Seguridad PrestaShop en cPanel y Plesk | 10 consejos

Introducción: ¿Por qué es tan importante proteger tu PrestaShop?

Si tienes una tienda online con PrestaShop, ya sabes que es una plataforma potente y llena de funcionalidades. Pero también es un objetivo jugoso para los ciberdelincuentes. Un fallo de seguridad puede significar la pérdida de datos de tus clientes, la caída de tu tienda o, en el peor de los casos, que roben información de tarjetas de crédito. La buena noticia es que una gran parte de la seguridad depende de ti y de los hábitos que apliques.

Esta guía está pensada para que, sin ser un experto en informática, puedas aplicar una capa de protección sólida. Nos vamos a centrar en los dos paneles de control de hosting más comunes: cPanel y Plesk. Ambos ofrecen herramientas similares, pero con nombres o ubicaciones ligeramente diferentes. Vamos a desglosar todo lo que necesitas saber para hacer un hardening prestashop efectivo, paso a paso y sin tecnicismos innecesarios.

Piensa en esta guía como tu kit de primeros auxilios digital. No te vamos a pedir que escribas código complejo, sino que actives opciones que ya existen y que, a menudo, están desactivadas por defecto. Empecemos.

## 1. La Base de Todo: Contraseñas y Usuarios Fuertes

Antes de tocar configuraciones avanzadas, hay que asegurar la puerta de entrada. La mayoría de los ataques automatizados no son sofisticados; simplemente prueban contraseñas comunes en buscadores de administración. Un atacante no necesita ser un genio si tu contraseña es "123456".

### Contraseñas para tu Panel de Control (cPanel/Plesk)

Tu acceso al hosting es la llave maestra. Si alguien lo consigue, puede borrar tu tienda o instalar malware.

Usa un gestor de contraseñas: Herramientas como Bitwarden o 1Password generan y guardan contraseñas aleatorias y largas. No las memorices, déjalas que ellos lo hagan por ti.
Habilita la autenticación de dos factores (2FA): Tanto cPanel como Plesk ofrecen la opción de vincular tu cuenta con una app de autenticación (Google Authenticator, Authy). Esto significa que, incluso si roban tu contraseña, necesitarán un código que solo tú tienes en tu móvil. Actívalo desde el panel de usuario, es un cambio pequeño con un impacto enorme.
Cambia el nombre de usuario si es posible: En cPanel, a menudo el usuario es "root" o el prefijo de tu cuenta. En Plesk, puedes crear un usuario con permisos limitados para el día a día y reservar el principal para tareas críticas.

### Contraseñas en PrestaShop

Tu tienda tiene su propio panel de administración (/admin). La seguridad aquí es igual de crítica.

Cambia la contraseña de administrador regularmente: No esperes a que haya un problema. Establece un recordatorio cada 3 o 6 meses.
No uses el mismo correo y contraseña que en otros sitios: Si una web externa sufre una fuga, los atacantes probarán esas mismas credenciales en tu tienda (ataque de relleno de credenciales).

[TIP] Activa el 2FA en PrestaShop. Ve a "Parámetros avanzados > Administración > Seguridad" y encontrarás la opción de activarlo. Es un proceso de 5 minutos que te ahorrará muchos quebraderos de cabeza.

## 2. Mantén Todo Actualizado: La Regla de Oro

Esta es, sin lugar a dudas, la medida de seguridad más efectiva y la que más se descuida. Los desarrolladores de PrestaShop lanzan parches de seguridad constantemente. Cuando no actualizas, dejas agujeros conocidos que cualquiera puede explotar con herramientas gratuitas.

### Actualiza tu PrestaShop, Módulos y Plantillas

Piensa en tu tienda como un edificio. La estructura (el núcleo) es importante, pero también lo son las ventanas y las puertas (módulos y plantillas). Un módulo desactualizado es como una ventana rota.

Activa las notificaciones de actualización: En el panel de administración de PrestaShop, te avisará cuando haya una nueva versión disponible.
Actualiza primero en un entorno de pruebas: Si puedes, copia tu tienda a un subdominio o un directorio temporal y prueba la actualización ahí. Si algo falla, no afectará a tu tienda en producción.
Elimina módulos y temas que no uses: Cada elemento extra es una superficie de ataque adicional. Si no lo usas, desinstálalo y bórralo. Un módulo inactivo pero presente en el servidor puede seguir siendo vulnerable.

### Actualiza el PHP y el Sistema Operativo

El panel de control gestiona la versión de PHP que usa tu web. Una versión antigua de PHP (como 5.6 o 7.0) ya no recibe soporte de seguridad, lo que la convierte en un blanco fácil.

En cPanel: Busca la sección "Seleccionar versión de PHP" o "MultiPHP Manager". Elige la versión más reciente y estable que sea compatible con tu versión de PrestaShop (generalmente PHP 8.x).
En Plesk: Ve a "Herramientas y ajustes > Configuración de PHP". Ahí puedes cambiar la versión para tu dominio.

[WARNING] Antes de cambiar la versión de PHP, comprueba que todos tus módulos sean compatibles. Un cambio brusco puede romper alguna funcionalidad de tu tienda. Hazlo con calma y, a ser posible, fuera del horario de mayor ventas.

## 3. Protección de Archivos y Directorios Sensibles

PrestaShop tiene una estructura de archivos concreta. Algunos archivos contienen información crítica (como la configuración de la base de datos) y deben estar fuera del alcance del público. La buena noticia es que podemos usar el panel de control para protegerlos.

### Proteger el Directorio `/app/config/`

Este directorio contiene el archivo parameters.php, que guarda las credenciales de tu base de datos. Si alguien accede a él, tiene el control total de tu tienda.

En cPanel: Entra al "Administrador de archivos". Navega hasta public_html/app/config/. Haz clic derecho sobre la carpeta y selecciona "Permisos". Cambia los permisos a 750 o 700. Esto impide que otros usuarios del servidor (y el público) lean el contenido.
En Plesk: El administrador de archivos está en "Sitios web y dominios > Acceso al servidor". La ruta es similar (httpdocs/app/config/). La opción de permisos está en "Cambiar permisos" al seleccionar la carpeta.

### Bloquear el Acceso a Archivos de Log

Los archivos de log (.log) pueden revelar información interna sobre errores y rutas. No son un peligro inmediato, pero es mejor no dar pistas.

Crea un archivo llamado .htaccess dentro de la carpeta /var/logs/ con el siguiente contenido:

Deny from all

Esto le dice al servidor web que rechace cualquier intento de acceso desde el navegador a esa carpeta.

[INFO] No te asustes si no ves el archivo .htaccess. En el administrador de archivos de cPanel o Plesk, activa la opción "Mostrar archivos ocultos" (normalmente en la esquina superior derecha) para poder verlo y editarlo.

## 4. Refuerza el Acceso al Panel de Administración (`/admin`)

La URL de acceso a tu panel de administración es un secreto a voces. Por defecto, PrestaShop sugiere una URL como tutienda.com/admin. Los bots intentan acceder a esa ruta constantemente. Podemos hacer que sea mucho más difícil.

### Cambia la URL de Administración

Esta es una de las primeras cosas que debes hacer al instalar PrestaShop. Si ya lo tienes instalado, puedes cambiarlo desde el propio panel.

Ve a "Parámetros avanzados > Administración".
En la sección "Ruta de acceso a la administración", verás el campo "Ruta de administración". Cámbiala por algo único y difícil de adivinar, como mi-tienda-gestion-2024. No uses palabras comunes como "admin", "panel" o "tienda".

### Limita el Acceso por IP (Si Tu IP es Fija)

Esta es una medida avanzada pero muy eficaz. Si siempre te conectas desde la misma dirección IP (por ejemplo, la de tu oficina), puedes restringir el acceso al panel de administración solo a esa IP.

En cPanel: Usa la herramienta "Protección de directorios" o edita el archivo .htaccess dentro de tu carpeta /admin. Añade este bloque:

<Limit GET POST>
Order Deny,Allow
Deny from all
Allow from TU_IP_AQUI
</Limit>

En Plesk: La opción está en "Sitios web y dominios > Apache y nginx". En la configuración adicional de Apache, puedes añadir las mismas reglas.

[WARNING] Si tu IP no es fija (por ejemplo, si tu proveedor de internet te la cambia a menudo), NO hagas esto. Te quedarás fuera de tu panel y tendrás que pedir ayuda al soporte del hosting para revertirlo.

## 5. Asegura la Conexión: SSL y HTTPS

Hoy en día, no tener SSL es imperdonable. No solo es un factor de posicionamiento SEO, sino que cifra la comunicación entre el navegador de tu cliente y tu servidor. Sin él, cualquier dato (contraseñas, datos de tarjetas) viaja en texto plano y puede ser interceptado.

### Activa el SSL desde tu Panel de Control

La mayoría de los hostings incluyen certificados SSL gratuitos (Let's Encrypt).

En cPanel: Busca la sección "Seguridad" y haz clic en "SSL/TLS Status". Ahí verás tu dominio y un botón para "Ejecutar AutoSSL" o "Emitir certificado".
En Plesk: Ve a "Sitios web y dominios" y haz clic en "Certificados SSL/TLS". Luego, en "Añadir certificado SSL", elige "Let's Encrypt" y sigue los pasos.

### Fuerza la Redirección a HTTPS

Una vez que el certificado está activo, asegúrate de que todo el tráfico se redirija a https://.

En cPanel: Puedes usar la herramienta "Redireccionamiento de dominio" para forzar la redirección a https://.
En Plesk: En la configuración de "Hosting y DNS", hay una opción para "Redirigir HTTP a HTTPS". Márcala.

También puedes forzarlo desde PrestaShop: Ve a "Parámetros avanzados > Rendimiento" y en "Redireccionar a la URL canónica" elige "Redirigir a la URL canónica de la tienda". Esto, junto con la redirección del servidor, garantizará que no haya contenido mixto (http y https).

## 6. Copias de Seguridad: Tu Red de Seguridad

Ninguna medida de seguridad es 100% infalible. Por eso, las copias de seguridad son tu mejor amigo. Si algo sale mal, puedes restaurar tu tienda a un estado anterior, sano y funcional.

### Configura Copias de Seguridad en tu Panel

Tanto cPanel como Plesk tienen herramientas de copia de seguridad integradas.

En cPanel: Busca la sección "Archivos" y haz clic en "Copias de seguridad". Puedes generar una copia completa de tu directorio public_html y de tu base de datos MySQL.
En Plesk: Ve a "Sitios web y dominios > Copias de seguridad". Puedes programar copias automáticas diarias o semanales, dependiendo de tu plan de hosting.

### Buenas Prácticas de Copia de Seguridad

Programa copias automáticas: No confíes en tu memoria. Haz que el panel las haga por ti.
Descarga una copia a tu ordenador o a un servicio externo: Si tu servidor falla por completo, una copia guardada en el mismo servidor no te servirá de nada. Descarga una copia manual cada cierto tiempo a tu disco duro o a un servicio en la nube (Google Drive, Dropbox).
Prueba la restauración: No esperes a tener un problema para saber si tus copias funcionan. Haz una prueba de restauración en un entorno de pruebas con una copia antigua para asegurarte de que el proceso funciona.

[TIP] La frecuencia de las copias debe depender de la actividad de tu tienda. Si haces muchas ventas al día, lo ideal es una copia diaria. Si es una tienda pequeña, con una copia semanal puede ser suficiente.

## 7. Configuración Específica en PrestaShop para el Hardening

PrestaShop tiene opciones de seguridad propias que a menudo pasamos por alto. Vamos a activar las más importantes.

### Activa el Modo Mantenimiento con IP Permitida

Cuando vayas a hacer cambios importantes (actualizaciones, cambios de plantilla), activa el modo mantenimiento. Esto evitará que los clientes vean errores o una tienda a medio construir.

Ve a "Parámetros avanzados > Mantenimiento".
Activa el "Modo mantenimiento" y añade tu IP en el campo "Dirección IP autorizada". Así solo tú podrás ver la tienda mientras trabajas.

### Desactiva la Visualización de Errores

En un entorno de producción, no debes mostrar los errores de PHP a los visitantes. Pueden revelar rutas de archivos y detalles de la configuración.

Ve a "Parámetros avanzados > Rendimiento".
En la sección "Depuración", asegúrate de que "Nivel de error" esté en "No mostrar errores" o "Mostrar errores en la página" solo si estás en un entorno de desarrollo. Lo correcto es "No mostrar errores".

### Protege el Archivo de Configuración Principal (`config/settings.inc.php`)

Este es otro archivo crítico. Aunque en versiones modernas de PrestaShop está protegido, no está de más asegurarse.

En tu administrador de archivos, navega a /config/.
Busca settings.inc.php (o parameters.php en versiones nuevas).
Asegúrate de que sus permisos sean de solo lectura (por ejemplo, 444). Esto impide que cualquier script malicioso pueda modificarlo.

## 8. Medidas Adicionales: Plugins y Módulos de Seguridad

Existen módulos de seguridad en el marketplace de PrestaShop que pueden añadir una capa extra de protección. No son obligatorios, pero pueden ser muy útiles.

Firewalls de aplicación web (WAF): Módulos que filtran el tráfico malicioso antes de que llegue a tu tienda. Bloquean intentos de inyección SQL o ataques de fuerza bruta.
Anti-spam y protección de formularios: Ayudan a evitar el registro de cuentas falsas y el envío de formularios basura.
Monitorización de integridad de archivos: Te avisan si algún archivo de tu instalación ha sido modificado sin tu consentimiento, lo que suele ser señal de que ha habido una intrusión.

[INFO] Al elegir un módulo de seguridad, lee las reseñas y asegúrate de que sea de un desarrollador de confianza. Un módulo mal codificado puede ser él mismo un agujero de seguridad.

## 9. Preguntas Frecuentes (FAQ)

Para terminar, respondamos a algunas preguntas comunes que suelen tener los clientes.

### ¿Cada cuánto tiempo debo actualizar PrestaShop?

Idealmente, en cuanto salga una nueva versión. PrestaShop suele lanzar actualizaciones menores (parches de seguridad) con bastante frecuencia. Configura tu panel para que te avise y dedica un rato a la semana para revisar las actualizaciones pendientes.

### ¿Qué hago si mi tienda ha sido hackeada?

Primero, no entres en pánico. Contacta con tu proveedor de hosting de inmediato. Ellos pueden aislar el problema y ayudarte a limpiar los archivos. Luego, restaura tu tienda desde una copia de seguridad anterior al ataque. Cambia todas tus contraseñas (hosting, base de datos, panel de administración) y revisa los permisos de los archivos.

### ¿Es suficiente con usar un buen hosting?

Un buen hosting es la base, pero no lo es todo. Es como tener una casa en un barrio seguro: la puerta de tu casa