Cómo crear tu propio servidor de Git con Linux: repositorios privados, control de acceso y copias de seguridad

Idea central: un servidor Git seguro debe resolver tres cosas: acceso privado por SSH, permisos claros por usuario o equipo, y copias de seguridad verificadas.

Requisitos recomendados

• Linux Debian, Ubuntu Server, Rocky Linux, AlmaLinux o similar.
• Git instalado.
• SSH activo y protegido.
• Usuario dedicado llamado git.
• Directorio para repositorios, por ejemplo /srv/git.
• Backups externos o en otro servidor.
• Firewall permitiendo solo los puertos necesarios.

sudo apt update
sudo apt install -y git openssh-server

sudo adduser --system --shell /usr/bin/git-shell --group --home /home/git git

sudo mkdir -p /srv/git
sudo chown git:git /srv/git
sudo chmod 750 /srv/git

sudo -u git mkdir /srv/git/proyecto.git
cd /srv/git/proyecto.git
sudo -u git git init --bare

cd mi-proyecto
git init
git add .
git commit -m "Primer commit"
git remote add origin git@servidor:/srv/git/proyecto.git
git push -u origin main

ssh-keygen -t ed25519 -C "usuario@empresa"

sudo -u git mkdir -p /home/git/.ssh
sudo chmod 700 /home/git/.ssh

sudo nano /home/git/.ssh/authorized_keys

sudo chown -R git:git /home/git/.ssh
sudo chmod 600 /home/git/.ssh/authorized_keys

Consejo: usa llaves distintas por usuario. Si una persona deja el equipo, basta con retirar su llave pública sin afectar a los demás.

which git-shell
echo "$(which git-shell)" | sudo tee -a /etc/shells
sudo chsh git -s "$(which git-shell)"

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-ed25519 AAAA... usuario@empresa

Recomendación práctica: usa Git + SSH para máxima simplicidad. Usa Gitea o Forgejo cuando necesites colaboración web, usuarios, organizaciones, revisión de cambios y administración más amigable.

1. Permite acceso solo por SSH con llaves públicas.
2. Deshabilita acceso directo de root por SSH.
3. Usa firewall y permite solo puertos necesarios.
4. Restringe el usuario git con git-shell.
5. No uses cuentas compartidas para administración.
6. Retira llaves SSH de usuarios que ya no pertenecen al proyecto.
7. Actualiza Git, OpenSSH y el sistema operativo.
8. Activa logs y revisa intentos de acceso fallidos.
9. No expongas repositorios internos innecesariamente a Internet.
10. Realiza backups y pruebas de restauración.

sudo rsync -aHAX --delete /srv/git/ /backup/git/

git clone --mirror git@servidor:/srv/git/proyecto.git proyecto.git.backup

cd proyecto.git.backup
git remote update --prune

cd /srv/git/proyecto.git
sudo -u git git bundle create /backup/proyecto-$(date +%F).bundle --all

Regla básica: si usas Gitea o Forgejo, no basta con copiar repositorios. También debes respaldar base de datos, archivos adjuntos, configuración, llaves, avatares, hooks y datos de la aplicación.

sudo -u git gitea dump -c /etc/gitea/app.ini

sudo -u git forgejo dump -c /etc/forgejo/app.ini

1. Usa nombres claros para repositorios: sistema-api.git, infra-ansible.git, documentacion-ti.git.
2. Define propietarios por repositorio.
3. No guardes contraseñas, tokens ni llaves privadas dentro del código.
4. Activa revisión de cambios si usas Gitea o Forgejo.
5. Protege ramas principales como main o stable.
6. Usa etiquetas y releases para versiones importantes.
7. Documenta cómo clonar, crear ramas, hacer merge y solicitar revisión.
8. Automatiza backups diarios y retención semanal/mensual.
9. Monitorea espacio en disco y crecimiento de repositorios.
10. Prueba restauración cada cierto tiempo.

• Usar el usuario root para alojar repositorios.
• Permitir acceso SSH con contraseña débil.
• No retirar llaves de usuarios antiguos.
• No restringir el usuario git con git-shell.
• No separar repositorios por proyecto o equipo.
• No hacer backups externos.
• Hacer backups, pero nunca probar restauración.
• Guardar secretos dentro de repositorios.
• No actualizar el sistema operativo ni Git.
• Exponer la interfaz web sin HTTPS ni controles básicos.

¿Puedo tener un servidor Git sin interfaz web?

Sí. Git por SSH funciona perfectamente para repositorios privados simples. Solo necesitas Git, SSH, repositorios bare y llaves públicas.

¿Qué es un repositorio bare?

Es un repositorio Git sin carpeta de trabajo. Está diseñado para funcionar como remoto central, recibir pushes y permitir clones.

¿Qué es mejor: Gitolite, Gitea o Forgejo?

Gitolite es ideal si quieres control de acceso avanzado sin interfaz web. Gitea y Forgejo son mejores si necesitas usuarios, organizaciones, interfaz web, issues y colaboración.

¿Un backup con rsync es suficiente?

Para Git simple puede ser suficiente si se hace correctamente y se prueba la restauración. Para Gitea o Forgejo debes incluir base de datos, configuración y archivos de la aplicación.

¿Conviene exponer el servidor Git a Internet?

Solo si es necesario. Para uso interno, es mejor acceder por VPN, red privada o túnel seguro. Si se expone, debe tener SSH protegido, HTTPS, firewall, actualizaciones y monitoreo.

• Comandos básicos que debes aprender para administrar tu servidor Linux
• Por qué los servidores usan Linux: ventajas para empresas y administradores TI
• Guía completa de redes en Linux: comandos, diagnóstico, configuración y solución de problemas
• Ciberseguridad en Linux: 50 herramientas gratuitas para proteger servidores y estaciones
• Cómo instalar Wazuh paso a paso como SIEM y XDR en Linux

Conclusión editorial

Git autoalojado en Linux combina tres ventajas poderosas: privacidad, control y reducción de dependencia externa. Pero ese control exige responsabilidad: permisos bien definidos, seguridad por SSH y una política seria de copias de seguridad. Si se implementa correctamente, puede convertirse en una pieza central para DevOps, administración TI, documentación y desarrollo empresarial.