FAQ Plesk: Seguridad y configuración

Introducción: La seguridad de tu sitio empieza por el panel

Si estás leyendo esto, probablemente ya sabes que Plesk es una herramienta fantástica para gestionar tu hosting. Pero como todo cargamento valioso, necesita su capa de protección. La seguridad en Plesk no es complicada, pero hay conceptos que conviene aclarar para evitar dolores de cabeza.

Aquí hemos reunido las preguntas más frecuentes sobre Plesk seguridad, para que puedas navegar con confianza y mantener tu web a salvo. Vamos a resolver tus dudas una por una, como si estuviéramos tomando un café y revisando tu panel juntos.

Preguntas frecuentes sobre seguridad general en Plesk

¿Es seguro Plesk por defecto?

Sí, Plesk viene con una configuración de seguridad bastante sólida desde el primer momento. Sin embargo, "seguro por defecto" no significa "invulnerable". Plesk aplica actualizaciones de seguridad periódicas, pero tú también puedes (y debes) tomar medidas adicionales.

Lo que Plesk hace por ti automáticamente:

Actualizaciones del propio panel.
Firewall básico (Fail2ban integrado).
Protección contra ataques de fuerza bruta.
Gestión de certificados SSL.

Lo que tú puedes hacer para mejorar:

Cambiar contraseñas periódicamente.
Activar la autenticación en dos pasos (2FA).
Revisar los logs de acceso.

[TIP] No te confíes solo de la configuración inicial. Dedica 10 minutos al mes a revisar las opciones de seguridad de tu panel. Es tiempo bien invertido.

¿Cada cuánto debo actualizar Plesk?

Lo ideal es mantener Plesk siempre actualizado a la última versión estable. Las actualizaciones no solo traen nuevas funciones, sino parches de seguridad críticos.

Frecuencia recomendada:

Actualizaciones menores (parches de seguridad): En cuanto estén disponibles, no esperes más de 48 horas.
Actualizaciones mayores (cambios de versión): Puedes esperar una semana, pero no más. Revisa siempre las notas de la versión.

Plesk te avisará automáticamente cuando haya una actualización disponible. Si ves un aviso en el panel, no lo ignores.

¿Qué es Fail2ban y cómo lo configuro en Plesk?

Fail2ban es una herramienta que protege tu servidor contra ataques de fuerza bruta. Básicamente, cuando alguien intenta acceder con muchas contraseñas incorrectas, Fail2ban bloquea su IP temporalmente.

Cómo activarlo en Plesk:

Ve a Herramientas y ajustes > Fail2ban.
Activa el servicio si no lo está.
Revisa las "reglas" predefinidas (suelen venir bien configuradas).
Ajusta el tiempo de bloqueo (por defecto 10 minutos, puedes subirlo a 30).

[INFO] Fail2ban no afecta a usuarios legítimos. Solo bloquea IPs que muestran un comportamiento sospechoso, como múltiples intentos fallidos de login.

Preguntas sobre certificados SSL en Plesk

¿Cómo instalo un certificado SSL en Plesk?

Instalar un certificado SSL Plesk es más fácil de lo que parece. Sigue estos pasos:

Accede a Plesk con tu usuario administrador.
Ve a Herramientas y ajustes > Certificados SSL/TLS.
Haz clic en Añadir certificado SSL.
Elige entre:
- Certificado gratuito (Let's Encrypt): Ideal para la mayoría de sitios. Se renueva automáticamente.
- Certificado de pago: Si necesitas validación extendida o empresarial.
Rellena los datos del dominio (ej: tudominio.com y www.tudominio.com).
Haz clic en Instalar y selecciona el dominio al que quieres asignarlo.

¡Listo! Tu sitio ahora carga con HTTPS. Puedes comprobarlo viendo el candado verde en el navegador.

¿Let's Encrypt es seguro? ¿Se renueva solo?

Sí, Let's Encrypt es completamente seguro y está respaldado por la industria. Ofrece cifrado de nivel empresarial gratuito.

Renovación automática en Plesk:

Por defecto, Plesk renueva los certificados Let's Encrypt cada 60 días.
Puedes configurar la renovación automática desde Herramientas y ajustes > Certificados SSL/TLS > Let's Encrypt.
Asegúrate de que el dominio tenga un registro A o CNAME válido para que la renovación funcione.

[WARNING] Si cambias la IP de tu dominio o lo mueves a otro servidor, el certificado puede fallar. En ese caso, tendrás que reinstalarlo manualmente.

¿Qué hago si mi certificado SSL no se activa?

Es una de las dudas más comunes en el FAQ Plesk. Si después de instalar el certificado ves un error, prueba esto:

Verifica que el dominio apunte a tu servidor (comprueba los registros DNS).
Asegúrate de haber seleccionado el dominio correcto al instalar el certificado.
Revisa la fecha del sistema: Si el reloj del servidor está desincronizado, el certificado puede no validarse.
Borra la caché del navegador y recarga la página.
Si todo falla, desinstala el certificado y vuelve a instalarlo desde cero.

Si sigues teniendo problemas, contacta con tu proveedor de hosting. Ellos pueden verificar la configuración del servidor.

Preguntas sobre contraseñas y accesos

¿Cómo cambio la contraseña de administrador de Plesk?

Cambiar la contraseña es sencillo y muy recomendable si sospechas que alguien más la conoce.

Inicia sesión en Plesk como administrador.
Ve a Mi perfil (arriba a la derecha, junto a tu nombre).
Haz clic en Cambiar contraseña.
Introduce la contraseña actual y la nueva (debe tener al menos 8 caracteres, mayúsculas, minúsculas y números).
Guarda los cambios.

[TIP] Usa un gestor de contraseñas para generar y recordar claves seguras. No uses la misma contraseña para Plesk que para otros servicios.

¿Puedo usar autenticación en dos pasos (2FA) en Plesk?

Sí, y es una de las mejores medidas de seguridad que puedes activar. La 2FA añade una capa extra: además de tu contraseña, necesitas un código temporal que genera una app en tu móvil.

Cómo activarla:

En Mi perfil, busca la opción Autenticación en dos pasos.
Escanea el código QR con una app como Google Authenticator o Authy.
Introduce el código de verificación que te muestra la app.
¡Listo! A partir de ahora, cada vez que inicies sesión, te pedirá el código.

[INFO] Si pierdes el acceso a tu móvil, puedes usar códigos de respaldo que Plesk te proporciona al activar la 2FA. Guárdalos en un lugar seguro.

¿Cómo protejo las cuentas de usuario de mis clientes?

Si gestionas varios sitios web, cada cliente debería tener su propia cuenta de Plesk con permisos limitados.

Buenas prácticas:

No compartas la cuenta de administrador con nadie.
Crea cuentas de usuario para cada cliente desde Usuarios > Añadir usuario.
Asigna solo los permisos necesarios (por ejemplo, acceso solo a su dominio y bases de datos).
Exige contraseñas fuertes a tus clientes (mínimo 12 caracteres, mezcla de tipos).

Preguntas sobre protección contra malware y ataques

¿Plesk incluye antivirus o escáner de malware?

Plesk no trae un antivirus integrado por defecto, pero puedes instalar extensiones que lo añaden.

Opciones recomendadas:

Imunify360: Es la solución más popular. Escanea archivos, bloquea IPs maliciosas y ofrece firewall web.
BitNinja: Similar, con protección en tiempo real.
Extensiones gratuitas: Algunas como "Security Advisor" te dan recomendaciones básicas.

Desde el panel de Plesk:

Ve a Extensiones > Catálogo de extensiones.
Busca "seguridad" o "malware".
Instala la que más se adapte a tu presupuesto y necesidades.

[WARNING] Ningún escáner es 100% infalible. Complementa con buenas prácticas: actualiza siempre tus aplicaciones (WordPress, Joomla, etc.) y elimina plugins o temas que no uses.

¿Cómo protejo mi sitio contra ataques DDoS?

Plesk no tiene protección DDoS nativa, pero puedes mitigar el riesgo:

Usa un CDN como Cloudflare (gratuito) que filtra tráfico malicioso.
Configura límites de conexión desde el firewall del servidor (si tienes acceso root).
Activa Fail2ban para bloquear IPs que hagan muchas peticiones en poco tiempo.

Si tu sitio es crítico, considera contratar un servicio de protección DDoS específico con tu proveedor de hosting.

¿Qué hago si creo que mi sitio ha sido hackeado?

No entres en pánico. Sigue estos pasos:

Cambia todas las contraseñas (Plesk, FTP, bases de datos, WordPress).
Revisa los logs de acceso en Plesk (Herramientas y ajustes > Logs) para ver IPs sospechosas.
Actualiza todo (Plesk, CMS, plugins, temas).
Restaura una copia de seguridad limpia (si tienes una de antes del ataque).
Escanea con una herramienta como Imunify360 o un plugin de seguridad para tu CMS.
Contacta con tu proveedor si el daño es grave o no puedes acceder.

[INFO] La prevención es clave. Mantén copias de seguridad automáticas (Plesk las permite desde Herramientas y ajustes > Gestor de copias de seguridad).

Preguntas sobre seguridad en la configuración del servidor

¿Debo cambiar el puerto por defecto de Plesk?

El puerto por defecto de Plesk es el 8443 (para HTTPS). Cambiarlo puede reducir ataques automatizados, pero no es obligatorio.

Si decides cambiarlo:

Ve a Herramientas y ajustes > Ajustes de Plesk.
Busca "Puerto de administración".
Elige un puerto no estándar (ej: 8444, 9000, etc.).
Guarda los cambios y accede desde la nueva URL: https://tudominio.com:nuevopuerto.

[TIP] Si cambias el puerto, recuerda actualizar también las reglas del firewall de tu servidor para permitir el tráfico en ese puerto.

¿Qué es el firewall de Plesk y cómo lo configuro?

Plesk incluye un firewall básico (basado en iptables) que puedes gestionar desde el panel.

Para configurarlo:

Ve a Herramientas y ajustes > Firewall.
Actívalo si no lo está.
Puedes añadir reglas personalizadas (ej: bloquear un país entero o una IP específica).
Guarda los cambios.

[WARNING] Si bloqueas tu propia IP por error, puedes quedarte sin acceso a Plesk. Siempre ten una forma alternativa de acceso (ej: conexión SSH con tu proveedor).

¿Cómo gestiono las actualizaciones de seguridad del sistema operativo?

Plesk puede gestionar actualizaciones del sistema si está configurado para ello.

Desde Plesk:

Ve a Herramientas y ajustes > Actualizaciones y actualizaciones del sistema.
Activa las actualizaciones automáticas para parches de seguridad.
Revisa manualmente cada mes las actualizaciones pendientes.

[INFO] Si tu servidor tiene un sistema operativo como Ubuntu o CentOS, las actualizaciones del kernel también son críticas. Plesk te avisará si hay alguna disponible.

Preguntas adicionales sobre otros paneles

¿Qué diferencia hay entre Plesk y Syspanel (HestiaCP) en seguridad?

Aunque este artículo se centra en Plesk, es posible que hayas oído hablar de Syspanel (nombre comercial de HestiaCP). Ambos paneles ofrecen seguridad, pero con enfoques distintos:

Plesk: Más amigable, con muchas extensiones de seguridad integradas y actualizaciones automáticas.
Syspanel: Más ligero, ideal para servidores con pocos recursos. Su seguridad es buena, pero requiere más configuración manual.

Si usas Syspanel:

El acceso se realiza por el puerto 2106 (ej: https://tudominio.com:2106).
También incluye Fail2ban y soporte para Let's Encrypt.
Las actualizaciones son manuales, así que revisa periódicamente.

[TIP] Para usuarios sin experiencia, Plesk suele ser más fácil de mantener seguro. Syspanel es para quienes quieren más control y no les importa dedicar tiempo a la configuración.

Consejos finales para mantener tu Plesk seguro

Para terminar, aquí van unos consejos prácticos que puedes aplicar hoy mismo:

Activa la autenticación en dos pasos (2FA) para tu cuenta de administrador.
Instala un certificado SSL (gratuito con Let's Encrypt) en todos tus dominios.
Configura Fail2ban con un tiempo de bloqueo de al menos 30 minutos.
Revisa los usuarios y elimina cuentas que no uses.
Haz copias de seguridad semanales automáticas.
Mantén todo actualizado: Plesk, extensiones, CMS y plugins.

La seguridad no es un destino, sino un proceso. Con estos pasos, tu sitio estará mucho más protegido. Y recuerda, si tienes dudas, tu proveedor de hosting siempre está ahí para ayudarte.

¡Esperamos que este FAQ Plesk te haya sido útil! Si te surge alguna otra pregunta, no dudes en consultar la documentación oficial de Plesk o contactar con soporte técnico.