Cómo proteger tu sitio en PrestaShop con cPanel

Proteger tu tienda en PrestaShop es una tarea fundamental para cualquier negocio online. Un sitio vulnerable puede sufrir robos de datos, inyección de malware, pérdida de ventas y daños irreparables a tu reputación. Si tu hosting utiliza cPanel, tienes a tu disposición herramientas potentes y accesibles para blindar tu instalación de PrestaShop. Esta guía completa, pensada para SysAdmin de todos los niveles, te mostrará paso a paso cómo configurar la seguridad de tu sitio de forma efectiva y sin complicaciones.

Empecemos con lo básico: cPanel es el panel de control de hosting más popular del mundo. Te permite gestionar archivos, bases de datos, dominios y configuraciones de seguridad desde una interfaz gráfica. PrestaShop, por su parte, es uno de los CMS de comercio electrónico más utilizados. Combinar ambos requiere atención a ciertos detalles para evitar vulnerabilidades comunes.

1. Actualizaciones: El Escudo Más Importante

La regla de oro de la seguridad es mantener todo actualizado. Un software desactualizado es una puerta abierta a los atacantes.

Actualiza PrestaShop y sus Módulos

• Accede a tu panel de administración de PrestaShop.
• Ve a la sección Mejorar o Módulos y Servicios.
• Revisa si hay actualizaciones disponibles para el núcleo de PrestaShop y para cada uno de los módulos instalados.
• Aplica las actualizaciones una a una, empezando siempre por el núcleo. Lee las notas de la versión para conocer cambios importantes.

[WARNING] Antes de actualizar, siempre haz una copia de seguridad completa de tu sitio (archivos y base de datos). Una actualización fallida puede romper la tienda. cPanel tiene herramientas para esto en la sección "Backup".

Actualiza PHP y otros Componentes del Servidor

Desde cPanel, puedes gestionar la versión de PHP que usa tu sitio.

1. Busca la herramienta "Seleccionar versión de PHP" (o "MultiPHP Manager").
2. Elige la versión más reciente y estable de PHP compatible con tu PrestaShop (normalmente PHP 8.0, 8.1 o superior).
3. Asegúrate de que las extensiones necesarias estén activadas (como mysqli, curl, gd, openssl, mbstring, zip, etc.).

2. Fortalece el Acceso a tu Panel de Administración

El /admin de PrestaShop es el objetivo principal de los ataques de fuerza bruta. Protégelo.

Cambia la URL por Defecto

• Durante la instalación o mediante un módulo de seguridad, cambia el nombre de la carpeta admin por algo único y difícil de adivinar, como admin-tienda-segura-2024.
• No uses palabras comunes como "admin", "administrador", "panel", etc.

Usa Contraseñas Robusta y Autenticación en Dos Factores (2FA)

• Contraseñas: Usa contraseñas largas (mínimo 12 caracteres) con mayúsculas, minúsculas, números y símbolos. No las reutilices en otros sitios.
• 2FA: Instala un módulo de 2FA para PrestaShop (hay gratuitos y de pago). Esto añade una capa extra: incluso si alguien obtiene tu contraseña, necesitará un código temporal de tu teléfono para acceder.

Limita el Acceso por IP (Opcional pero muy recomendable)

Si siempre accedes desde la misma IP (por ejemplo, desde tu oficina), puedes restringir el acceso al directorio /admin solo a esa IP.

1. En cPanel, busca "Administrador de archivos".
2. Navega hasta la carpeta raíz de tu PrestaShop (normalmente public_html).
3. Encuentra la carpeta de administración (la que renombraste).
4. Dentro de ella, busca o crea un archivo llamado .htaccess.
5. Añade estas líneas (reemplaza 123.123.123.123 con tu IP real):

<FilesMatch ".*">
    Require ip 123.123.123.123
</FilesMatch>

[INFO] Si tu IP cambia a menudo (como en conexiones domésticas), esta opción no es práctica. En ese caso, prioriza el 2FA.

3. Protege los Archivos y Directorios Críticos

Ciertos archivos y carpetas de PrestaShop no deberían ser accesibles desde el navegador.

Bloquea el Acceso a Directorios Sensibles

Usa el archivo .htaccess en la raíz de tu PrestaShop (ya existe uno por defecto) para añadir reglas de bloqueo. Nunca edites el .htaccess original sin saber lo que haces. Es mejor añadir las reglas al final.

Ejemplo de reglas para bloquear acceso a carpetas internas:

# Bloquear acceso a carpetas internas
RedirectMatch 403 ^/(app|bin|cache|config|controllers|docs|install|mails|override|src|tests|tools|translations|var|vendor)?/

• app/, bin/, cache/, etc., son carpetas internas que no deben ser accesibles públicamente.
• install/: Después de instalar PrestaShop, elimina o renombra la carpeta install. Si alguien accede a ella, podría reinstalar tu tienda y tomar el control.

Protege el Archivo config/settings.inc.php

Este archivo contiene las credenciales de tu base de datos. Debe estar protegido.

• En el .htaccess de la raíz, añade:

<FilesMatch "config/settings.inc.php">
    Require all denied
</FilesMatch>

Deshabilita la Visualización de Directorios

Asegúrate de que la opción Options -Indexes esté presente en tu .htaccess raíz. Esto evita que los visitantes vean la lista de archivos de una carpeta si no hay un index.php dentro.

Options -Indexes

4. Configura la Seguridad desde cPanel

cPanel ofrece herramientas nativas que refuerzan la seguridad de todo tu hosting, no solo de PrestaShop.

Activa el Cortafuegos de Aplicaciones Web (WAF) de ModSecurity

ModSecurity es un firewall que analiza el tráfico entrante y bloquea ataques comunes (SQL injection, XSS, etc.).

1. En cPanel, busca "ModSecurity" o "Seguridad".
2. Actívalo (normalmente está desactivado por defecto).
3. Puedes elegir entre reglas básicas (más permisivas) o reglas más estrictas (pueden generar falsos positivos). Empieza con las básicas y ve ajustando.

Usa la Protección contra Hotlinking

El hotlinking es cuando otros sitios enlazan directamente a tus imágenes, consumiendo tu ancho de banda. Actívalo desde cPanel:

1. Busca "Hotlink Protection".
2. Actívalo y añade los dominios permitidos (tu propio dominio, subdominios, etc.).
3. Bloquea el acceso directo a tipos de archivo como .jpg, .png, .gif, .css, .js.

Configura la Protección de Directorios con Contraseña

Si tienes una carpeta con contenido sensible (por ejemplo, una carpeta de pruebas o de logs), puedes protegerla con una contraseña adicional.

1. En cPanel, busca "Protección de directorios".
2. Selecciona la carpeta que quieres proteger.
3. Dale un nombre (por ejemplo, "Área privada").
4. Crea un usuario y una contraseña. Ahora, para acceder a esa carpeta desde el navegador, se pedirá autenticación.

5. Buenas Prácticas Adicionales para tu PrestaShop

Usa un Certificado SSL (HTTPS)

Es obligatorio para cualquier tienda online. cPanel suele incluir AutoSSL o la posibilidad de instalar un certificado gratuito de Let's Encrypt.

1. En cPanel, busca "SSL/TLS" o "AutoSSL".
2. Asegúrate de que el certificado esté instalado y activo.
3. En PrestaShop, ve a Parámetros de la tienda > General y activa "Forzar SSL en todas las páginas".

Configura la Seguridad de la Base de Datos

• Usa un prefijo de tabla único durante la instalación de PrestaShop (no el predeterminado ps_). Si ya instalaste, puedes cambiarlo con un módulo o manualmente (requiere editar settings.inc.php y la base de datos).
• Crea un usuario de base de datos específico para PrestaShop con permisos mínimos (SELECT, INSERT, UPDATE, DELETE, CREATE, etc.). No uses el usuario root.

Mantén un Registro de Intentos de Acceso

Instala un módulo de seguridad que registre los intentos de inicio de sesión fallidos. Esto te ayudará a detectar ataques de fuerza bruta. Si ves muchos intentos desde una IP, puedes bloquearla desde cPanel usando "IP Blocker".

6. Copias de Seguridad: Tu Red de Seguridad

Ninguna seguridad es absoluta. Las copias de seguridad periódicas son tu último recurso.

• Desde cPanel: Ve a "Backup" o "Backup Wizard". Puedes generar una copia de seguridad completa (archivos, bases de datos, configuraciones de correo) y descargarla a tu ordenador.
• Automatiza: Configura copias de seguridad automáticas diarias o semanales. Muchos hostings ofrecen esta opción en cPanel.
• Almacena las copias fuera del servidor: No guardes las copias en el mismo hosting. Usa servicios en la nube (Google Drive, Dropbox, AWS S3) o descárgalas localmente.

[TIP] Programa las copias de seguridad en horas de bajo tráfico (por ejemplo, a las 3:00 AM) para no afectar el rendimiento de la tienda.

FAQ: Preguntas Frecuentes sobre Seguridad en PrestaShop con cPanel

P: ¿Cada cuánto debo actualizar PrestaShop?
R: Idealmente, cada vez que salga una nueva versión. Revisa el panel de administración al menos una vez a la semana. Las actualizaciones de seguridad son críticas.

P: ¿Qué hago si mi sitio ya ha sido hackeado?
R: Lo primero es aislarlo: ponlo en modo mantenimiento desde PrestaShop o bloquea el acceso temporalmente desde cPanel. Luego, restaura una copia de seguridad limpia y aplica todas las medidas de seguridad de esta guía. Si no tienes copia, contacta con un profesional.

P: ¿Es seguro usar módulos gratuitos de seguridad?
R: Sí, muchos son excelentes, pero asegúrate de descargarlos solo desde el marketplace oficial de PrestaShop o de desarrolladores de confianza. Lee reseñas y verifica que estén actualizados.

P: ¿Cómo sé si mi versión de PHP es segura?
R: Desde cPanel, en "Seleccionar versión de PHP", verás las versiones disponibles. Elige la más reciente dentro de las que soporte PrestaShop. Las versiones antiguas (como PHP 5.6) ya no reciben parches de seguridad.

P: ¿Puedo usar la misma contraseña para el FTP, la base de datos y el panel de administración?
R: Nunca. Usa contraseñas diferentes y robustas para cada servicio. Si una se ve comprometida, las demás estarán a salvo.

P: ¿Qué es el archivo .htaccess y cómo lo edito de forma segura?
R: Es un archivo de configuración del servidor Apache. Puedes editarlo desde el "Administrador de archivos" de cPanel. Siempre haz una copia de seguridad del original antes de modificarlo. Si cometes un error, puedes romper el sitio. Si no te sientes seguro, pide ayuda a tu hosting.

Conclusión Final

Proteger tu tienda PrestaShop con cPanel no es complicado si sigues una guía metódica. La clave está en la prevención: actualizaciones constantes, contraseñas fuertes, configuración del firewall, protección de archivos críticos y copias de seguridad periódicas. Como SysAdmin de tu propio negocio, dedicar tiempo a estas tareas te ahorrará dolores de cabeza y pérdidas económicas en el futuro. Empieza hoy mismo a aplicar estos pasos y duerme tranquilo sabiendo que tu tienda está bien protegida.