Llega a un servidor tras NAT o un firewall — sin puertos abiertos.

01  /  cómo funciona

El servidor marca hacia fuera. Nada marca hacia dentro.

Un túnel inverso o un puerto expuesto significa que algo en tu servidor tiene que escuchar — y eso es justo lo que NAT, CGNAT y los firewalls bloquean, y lo que los atacantes rastrean. El Connector le da la vuelta:

• ▸Solo saliente. El agente abre una conexión hacia Termalin y la mantiene viva. Nunca escucha en un puerto, así que no hay nada entrante que permitir, reenviar ni rastrear.
• ▸No ve nada. El agente transporta bytes SSH opacos entre Termalin y el propio sshd del host en localhost — nunca ve tus credenciales ni el texto plano.
• ▸Se mantiene en pie. Instalado como servicio, se reconecta solo tras un corte de red o un reinicio.

02  /  una línea para instalar

Da de alta un servidor con un solo comando.

Inicia sesión en termal.in/account, pulsa Añadir Connector para obtener un token de alta y ejecuta esto en el servidor al que quieres llegar:

curl -fsSL https://termal.in/tunnel-install.sh | sudo TERMALIN_TOKEN=<token> sh

Descarga un pequeño binario estático (Linux x86_64 o arm64), da de alta el host, instala un servicio y conecta. Volver a ejecutarlo más tarde sin un token solo actualiza el binario en su sitio. Ese es todo el montaje — sin cambios en el router, sin editar grupos de seguridad.

03  /  sin claves, por inquilino

Ninguna clave queda en el equipo.

El alta hace que el sshd del servidor confíe en la autoridad de certificación SSH de Termalin, y cada inicio de sesión usa entonces un certificado de corta duración emitido al momento — no hay ninguna clave privada de larga duración guardada en el servidor que robar. Los certificados tienen por alcance tu cuenta: a sshd se le indica que acepte solo el principal de tu inquilino, así que un certificado emitido para cualquier otro se rechaza aunque el host confíe en la CA compartida.

04  /  a qué llegas a través de él

Un terminal, archivos, bases de datos, monitorización — y agentes.

Una vez dado de alta un servidor, todo lo alojado llega a él sin claves:

• ▸Un terminal web. Abre una sesión SSH de verdad desde el navegador — móvil, tablet o una máquina que no es tuya. Mira el cliente SSH web.
• ▸Archivos por SFTP. Explora, edita y transfiere archivos (hasta 100 MB) por el mismo enlace.
• ▸Bases de datos privadas. Llega a una base de datos que solo escucha en localhost, a través del cliente de base de datos del panel web.
• ▸Agentes de IA. El endpoint MCP alojado — y los connectors de ChatGPT y claude.ai — ejecutan comandos en los servidores dados de alta sin entregar ninguna clave, y leen su monitorización y sus alertas. Cada Connector tiene su propio interruptor para mantener las apps de IA y las claves API fuera de ese servidor. Mira SSH para agentes de IA.
• ▸Monitorización y alertas. Una vez por minuto Termalin ejecuta unos pocos comandos de solo lectura por el mismo enlace y los convierte en paneles y alertas — un disco llenándose, un servicio fallido, un certificado a punto de caducar, el servidor desconectado. Nada extra que instalar; activado por defecto, con un interruptor para todos los servidores y uno por servidor. Mira la monitorización de servidores.