Cómo asegurar PrestaShop contra hackeos en hosting compartido
Primeros pasos: entiende los riesgos del hosting compartido
Si tienes una tienda online con PrestaShop, probablemente hayas elegido un hosting compartido por su precio y facilidad de uso. Es una opción válida, pero debes saber que este tipo de alojamiento implica que compartes servidor con otros sitios web. Esto significa que si un vecino digital tiene un agujero de seguridad, tu tienda también puede verse afectada.
La buena noticia es que puedes aplicar una serie de medidas para proteger PrestaShop y reducir drásticamente las posibilidades de sufrir un ataque. No necesitas ser un experto en informática para hacerlo, solo seguir estos pasos con paciencia y constancia.
Piensa en tu tienda como en tu casa: no puedes evitar que el barrio tenga ciertos riesgos, pero sí puedes poner una buena cerradura, una alarma y no dejar las ventanas abiertas. Vamos a hacer exactamente eso con tu PrestaShop.
Actualiza siempre: la regla de oro para evitar hackeo PrestaShop
La primera línea de defensa contra cualquier ataque es mantener todo actualizado. Los desarrolladores de PrestaShop lanzan parches de seguridad constantemente, y cada actualización corrige vulnerabilidades que los atacantes conocen y explotan.
Actualiza el núcleo de PrestaShop
Accede a tu panel de administración y revisa si hay versiones nuevas disponibles. Si ves que hay una actualización, no la pospongas. Las versiones antiguas son el blanco favorito de los bots que escanean internet buscando tiendas vulnerables.
Actualiza módulos y plantillas
Muchos hackeos ocurren a través de módulos desactualizados. Los módulos de pago, los de envío y los que gestionan reseñas son especialmente críticos. Revisa mensualmente si tus módulos tienen actualizaciones disponibles.
Elimina lo que no uses
Si tienes módulos o plantillas que no utilizas, desinstálalos y elimínalos por completo. Cada elemento extra es una puerta de entrada potencial. Un módulo inactivo pero presente en el servidor puede ser explotado igualmente.
[WARNING] No compres módulos de terceros en sitios de dudosa reputación. Los módulos piratas suelen contener código malicioso que compromete tu tienda desde el primer momento. Siempre usa el marketplace oficial de PrestaShop o desarrolladores de confianza.
Refuerza el acceso a tu panel de administración
El panel de administración es el corazón de tu tienda. Si un atacante consigue acceder, tendrá control total. Por eso, este es uno de los puntos más importantes del hardening PrestaShop.
Cambia la URL de administración
Por defecto, PrestaShop usa /admin o una carpeta similar. Los atacantes saben esto y lanzan ataques de fuerza bruta contra esa ruta. Cambia el nombre de la carpeta de administración a algo único y difícil de adivinar, como /gestion-tienda-2024.
Usa contraseñas robustas
Puede parecer obvio, pero muchas tiendas siguen usando contraseñas débiles. Crea una contraseña con al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. Y nunca reutilices la misma contraseña para varios servicios.
Activa la autenticación en dos factores
PrestaShop permite activar la verificación en dos pasos. Esto añade una capa extra: además de la contraseña, necesitarás un código que se envía a tu teléfono. Aunque un atacante robe tu contraseña, no podrá entrar sin ese código.
Limita los intentos de acceso
Configura tu tienda para que después de varios intentos fallidos de inicio de sesión, la IP sea bloqueada temporalmente. Esto frena los ataques de fuerza bruta.
[TIP] Cambia tu contraseña de administrador cada 3-4 meses. Es un hábito sencillo que te puede ahorrar muchos problemas.
Protege los archivos del servidor con permisos correctos
Los permisos de archivos determinan quién puede leer, escribir o ejecutar cada archivo en tu hosting. Si están mal configurados, cualquier usuario del servidor podría modificar tus archivos.
Configura los permisos adecuados
Para la mayoría de archivos de PrestaShop, los permisos deben ser 644 (el propietario puede leer y escribir, los demás solo leer). Para las carpetas, deben ser 755 (el propietario puede leer, escribir y ejecutar; los demás solo leer y ejecutar).
Puedes cambiar estos permisos desde el panel de archivos de tu hosting o mediante un cliente FTP como FileZilla.
Protege los archivos de configuración
El archivo config/settings.inc.php contiene información sensible como las contraseñas de la base de datos. Asegúrate de que no sea legible desde el navegador. Puedes añadir una regla en el archivo .htaccess para bloquear el acceso directo a archivos PHP sensibles.
Desactiva la visualización de errores
En entornos de producción, los errores de PHP no deben mostrarse a los visitantes. Revelan información sobre la estructura de tu servidor que los atacantes pueden aprovechar. Configura PrestaShop para que los errores se registren en un archivo de log pero no se muestren en pantalla.
Asegura la conexión con SSL y HTTPS
Hoy en día, tener SSL no es opcional, es obligatorio. El cifrado SSL protege la información que viaja entre tu tienda y tus clientes, como datos de tarjetas de crédito o direcciones.
Activa SSL en tu hosting
La mayoría de los hosting compartidos ofrecen certificados SSL gratuitos a través de Let's Encrypt. Actívalo desde el panel de control de tu hosting.
Fuerza HTTPS en PrestaShop
Ve a PrestaShop > Parámetros avanzados > Rendimiento y activa la opción "Forzar SSL". Así, todas las páginas de tu tienda se servirán de forma segura.
Configura HSTS
HSTS (HTTP Strict Transport Security) le dice al navegador que siempre use HTTPS, incluso si el usuario escribe la dirección sin "https". Puedes añadir esta cabecera en tu archivo .htaccess.
[INFO] Si usas Syspanel (el panel de control de tu hosting, accesible a través del puerto 2106), busca la sección de SSL/TLS para activar el certificado gratuito. En la mayoría de casos, solo tienes que seleccionar tu dominio y pulsar "Activar".
Refuerza el archivo .htaccess
El archivo .htaccess es un archivo de configuración que te permite controlar cómo el servidor maneja las peticiones a tu tienda. Es una herramienta poderosa para evitar hackeo PrestaShop.
Bloquea el acceso a archivos sensibles
Añade reglas para impedir el acceso directo a archivos como .env, .git, o cualquier archivo que empiece por punto. También puedes bloquear el acceso a carpetas como /cache o /log.
Protege contra la inyección SQL
Puedes añadir reglas que filtren las peticiones que contengan patrones típicos de inyección SQL, como union select o information_schema. Esto añade una barrera extra a tu base de datos.
Activa la protección contra hotlinking
El hotlinking es cuando otros sitios usan las imágenes de tu tienda sin permiso, consumiendo tu ancho de banda. Bloquearlo es sencillo con unas pocas líneas en .htaccess.
Asegura tu base de datos
La base de datos contiene toda la información de tu tienda: productos, clientes, pedidos... Si un atacante accede a ella, el desastre es total.
Usa prefijos de tabla únicos
Durante la instalación de PrestaShop, puedes elegir un prefijo para las tablas de la base de datos. En lugar del típico ps_, usa algo como mi_tienda_. Esto dificulta que los atacantes adivinen los nombres de las tablas.
Cambia la contraseña de la base de datos
Accede a tu hosting y cambia la contraseña de la base de datos. Asegúrate de que sea larga y compleja, y actualiza el archivo config/settings.inc.php con la nueva contraseña.
Haz copias de seguridad periódicas
Esto no evita el hackeo, pero sí minimiza los daños. Si tu tienda es atacada, podrás restaurar una copia limpia. Configura copias de seguridad automáticas diarias en tu hosting o usa módulos de PrestaShop para ello.
[TIP] Guarda las copias de seguridad en un lugar externo, como Google Drive o un servidor FTP propio. Si tu hosting se ve comprometido, las copias que estén en él también podrían ser borradas o infectadas.
Vigila la actividad de tu tienda
La seguridad PrestaShop no es un trabajo de una sola vez, sino un proceso continuo. Debes estar atento a las señales de que algo va mal.
Revisa los logs de acceso
Tu hosting guarda registros de todas las peticiones a tu tienda. Revísalos periódicamente buscando actividad sospechosa, como muchos intentos de acceso fallidos o peticiones extrañas a archivos que no existen.
Monitorea los archivos modificados
PrestaShop no incluye esta función por defecto, pero puedes usar módulos de seguridad que detectan si algún archivo del núcleo ha sido modificado. Si un archivo cambia sin que tú lo hayas tocado, es una señal de alarma.
Mantente informado sobre nuevas amenazas
Sigue los blogs de seguridad y los foros de PrestaShop para conocer las últimas amenazas y las soluciones recomendadas. La comunidad es una fuente valiosa de información.
Configura un firewall de aplicación web
Un WAF (Web Application Firewall) actúa como un guardia de seguridad que filtra el tráfico antes de que llegue a tu tienda. Puede bloquear ataques conocidos antes de que causen daño.
Usa un WAF gratuito
Algunos servicios ofrecen WAF gratuitos para sitios pequeños. Cloudflare es una opción popular que además mejora la velocidad de carga de tu tienda.
Configura reglas específicas para PrestaShop
Si usas Cloudflare, puedes activar reglas predefinidas para PrestaShop que protegen contra vulnerabilidades conocidas, como las de los plugins de terceros.
Configuración del servidor y PHP
Aunque no tengas control total sobre un hosting compartido, hay algunas configuraciones que puedes ajustar desde el panel de control.
Desactiva funciones de PHP peligrosas
Desde el panel de configuración de PHP de tu hosting, puedes desactivar funciones como exec, system o shell_exec. Estas funciones permiten ejecutar comandos en el servidor y son muy utilizadas en ataques.
Limita el tiempo de ejecución de scripts
Configura un límite de tiempo de ejecución para los scripts PHP. Esto evita que un atacante pueda ejecutar procesos largos que consuman recursos del servidor.
Usa la última versión estable de PHP
Las versiones antiguas de PHP tienen vulnerabilidades conocidas. Actualiza a la última versión estable que sea compatible con tu versión de PrestaShop.
[WARNING] Antes de cambiar la versión de PHP, asegúrate de que todos tus módulos son compatibles. Puedes hacer una prueba en un entorno de desarrollo o hacer una copia de seguridad completa antes de aplicar el cambio.
Protege el acceso a tu hosting
El acceso a tu hosting es la llave maestra de todo. Si un atacante entra en tu panel de control, puede hacer lo que quiera con tu tienda.
Usa una contraseña diferente para el hosting
No uses la misma contraseña para tu hosting que para tu tienda. Si una se ve comprometida, la otra sigue segura.
Activa la verificación en dos pasos para el hosting
La mayoría de los paneles de control modernos, como Syspanel, ofrecen esta opción. Actívala para añadir una capa extra de protección a tu cuenta de hosting.
Limita el acceso por IP
Si tienes una IP fija, puedes configurar el hosting para que solo acepte conexiones desde esa IP. Esto dificulta mucho el acceso a atacantes remotos.
Plan de respuesta ante un ataque
Aunque sigas todas estas medidas, existe la posibilidad de que tu tienda sea atacada. Tener un plan de acción te ayudará a reaccionar rápido y minimizar los daños.
Detecta el ataque
Los signos más comunes son: la tienda se ralentiza, aparecen archivos extraños en el servidor, los clientes reportan comportamientos extraños, o tu dominio es marcado como peligroso por Google.
Actúa con rapidez
Cambia todas las contraseñas (hosting, base de datos, administración de PrestaShop). Desactiva la tienda temporalmente mientras investigas. Contacta con tu proveedor de hosting para que te ayuden a identificar el origen del ataque.
Restaura desde una copia limpia
Si tienes una copia de seguridad anterior al ataque, restaura la tienda desde ella. Luego aplica todas las medidas de seguridad que hemos visto para evitar que vuelva a ocurrir.
[INFO] Si tu tienda es atacada, no te sientas mal. Hasta las grandes empresas sufren ataques. Lo importante es cómo reaccionas y qué medidas tomas para que no se repita.
Preguntas frecuentes sobre seguridad en PrestaShop
¿Con qué frecuencia debo actualizar PrestaShop?
Se recomienda actualizar tan pronto como haya una nueva versión disponible. PrestaShop lanza actualizaciones menores cada pocos meses y actualizaciones mayores una o dos veces al año.
¿Los módulos gratuitos son seguros?
Los módulos gratuitos del marketplace oficial de PrestaShop pasan un proceso de revisión, pero no son infalibles. Investiga las valoraciones y el historial del desarrollador antes de instalarlos.
¿Puedo proteger PrestaShop sin conocimientos técnicos?
Sí, la mayoría de las medidas que hemos visto se pueden aplicar desde el panel de administración de PrestaShop y el panel de control de tu hosting. Si tienes dudas, siempre puedes consultar la documentación oficial o contratar a un profesional.
¿Qué hago si mi tienda ya ha sido hackeada?
Sigue el plan de respuesta que hemos descrito: cambia contraseñas, restaura una copia limpia y solicita ayuda a tu proveedor de hosting. Después, revisa todas las medidas de seguridad para identificar qué falló.
¿Es seguro usar hosting compartido para PrestaShop?
Puede ser seguro si aplicas todas estas medidas. Sin embargo, si tu tienda maneja un volumen alto de ventas o datos muy sensibles, considera migrar a un VPS o servidor dedicado a largo plazo.
Conclusión: la seguridad es un proceso continuo
Asegurar tu tienda PrestaShop en un hosting compartido no es una tarea que se hace una vez y se olvida. Es un proceso continuo que requiere atención regular. Pero no te abrumes: empieza por las medidas básicas como las actualizaciones y las contraseñas robustas, y ve añadiendo capas de protección poco a poco.
La seguridad tienda online es una inversión, no un gasto. Cada medida que implementas reduce el riesgo de perder tu negocio, tus datos y la confianza de tus clientes. Y recuerda que el hardening PrestaShop no solo protege tu tienda, sino también a tus clientes, que confían en ti para manejar su información personal y de pago.
Empieza hoy mismo con las medidas que te hemos explicado. Tu tienda te lo agradecerá, y tú dormirás más tranquilo sabiendo que has hecho todo lo posible para proteger tu negocio.
