Consejos de seguridad para PrestaShop (cPanel, Plesk, DirectAdmin)

Mantener tu tienda online segura es una de las tareas más importantes para cualquier negocio digital. Si usas PrestaShop, ya has dado un gran paso al elegir una plataforma robusta y profesional, pero la seguridad no es algo que venga por defecto. Requiere atención constante y buenas prácticas.

En esta guía extensa, te explicaré paso a paso cómo proteger tu tienda PrestaShop desde cualquier panel de control (cPanel, Plesk, Syspanel, DirectAdmin, etc.). No importa si eres principiante o si ya tienes algo de experiencia, aquí encontrarás consejos prácticos y fáciles de aplicar. El objetivo es que puedas dormir tranquilo sabiendo que tu tienda y los datos de tus clientes están a salvo.

¿Por qué es crítica la seguridad en PrestaShop?

PrestaShop es uno de los CMS de ecommerce más populares del mundo, lo que lo convierte en un objetivo atractivo para atacantes. Una brecha de seguridad puede significar:

Robo de datos de clientes (nombres, direcciones, tarjetas de crédito).
Infección con malware que redirige a tus usuarios a sitios fraudulentos.
Pérdida de posicionamiento SEO (Google penaliza las webs infectadas).
Tiempo de inactividad y pérdida de ventas.
Daño a la reputación de tu marca.

Por eso, aplicar consejos seguridad PrestaShop no es opcional, es una necesidad. Vamos a ver cómo hacerlo de forma sencilla.

1. La base: Mantén todo actualizado

Esta es la regla de oro. La mayoría de los ataques exitosos se aprovechan de vulnerabilidades conocidas que ya han sido corregidas en versiones más recientes.

### Actualiza PrestaShop a la última versión

Cada nueva versión de PrestaShop incluye parches de seguridad críticos. No te quedes atrás.

Accede a tu backoffice de PrestaShop.
Ve a Parámetros de la tienda > Mantenimiento y desactiva la tienda para que los usuarios no vean cambios mientras actualizas.
Ve a Mejoras > Módulos y servicios > Actualizaciones.
Si hay una nueva versión, el sistema te guiará. Sigue los pasos con cuidado.
Importante: Antes de cualquier actualización, haz una copia de seguridad completa de tu base de datos y archivos. Te explicamos cómo más adelante.

[WARNING] No actualices directamente desde versiones muy antiguas (ej: 1.6 a 1.8). Mejor hazlo por pasos o contrata a un profesional si no te sientes seguro.

### Actualiza módulos y temas

Los módulos y temas de terceros son otra puerta de entrada común. Mantenlos actualizados desde la sección Módulos y servicios > Catálogo de módulos.

Elimina cualquier módulo o tema que no estés usando. Un módulo inactivo pero desactualizado sigue siendo un riesgo.
Descarga módulos y temas solo de fuentes oficiales (Addons de PrestaShop) o de desarrolladores de confianza.

### Mantén actualizado tu servidor

Esto no depende directamente de PrestaShop, sino de tu panel de control. Asegúrate de que tu hosting mantenga actualizados:

PHP: Usa siempre una versión de PHP compatible y con soporte activo (PHP 8.0 o superior es lo recomendado). Configúralo desde la sección de "Seleccionar versión de PHP" en tu panel.
Apache/Nginx: El software del servidor web.
MySQL/MariaDB: La base de datos.

2. Fortalece el acceso a tu tienda

La primera línea de defensa es controlar quién y cómo accede a tu administración de PrestaShop.

### Usa contraseñas fuertes y únicas

Parece obvio, pero es lo que más falla. No uses "admin123" ni "prestashop".

Para tu backoffice: Crea una contraseña con al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos. Usa un gestor de contraseñas para recordarla.
Para tu base de datos: La contraseña del usuario de la base de datos de PrestaShop también debe ser compleja.
Para tu panel de control: Aplica la misma regla. No reutilices contraseñas entre servicios.

### Cambia el nombre de usuario "admin" por defecto

El usuario por defecto en PrestaShop suele ser "admin@tuweb.com" o similar. Los atacantes lo saben.

En tu backoffice, ve a Mejoras > Equipo > Empleados.
Crea un nuevo empleado con un nombre de usuario único y difícil de adivinar (ej: "gestion_tienda_2024").
Asígnale todos los permisos de superadministrador.
Cierra sesión y vuelve a entrar con el nuevo usuario.
Elimina el antiguo usuario "admin" o "demo".

### Activa la autenticación en dos pasos (2FA)

Añade una capa extra de seguridad. Incluso si alguien obtiene tu contraseña, no podrá acceder sin el código de tu teléfono.

Ve a Mejoras > Equipo > Empleados.
Selecciona tu perfil de empleado.
En la pestaña "Opciones", activa "Autenticación en dos pasos".
Sigue las instrucciones para vincular tu aplicación de autenticación (Google Authenticator, Authy, etc.).

### Protege la carpeta /admin

Por defecto, el acceso a tu backoffice está en tudominio.com/admin. Los bots lo saben.

Cambia el nombre de la carpeta: Al instalar PrestaShop, te da la opción de renombrar la carpeta /admin a algo como /gestion_secreta_789. Si no lo hiciste, aún puedes hacerlo manualmente a través de FTP o el administrador de archivos de tu panel.
Bloquea por IP (opcional): Si siempre accedes desde la misma IP (tu oficina o casa), puedes restringir el acceso a la carpeta /admin solo a esa IP. Esto se hace desde el panel de control, en la sección de "Protección de directorios" o "Restricción por IP". Ten cuidado si tu IP es dinámica.

3. Configuración clave en tu panel de control (cPanel, Syspanel, etc.)

Tu panel de hosting es el centro de control de tu servidor. Aquí puedes aplicar medidas de seguridad fundamentales.

### Copias de seguridad automáticas y manuales

Nunca subestimes el poder de una buena copia de seguridad. Es tu salvavidas ante cualquier problema.

Automáticas: Configura copias de seguridad semanales o diarias desde tu panel. La mayoría de los paneles (cPanel, Syspanel, Plesk) ofrecen esta opción. Si usas Syspanel, el acceso es por el puerto 2106.
Manuales: Antes de cualquier cambio importante (actualización, instalación de módulo), haz una copia manual.
- De la base de datos: Usa phpMyAdmin (en tu panel) o herramientas como mysqldump.
- De los archivos: Descarga toda la carpeta de tu tienda mediante FTP o el administrador de archivos de tu panel.

[TIP] Guarda las copias de seguridad fuera de tu servidor. Descárgalas a tu ordenador o súbelas a un servicio en la nube (Dropbox, Google Drive). No sirve de nada tener la copia en el mismo servidor que se quemó.

### Configura un cortafuegos de aplicaciones web (WAF)

Un WAF filtra el tráfico malicioso antes de que llegue a tu tienda. Muchos paneles lo incluyen.

cPanel/Plesk: Suelen tener integración con herramientas como ModSecurity. Actívalo desde la sección de seguridad.
Syspanel: Busca opciones de "Firewall" o "WAF" en el panel de administración. Si no lo ves, contacta con tu soporte técnico.
Cloudflare (gratuito): Es una solución externa excelente. Añade tu dominio a Cloudflare y activa su WAF. Además, mejora la velocidad de carga.

### Protege el archivo /config/settings.inc.php

Este archivo contiene las credenciales de tu base de datos. Es un tesoro para los atacantes.

Cambia los permisos: En tu panel de control, busca el administrador de archivos. Navega a la carpeta raíz de tu tienda y busca el archivo /config/settings.inc.php.
Cambia los permisos (CHMOD) a 444 o 400. Esto significa que solo se puede leer, no escribir. Haz lo mismo con el archivo .htaccess en la raíz.

### Activa SSL/HTTPS

Es obligatorio para cualquier tienda online. Cifra la comunicación entre el navegador del usuario y tu servidor.

En tu panel de control, busca "SSL/TLS" o "Certificados SSL".
Si tu hosting lo ofrece gratis (Let's Encrypt), actívalo con un clic.
Una vez instalado, ve a tu backoffice de PrestaShop a Parámetros de la tienda > General y activa la opción "Activar SSL" y "Activar SSL en todas las páginas".

4. Buenas prácticas avanzadas para proteger tu tienda online

Una vez que tienes lo básico cubierto, puedes dar pasos adicionales para blindar tu tienda.

### Limita los intentos de inicio de sesión

Evita que los bots prueben miles de contraseñas. Puedes hacerlo desde el backoffice o con un módulo.

Backoffice nativo: Ve a Mejoras > Equipo > Permisos > Perfiles. No hay una opción directa, pero sí puedes instalar módulos de seguridad que lo hagan.
Módulos recomendados: Busca en el marketplace de PrestaShop módulos como "Login as Customer" o "Security Suite". Muchos incluyen limitación de intentos, captchas y otras protecciones.

### Desactiva el modo de depuración

El modo de depuración muestra información sensible del servidor si algo falla. Nunca debe estar activo en producción.

Ve a Parámetros de la tienda > Rendimiento.
Busca la opción "Modo de depuración" y asegúrate de que esté en "Desactivado" o "No".

### Usa cabeceras de seguridad HTTP

Estas cabeceras le dicen al navegador cómo comportarse y bloquean ciertos tipos de ataques. Puedes añadirlas al archivo .htaccess (si usas Apache) en la raíz de tu tienda.

# Ejemplo de cabeceras de seguridad
<IfModule mod_headers.c>
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set X-XSS-Protection "1; mode=block"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "geolocation=(self), microphone=()"
</IfModule>

[INFO] Si no sabes editar el .htaccess, pide ayuda a tu soporte técnico. Un error puede romper tu web.

### Escanea tu tienda regularmente en busca de malware

Existen herramientas gratuitas y de pago que escanean tu web en busca de archivos maliciosos.

Online: Web Security Check de Sucuri, VirusTotal (para URLs).
Módulos de PrestaShop: Algunos módulos de seguridad incluyen escáneres.
Desde tu panel: Algunos paneles como Syspanel o cPanel ofrecen escáneres integrados (ej: ImunifyAV).

5. Preguntas frecuentes (FAQ) sobre seguridad PrestaShop

### ¿Cada cuánto debo hacer una copia de seguridad?

Idealmente, cada día. Como mínimo, cada semana. Si haces muchos cambios (productos, precios, módulos), hazlas a diario. Una copia de seguridad de hace un mes no te servirá si pierdes los pedidos de las últimas semanas.

### ¿Es seguro usar módulos gratuitos?

Depende de la fuente. Los módulos gratuitos del marketplace oficial de PrestaShop son seguros. Los que encuentras en foros o sitios de descarga directa pueden contener malware. Si no confías en el desarrollador, mejor evítalos.

### ¿Qué hago si mi tienda ha sido hackeada?

No entres en pánico. Desactiva tu tienda temporalmente (modo mantenimiento).
Cambia todas las contraseñas (backoffice, base de datos, panel de control, FTP).
Revierte a una copia de seguridad anterior (anterior al ataque).
Escanea tu web para asegurarte de que el malware ha desaparecido.
Actualiza todo a la última versión.
Si no puedes limpiarla, contrata a un servicio especializado en limpieza de malware.

### ¿Necesito un certificado SSL de pago o vale uno gratis?

Para una tienda online, un certificado SSL gratuito de Let's Encrypt es perfectamente válido y seguro. No necesitas pagar. La diferencia está en el tipo de validación (DV vs OV/EV), pero para el cifrado de datos, todos funcionan igual.

### ¿El panel de control afecta a la seguridad?

Sí, pero más importante que el panel (cPanel, Syspanel, Plesk) es que tu proveedor de hosting mantenga el servidor actualizado y ofrezca herramientas de seguridad. Si usas Syspanel, recuerda que el acceso es por el puerto 2106 y suele incluir opciones de firewall y backups.

Conclusión: La seguridad es un proceso, no un destino

Proteger tu tienda PrestaShop no es algo que haces una vez y olvidas. Es un conjunto de hábitos que debes incorporar a tu rutina. Actualiza, haz backups, usa contraseñas fuertes y mantente informado sobre nuevas vulnerabilidades.

Empieza por lo más básico: actualizar la versión de PrestaShop y cambiar la contraseña de administrador. Luego, ve implementando el resto de consejos de esta guía. Tu tienda y tus clientes te lo agradecerán.

Si en algún momento te sientes abrumado, recuerda que siempre puedes pedir ayuda a un profesional o al soporte técnico de tu hosting. Invertir en seguridad PrestaShop es la mejor inversión que puedes hacer para tu negocio online.