpenBSD

Uso de OpenBSD para hospedaje de página web

Problemas encontrados (y soluciones)</h2>

2. DNS no propagado</h3> Durante el primer intento, el dominio resolvía a múltiples IPs antiguas: dig nezzontli.xyz +short</code></p> Solución:</strong> Esperar propagación completa y eliminar registros conflictivos.</p>

Idea central</h2> Este proyecto no busca conveniencia ni velocidad de desarrollo.</p> Busca:</strong></p> Comprensión</li> Control</li> Auditabilidad</li> Reducción de estados implícitos</li> </ul> OpenBSD no acelera el trabajo. Elimina errores silenciosos. Ese es el valor.</p>

2. DNS no propagado</h3>
Durante el primer intento, el dominio resolvía a múltiples IPs antiguas: `dig nezzontli.xyz +short</code></p>`
`Solución:</strong> Esperar propagación completa y eliminar registros conflictivos.</p>`

Idea central</h2>
Este proyecto no busca conveniencia ni velocidad de desarrollo.</p>
Busca:</strong></p>

Comprensión</li>
Control</li>
Auditabilidad</li>
Reducción de estados implícitos</li> </ul>
OpenBSD no acelera el trabajo. Elimina errores silenciosos. Ese es el valor.</p>