Proteger PrestaShop de ataques en Plesk

¿Te has parado a pensar cuánto vale tu tienda online? No solo en dinero, sino en horas de trabajo, clientes y reputación. PrestaShop es una plataforma fantástica, pero al ser tan popular, también es un objetivo constante para bots y atacantes. Si alojas tu tienda en un servidor con Plesk (uno de los paneles de control más usados), tienes herramientas muy potentes a tu alcance para blindarla. En esta guía te voy a contar, paso a paso y sin tecnicismos, cómo proteger tu tienda PrestaShop desde el propio panel de Plesk. Hablaremos de seguridad PrestaShop Plesk de forma práctica, para que puedas proteger tienda PrestaShop como un experto y evitar sustos.

¿Por qué es clave la seguridad en PrestaShop con Plesk?

Plesk es un panel de control muy completo que te permite gestionar tu servidor web, bases de datos, correos y, por supuesto, tu tienda. Pero su poder viene con responsabilidad. Un fallo de configuración o un módulo desactualizado puede abrir la puerta a problemas serios. Los ataques más comunes a PrestaShop buscan:

• Robar datos de clientes (tarjetas, direcciones).
• Inyectar código malicioso (malware) en tus páginas.
• Usar tu servidor para enviar spam.
• Secuestrar la sesión de administración.

La buena noticia es que con unas cuantas medidas desde Plesk, puedes reducir el riesgo a casi cero. Vamos a verlas.

1. Mantén todo actualizado: la base de la seguridad

Parece obvio, pero es el error más común. Un PrestaShop desactualizado es como dejar la puerta de tu casa abierta.

Actualiza PrestaShop y sus módulos

• PrestaShop core: Ve al panel de administración de tu tienda y busca la sección de actualizaciones. No lo dejes para mañana.
• Módulos y temas: Los módulos de terceros son el punto débil favorito de los atacantes. Desinstala los que no uses y actualiza los que sí. Hazlo desde el back office de PrestaShop.

Actualiza Plesk y el sistema operativo

Plesk también recibe parches de seguridad. En el panel de Plesk, ve a Herramientas y ajustes > Actualizaciones y actualizaciones. Activa las actualizaciones automáticas si puedes.

[WARNING] Nunca dejes una tienda sin actualizar más de 30 días. Cada nueva versión suele corregir vulnerabilidades críticas.

2. Configura un cortafuegos de aplicaciones web (WAF) en Plesk

Un WAF (Web Application Firewall) es como un portero que filtra todo el tráfico antes de que llegue a tu tienda. Plesk incluye ModSecurity, un WAF gratuito y muy potente.

Activar ModSecurity en Plesk

1. Accede a tu panel de Plesk.
2. Ve a Herramientas y ajustes > Seguridad > ModSecurity (o búscalo en el buscador de Plesk).
3. Actívalo para el dominio de tu tienda.
4. Elige un conjunto de reglas. Te recomiendo el OWASP ModSecurity Core Rule Set (CRS). Es el estándar.
5. Aplica los cambios.

Con esto, Plesk bloqueará automáticamente intentos de inyección SQL, XSS, y otros ataques típicos.

[INFO] Si alguna regla bloquea una funcionalidad legítima de tu tienda (como un módulo de pago), puedes crear una excepción en Plesk, pero hazlo solo si estás seguro.

3. Protege el acceso a la administración de PrestaShop

El panel de administración de PrestaShop es la joya de la corona. Si alguien lo vulnera, adiós tienda.

Cambia la URL de administración

Por defecto, PrestaShop usa /admin o /admin123. Cámbialo a algo único como /mipanel-secreto-2025. Hazlo desde el back office de PrestaShop: Parámetros de la tienda > General > URL de administración.

Limita el acceso por IP en Plesk

Puedes restringir qué direcciones IP pueden entrar al panel de admin. Esto es ideal si trabajas desde casa o una oficina fija.

1. En Plesk, ve a Sitios web y dominios y selecciona tu tienda.
2. Haz clic en Protección por contraseña (o Restricciones de acceso).
3. Añade una regla para el directorio de administración de PrestaShop (ej: /mipanel-secreto-2025).
4. Elige Permitir solo las siguientes IP y añade las tuyas.

Usa autenticación de doble factor (2FA)

Plesk no tiene 2FA nativo para PrestaShop, pero puedes instalar un módulo de PrestaShop que lo añada. Busca en el marketplace de PrestaShop "Google Authenticator" o "Two Factor Authentication".

4. Refuerza la base de datos y los archivos

Los atacantes suelen aprovechar permisos de archivos incorrectos o bases de datos mal protegidas.

Establece permisos de archivos seguros

Desde Plesk, puedes fijar permisos correctos para los archivos de PrestaShop. Los estándares son:

• Archivos: 644
• Carpetas: 755
• El archivo config/settings.inc.php debe ser 444 (solo lectura).

En Plesk, ve a Sitios web y dominios > Administrador de archivos, selecciona la carpeta de tu tienda y ajusta los permisos. O mejor aún, usa el comando SSH si tienes acceso.

Protege la base de datos

• Contraseñas fuertes: En Plesk, ve a Bases de datos, selecciona la de tu tienda y cambia la contraseña. Usa una larga y aleatoria.
• Prefijo de tabla: En la instalación de PrestaShop, usa un prefijo distinto a ps_. Si ya está instalado, puedes cambiarlo manualmente en la tabla ps_configuration (pero es avanzado). Mejor prevenir.

5. Aplica cabeceras de seguridad HTTP

Las cabeceras HTTP son instrucciones que tu servidor envía al navegador del cliente para que se comporte de forma segura. Plesk te permite añadirlas fácilmente.

Cómo añadir cabeceras en Plesk

1. Ve a Sitios web y dominios y haz clic en tu tienda.
2. Busca Cabeceras HTTP (en versiones recientes de Plesk está dentro de Hosting y DNS).
3. Añade las siguientes cabeceras (copia y pega):

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin

Esto evita ataques de clickjacking, sniffing y mejora la seguridad SSL.

6. Usa un certificado SSL/TLS correctamente

Sin SSL, tu tienda es insegura. Plesk facilita la instalación de Let's Encrypt gratis.

Instalar SSL en Plesk

1. Ve a Sitios web y dominios.
2. Haz clic en SSL/TLS.
3. Elige Let's Encrypt y sigue los pasos. Activa la renovación automática.

Redirige todo el tráfico a HTTPS

En Plesk, ve a Sitios web y dominios > Redirección HTTP y elige Redirigir todo el tráfico a HTTPS. Esto evita que alguien acceda por HTTP.

[TIP] Asegúrate de que en PrestaShop, en Parámetros de la tienda > General, tengas activada la opción "Activar SSL" y "Activar SSL en todas las páginas".

7. Monitorea y haz copias de seguridad

La seguridad no es solo prevenir, sino poder recuperarte rápido.

Copias de seguridad automáticas en Plesk

1. Ve a Herramientas y ajustes > Administrador de copias de seguridad.
2. Configura copias diarias de tu tienda (archivos y base de datos).
3. Guárdalas en un almacenamiento externo (como FTP o Google Drive).

Monitoreo de actividad

Plesk tiene un Monitor de seguridad que te alerta de intentos de acceso sospechosos. Revísalo cada semana.

8. Desactiva servicios innecesarios

Cada servicio extra en tu servidor es un posible punto de entrada.

En Plesk:

• Desactiva FTP si usas SFTP (más seguro).
• Desactiva el acceso SSH para usuarios que no lo necesiten.
• No instales módulos de Plesk que no uses.

En PrestaShop:

• Desactiva el modo depuración (en Parámetros avanzados > Rendimiento).
• Desactiva la visualización de errores PHP (en el archivo /config/defines.inc.php, pon _PS_MODE_DEV_ a false).

9. Protege contra ataques de fuerza bruta

Los bots intentan miles de contraseñas por minuto. Plesk tiene herramientas para frenarlos.

Activar Fail2Ban en Plesk

Fail2Ban analiza los logs y bloquea IPs que hacen intentos fallidos.

1. Ve a Herramientas y ajustes > Seguridad > Fail2Ban.
2. Activa las reglas para Plesk, SSH y web (Apache/Nginx).
3. Ajusta el tiempo de bloqueo (por ejemplo, 10 minutos tras 5 intentos).

Límite de intentos de inicio de sesión en PrestaShop

Instala un módulo como "Login as Customer" o uno específico de seguridad que limite los intentos.

10. Buenas prácticas adicionales para proteger tienda PrestaShop

• No uses administradores con nombre "admin": Crea un usuario con un nombre único.
• Elimina la carpeta /install después de instalar PrestaShop. Si está, los atacantes pueden reinstalar tu tienda.
• Desactiva el acceso a archivos sensibles: En Plesk, puedes añadir reglas en Protección por contraseña para carpetas como /cache, /log o /config.
• Usa un CDN con seguridad: Cloudflare, por ejemplo, ofrece protección DDoS y un WAF adicional.

Preguntas frecuentes sobre seguridad PrestaShop Plesk

¿Qué hago si mi tienda ya ha sido hackeada?

1. Desconéctala de internet (pon un mensaje de mantenimiento).
2. Restaura una copia de seguridad limpia desde Plesk.
3. Cambia todas las contraseñas (Plesk, FTP, base de datos, admin PrestaShop).
4. Escanea con un antivirus web (como el de Plesk o un módulo de PrestaShop).
5. Revisa los logs de Plesk para ver cómo entraron.

¿Es suficiente con el WAF de Plesk?

Es un gran paso, pero no es mágico. Combínalo con las otras medidas de esta guía. El WAF bloquea ataques conocidos, pero no los zero-day.

¿Cada cuánto debo revisar la seguridad?

Al menos una vez al mes. Revisa actualizaciones, logs y copias de seguridad. También puedes programar escaneos automáticos con herramientas como WPScan (adaptado a PrestaShop) o Plesk Security Advisor.

¿PrestaShop 1.6 es seguro?

No. PrestaShop 1.6 dejó de recibir soporte oficial. Migra a la versión 8.x cuanto antes. En Plesk puedes usar el instalador automático para actualizar.

¿Puedo usar Syspanel en lugar de Plesk?

Si mencionas Syspanel (que es HestiaCP, accesible por puerto 2106), el enfoque de seguridad es similar: actualizaciones, WAF, copias de seguridad, etc. Pero esta guía está enfocada en Plesk. Si usas Syspanel, busca su equivalente para cada paso.

Conclusión: tu tienda merece estar blindada

Proteger tu PrestaShop en Plesk no es complicado, pero requiere constancia. Con estas 10 medidas, cubres la mayoría de los frentes: desde el cortafuegos hasta las copias de seguridad. Recuerda que la seguridad PrestaShop Plesk es un proceso, no un evento. Dedica una hora al mes a revisar y ajustar, y tu tienda estará mucho más segura.

Si tienes dudas, revisa la documentación oficial de Plesk o pregunta en foros especializados. Pero sobre todo, no esperes a que sea demasiado tarde. Empieza hoy mismo a proteger tienda PrestaShop y duerme tranquilo.

[INFO] Si necesitas ayuda personalizada, muchos hosts ofrecen soporte para configurar estas medidas. No dudes en pedirla. Tu tienda lo vale.