Guía básica de seguridad para PrestaShop (Plesk, cPanel, DirectAdmin)

¿Por qué es tan importante proteger tu tienda PrestaShop?

PrestaShop es uno de los gestores de tiendas online más populares del mundo, y precisamente por eso, es uno de los objetivos favoritos de los atacantes informáticos. Una brecha de seguridad puede significar la pérdida de datos de tus clientes, la suplantación de tu tienda, la instalación de malware o incluso el robo de información bancaria.

La buena noticia es que proteger PrestaShop no es complicado si sigues una serie de pasos básicos. Esta guía está pensada para que, tengas tu tienda en Plesk, cPanel, DirectAdmin o Syspanel, puedas blindarla sin necesidad de ser un experto en seguridad. Vamos a centrarnos en acciones prácticas, directas y muy efectivas que puedes aplicar hoy mismo.

1. La base de todo: Mantén PrestaShop y sus módulos actualizados

Parece un consejo obvio, pero es la primera línea de defensa. Los desarrolladores de PrestaShop y los creadores de módulos lanzan actualizaciones constantes para corregir vulnerabilidades conocidas. Usar una versión antigua o módulos desactualizados es como dejar la puerta de tu tienda abierta con el cartel de "no hay nadie en casa".

¿Cómo saber si tu tienda está desactualizada?

En tu panel de administración de PrestaShop, ve al apartado de Parámetros avanzados > Información. Ahí verás la versión que tienes instalada y si hay actualizaciones disponibles. También puedes consultar el panel de control de tu hosting (Plesk, cPanel, DirectAdmin o Syspanel) para ver si ofrecen un instalador de PrestaShop con la última versión.

Regla de oro para las actualizaciones

• Actualiza el núcleo de PrestaShop siempre que haya una nueva versión estable.
• Actualiza todos los módulos y plantillas que tengas instalados, incluso los que no uses. Un módulo sin actualizar es un punto de entrada para los atacantes.
• Elimina los módulos que no utilices. Cada módulo extra es una superficie de ataque adicional.

[WARNING] Antes de cualquier actualización, haz una copia de seguridad completa de tu tienda (archivos y base de datos). Esto te permitirá revertir los cambios si algo sale mal durante el proceso.

2. Cambia el directorio de administración (el famoso /admin)

Por defecto, el panel de administración de PrestaShop se encuentra en una carpeta llamada admin o admin12345 (con un número aleatorio). Sin embargo, muchos atacantes prueban rutas comunes como /admin o /administrator para intentar acceder.

Pasos para cambiar el nombre del directorio admin

1. Accede a tu panel de control de hosting (Plesk, cPanel, DirectAdmin o Syspanel).
2. Busca el Administrador de archivos o Gestor de archivos.
3. Navega hasta la carpeta raíz donde está instalado PrestaShop (normalmente httpdocs, public_html o www).
4. Localiza la carpeta que empieza por admin (por ejemplo, admin12345).
5. Renómbrala a algo único y difícil de adivinar, como mipanel-seguro-2024 o gestion-tienda-privada. Evita nombres predecibles como admin2 o administracion.
6. Importante: Después de renombrar la carpeta, la URL de acceso cambiará. Asegúrate de usar la nueva ruta en el futuro (por ejemplo, www.tutienda.com/mipanel-seguro-2024).

[TIP] Cambiar la carpeta admin no es una solución infalible, pero añade una capa extra de seguridad al ocultar la puerta principal de tu tienda.

3. Refuerza el acceso al panel de administración con contraseñas seguras

Una contraseña débil es el talón de Aquiles de cualquier sistema. Si tu contraseña de administrador es "123456" o "admin", estás invitando a los atacantes a entrar.

Consejos para crear contraseñas robustas

• Utiliza al menos 12 caracteres combinando letras mayúsculas, minúsculas, números y símbolos.
• No uses información personal como tu nombre, fecha de nacimiento o nombre de tu tienda.
• Usa un gestor de contraseñas para generar y almacenar contraseñas únicas para cada servicio.

Cómo cambiar la contraseña en PrestaShop

1. Inicia sesión en tu panel de administración.
2. Ve a Administración > Empleados.
3. Selecciona tu perfil de administrador.
4. En el campo de contraseña, introduce la nueva clave segura.
5. Guarda los cambios.

[INFO] También es recomendable crear un usuario separado para cada persona que gestione la tienda, en lugar de compartir el mismo usuario admin. Así puedes controlar quién hace qué y revocar accesos fácilmente.

4. Activa la autenticación en dos pasos (2FA) para tu PrestaShop

La autenticación en dos pasos (2FA) es una capa de seguridad adicional que requiere un segundo código (además de tu contraseña) para iniciar sesión. Este código se genera en tu teléfono móvil a través de una aplicación como Google Authenticator o Authy.

¿Por qué es tan importante el 2FA?

Si un atacante consigue tu contraseña, sin el código 2FA no podrá acceder a tu panel de administración. Es una barrera muy efectiva contra el robo de credenciales.

Cómo activar el 2FA en PrestaShop (versiones recientes)

1. Ve a Administración > Empleados.
2. Haz clic en tu perfil de administrador.
3. Busca la opción "Autenticación en dos pasos" o "2FA".
4. Actívala y sigue las instrucciones para escanear el código QR con tu aplicación de autenticación.
5. Una vez vinculado, PrestaShop te pedirá el código generado en tu móvil cada vez que inicies sesión.

[TIP] Si tu versión de PrestaShop no tiene esta opción integrada, puedes instalar un módulo de seguridad que añada 2FA. Busca en el marketplace de PrestaShop uno con buenas valoraciones.

5. Protege tu tienda online con un cortafuegos (WAF)

Un Cortafuegos de Aplicación Web (WAF) actúa como un filtro entre tu tienda y el tráfico de internet. Analiza las peticiones entrantes y bloquea las que parecen maliciosas, como intentos de inyección SQL o de explotar vulnerabilidades.

Opciones para implementar un WAF

• Módulos de seguridad de PrestaShop: Existen módulos que integran un WAF directamente en tu tienda. Son fáciles de instalar y configurar.
• Servicios de tu hosting: Algunos paneles de control (Plesk, cPanel, DirectAdmin o Syspanel) ofrecen herramientas de seguridad como ModSecurity, que puedes activar desde la configuración del dominio.
• CDN con WAF: Servicios como Cloudflare ofrecen una capa de protección gratuita que filtra el tráfico antes de que llegue a tu servidor.

[INFO] Activar un WAF es una de las mejores inversiones en seguridad tienda online que puedes hacer, ya que automatiza la detección de muchas amenazas comunes.

6. Configura correctamente los permisos de archivos y carpetas

Los archivos de tu tienda tienen permisos que controlan quién puede leerlos, escribirlos o ejecutarlos. Si estos permisos son demasiado permisivos, un atacante podría subir archivos maliciosos o modificar el código de tu tienda.

Permisos recomendados para PrestaShop

• Archivos: 644 (el propietario puede leer y escribir, el resto solo leer).
• Carpetas: 755 (el propietario puede leer, escribir y ejecutar; el resto puede leer y ejecutar).

Cómo cambiar los permisos desde tu panel de control

1. Accede al Administrador de archivos de tu hosting.
2. Selecciona todos los archivos y carpetas de la raíz de PrestaShop.
3. Busca la opción "Permisos" o "Cambiar permisos".
4. Introduce el valor 644 para archivos y 755 para carpetas.

[WARNING] Si cambias los permisos a valores más restrictivos (por ejemplo, 600 o 700), podrías romper la funcionalidad de tu tienda. Sigue siempre los valores recomendados.

7. Activa el cifrado SSL/HTTPS en tu tienda

El protocolo HTTPS cifra la comunicación entre el navegador del cliente y tu servidor. Esto es fundamental para proteger la información sensible, como datos de tarjetas de crédito o contraseñas.

Cómo activar HTTPS en PrestaShop

1. Asegúrate de tener un certificado SSL instalado en tu hosting. La mayoría de los paneles (Plesk, cPanel, DirectAdmin, Syspanel) ofrecen certificados gratuitos a través de Let's Encrypt.
2. En tu panel de administración de PrestaShop, ve a Parámetros avanzados > Rendimiento.
3. Activa la opción "Forzar SSL en todas las páginas".
4. Guarda los cambios.

[TIP] Además de seguridad, tener HTTPS mejora tu posicionamiento SEO, ya que Google lo considera un factor de ranking.

8. Realiza copias de seguridad periódicas (y pruébalas)

Una copia de seguridad es tu red de seguridad ante cualquier problema: un ataque, un error humano o un fallo del servidor. Si algo sale mal, puedes restaurar tu tienda a un estado anterior.

Frecuencia recomendada

• Tiendas pequeñas: Copia de seguridad semanal.
• Tiendas con alto volumen de pedidos: Copia de seguridad diaria.

Dónde guardar las copias

• En el mismo servidor: No es lo ideal, pero es mejor que nada.
• En un servicio de almacenamiento en la nube (Google Drive, Dropbox, Amazon S3): Es la opción más segura, ya que estás protegiendo tus datos ante un fallo total del servidor.

Cómo hacer una copia de seguridad

• Desde tu panel de control: Plesk, cPanel y DirectAdmin tienen herramientas integradas para hacer copias de seguridad completas (archivos + base de datos).
• Desde el panel de administración de PrestaShop: Ve a Parámetros avanzados > Base de datos para hacer una copia de la BD.
• Con módulos: Existen módulos que automatizan las copias de seguridad y las envían a servicios externos.

[WARNING] Una copia de seguridad que no se ha probado no sirve de nada. De vez en cuando, restaura una copia en un entorno de prueba para asegurarte de que funciona correctamente.

9. Protege el acceso a tu panel de control de hosting

Tu panel de control (Plesk, cPanel, DirectAdmin o Syspanel) es la puerta principal a todo tu servidor. Si un atacante accede a él, tiene el control total de tu tienda.

Medidas de seguridad para tu panel de hosting

• Usa una contraseña única y muy segura para tu cuenta de hosting.
• Activa el 2FA si tu proveedor de hosting lo ofrece.
• No accedas a tu panel desde redes Wi-Fi públicas sin una VPN.
• Cierra la sesión cuando termines de trabajar.

[INFO] Si tu hosting usa Syspanel, recuerda que el acceso se realiza a través del puerto 2106. Asegúrate de guardar esta información en un lugar seguro.

10. Vigila los registros de actividad de tu tienda

PrestaShop registra los intentos de inicio de sesión, los cambios en la configuración y otras actividades. Revisar estos registros periódicamente puede ayudarte a detectar comportamientos sospechosos a tiempo.

Dónde ver los registros

• En el panel de administración de PrestaShop, ve a Parámetros avanzados > Registros.
• También puedes revisar los logs del servidor desde tu panel de control (Plesk, cPanel, DirectAdmin o Syspanel).

Qué buscar en los registros

• Intentos de inicio de sesión fallidos repetidos (posible ataque de fuerza bruta).
• Accesos a horas inusuales.
• Cambios no autorizados en la configuración.

11. Preguntas frecuentes (FAQ) sobre seguridad en PrestaShop

¿Es suficiente con cambiar la contraseña del administrador?

No. Cambiar la contraseña es un buen paso, pero debes combinarlo con otras medidas como el 2FA, la actualización del sistema y la configuración de permisos.

¿El 2FA es obligatorio en PrestaShop?

No es obligatorio, pero es altamente recomendable. Es una capa de seguridad que puede salvarte de un ataque grave.

¿Qué hago si mi tienda ya ha sido hackeada?

1. Ponte en contacto con tu proveedor de hosting inmediatamente para que te ayuden a identificar el problema.
2. Cambia todas tus contraseñas (panel de control, base de datos, administración de PrestaShop).
3. Restaura una copia de seguridad limpia (anterior al ataque, si es posible).
4. Escanea tu ordenador en busca de malware.
5. Revisa todos los archivos de tu tienda en busca de código malicioso.

¿Cómo sé si mi tienda es segura?

No hay una garantía absoluta, pero si sigues todos los pasos de esta guía, habrás reducido el riesgo de manera drástica. Además, puedes usar herramientas online como Sucuri SiteCheck o Quttera para escanear tu tienda en busca de malware de forma gratuita.

¿Merece la pena pagar por un módulo de seguridad de PrestaShop?

Si tu tienda maneja un volumen de ventas considerable o datos muy sensibles, sí, merece la pena. Los módulos de pago suelen ofrecer protección más avanzada (WAF, escaneo de malware, bloqueo de IPs, etc.) y soporte técnico especializado.

Conclusión: La seguridad es un proceso continuo

Proteger tu tienda PrestaShop no es una tarea que se hace una sola vez, sino un proceso continuo. Los atacantes están siempre buscando nuevas vulnerabilidades, por lo que debes mantenerte al día con las actualizaciones y las buenas prácticas.

Empieza por los pasos más críticos: actualiza todo, cambia la carpeta admin, activa el 2FA y configura un WAF. Estos cuatro cambios ya marcarán una diferencia enorme en la seguridad de tu tienda online. Y recuerda, la inversión en seguridad es una inversión en la confianza de tus clientes y en la continuidad de tu negocio.

[TIP] Si te sientes abrumado, no dudes en contactar con el soporte de tu hosting o con un desarrollador especializado en PrestaShop. A veces, un poco de ayuda profesional puede ahorrarte muchos quebraderos de cabeza a largo plazo.