Seguridad en PrestaShop: guía básica para proteger tu tienda

Proteger tu tienda online es una prioridad absoluta. Los ciberataques pueden costarte datos de clientes, ventas y la reputación de tu negocio. Afortunadamente, aplicar medidas de seguridad básicas en PrestaShop no es complicado. En esta guía, te explicaré paso a paso cómo fortalecer tu tienda, desde la instalación de un certificado SSL hasta la configuración de contraseñas seguras y actualizaciones periódicas.

¿Por qué es importante la seguridad en PrestaShop?

PrestaShop es una plataforma de comercio electrónico muy popular, lo que la convierte en un objetivo frecuente para hackers. Una brecha de seguridad puede provocar la fuga de información bancaria, la suplantación de identidad de tus clientes o la desactivación completa de tu tienda. Además, si no cumples con normativas como el RGPD (Reglamento General de Protección de Datos), podrías enfrentarte a multas elevadas.

La buena noticia es que con unos pocos ajustes y buenas prácticas, puedes reducir drásticamente el riesgo. La clave está en la prevención y el mantenimiento constante.

Paso 1: Instala un certificado SSL (HTTPS)

El primer paso para proteger tu tienda PrestaShop es asegurar la comunicación entre tu servidor y los navegadores de tus clientes. Esto se logra mediante un certificado SSL (Secure Sockets Layer). Cuando lo activas, la dirección de tu tienda cambia de http:// a https:// y aparece un candado verde en la barra de direcciones.

¿Qué hace el SSL?

Cifra los datos: Toda la información que se envía (contraseñas, números de tarjeta, direcciones) viaja encriptada, por lo que un atacante no puede leerla aunque la intercepte.
Genera confianza: Los clientes ven el candado y saben que su información está segura. Google también penaliza en los resultados de búsqueda a las tiendas sin SSL.
Es obligatorio para pagos: La mayoría de pasarelas de pago (PayPal, Stripe, Redsys) exigen HTTPS para procesar transacciones.

Cómo activar SSL en tu hosting

Solicita el certificado: La mayoría de los proveedores de hosting ofrecen certificados SSL gratuitos (Let’s Encrypt) o de pago. Si usas un panel como Syspanel (accesible por el puerto 2106), busca la sección de “SSL/TLS” o “Certificados SSL”.
Actívalo desde el panel: Una vez instalado, ve a la configuración de tu dominio y activa la opción “Forzar HTTPS”.
Configúralo en PrestaShop: Inicia sesión en el backoffice de tu tienda. Ve a Parámetros de la tienda > General > Configuración de la tienda. Activa la opción “Activar SSL” y también “Activar SSL en todas las páginas”.
Verifica: Abre tu tienda en el navegador y comprueba que aparece el candado. Si ves un mensaje de “No seguro”, revisa que no haya contenido mixto (imágenes o scripts cargados desde HTTP).

[TIP] Si tienes problemas con el SSL, contacta con tu soporte técnico. Muchos errores se deben a que el certificado no está bien enlazado al dominio.

Paso 2: Mantén PrestaShop, módulos y plantillas actualizados

Una de las causas más comunes de vulnerabilidades es usar software desactualizado. Los desarrolladores lanzan parches de seguridad para corregir fallos que los hackers conocen y explotan. No actualizar es como dejar la puerta de tu tienda abierta.

¿Qué debes actualizar?

El núcleo de PrestaShop: Cada versión nueva incluye mejoras de seguridad. Ve a Parámetros avanzados > Información para ver tu versión actual y si hay actualizaciones disponibles.
Módulos (plugins): Los módulos de terceros son el punto débil más habitual. Desinstala los que no uses y mantén actualizados los que necesites.
Plantillas (themes): Un tema mal codificado o desactualizado puede exponer tu tienda. Descarga siempre temas oficiales o de fuentes fiables.

Cómo actualizar de forma segura

Haz una copia de seguridad: Antes de cualquier actualización, respalda tu base de datos y archivos. Puedes hacerlo desde el panel de hosting o con módulos como “PrestaShop Backup”.
Actualiza en un entorno de pruebas: Si es posible, prueba la actualización en una copia de tu tienda (subdominio o localhost) para verificar que todo funciona.
Actualiza paso a paso: Si estás muy desactualizado (ejemplo: de la versión 1.6 a la 1.7), actualiza primero a la versión intermedia. Saltar versiones puede romper la tienda.
Revisa la compatibilidad: Después de actualizar, comprueba que todos los módulos y el tema sigan funcionando. Si algún módulo da error, busca una versión compatible o sustitúyelo.

[WARNING] No actualices directamente desde el backoffice si tu hosting tiene recursos limitados. Es mejor descargar el paquete de actualización desde la web oficial de PrestaShop y subirlo por FTP.

Paso 3: Usa contraseñas robustas y cambia los accesos por defecto

Las contraseñas débiles son una invitación a los atacantes. Muchos hackers utilizan scripts automatizados que prueban miles de combinaciones por minuto. Por eso, debes asegurar todos los accesos.

Contraseñas para el backoffice

Longitud mínima de 12 caracteres: Combina mayúsculas, minúsculas, números y símbolos (ejemplo: T1end@_Segur4!2024).
No uses datos personales: Evita nombres, fechas de nacimiento o palabras comunes.
Cámbialas periódicamente: Al menos cada 3 meses.
Usa un gestor de contraseñas: Herramientas como Bitwarden o LastPass te ayudan a generar y almacenar claves seguras sin tener que recordarlas.

Cambia el nombre de usuario por defecto

Por defecto, PrestaShop crea una cuenta de administrador llamada “admin” o similar. Los atacantes ya conocen ese nombre, así que es mejor cambiarlo.

Ve a Parámetros avanzados > Equipo > Empleados.
Edita el perfil del administrador principal.
Cambia el nombre de usuario por uno único (ejemplo: gerente_tienda_2024).
Guarda los cambios.

Protege el acceso al backoffice

Activa la autenticación en dos pasos (2FA): Instala un módulo como “Google Authenticator” o “Two Factor Authentication”. Así, además de la contraseña, necesitarás un código que se genera en tu móvil.
Limita los intentos de inicio de sesión: En Parámetros avanzados > Seguridad, configura un número máximo de intentos fallidos (por ejemplo, 5). Después de eso, la IP se bloqueará temporalmente.

[INFO] También puedes cambiar la URL del backoffice para dificultar los ataques. Ve a Parámetros avanzados > General y modifica el campo “Directorio de administración”. Elige un nombre que no sea predecible (ejemplo: panel-gestion-2024).

Paso 4: Configura los permisos de archivos y carpetas

Los permisos incorrectos pueden permitir que un atacante suba archivos maliciosos o modifique el código de tu tienda. Debes asegurarte de que los archivos tengan los permisos adecuados.

Permisos recomendados

Archivos: 644 (lectura y escritura para el propietario, solo lectura para el grupo y otros).
Carpetas: 755 (lectura, escritura y ejecución para el propietario; lectura y ejecución para el grupo y otros).
Archivos de configuración: El archivo config/settings.inc.php (en versiones antiguas) o app/config/parameters.php debe tener permisos 644 o incluso 400 (solo lectura para el propietario) después de la instalación.

Cómo cambiarlos

Accede por FTP (FileZilla, Cyberduck) o por el administrador de archivos de tu hosting.
Selecciona la carpeta raíz de tu tienda.
Haz clic derecho y elige “Permisos de archivo” (o “File permissions”).
Introduce los valores (644 para archivos, 755 para carpetas) y marca “Recursivo” para aplicar a todas las subcarpetas.
Importante: No des permisos 777 a ninguna carpeta a menos que sea estrictamente necesario (por ejemplo, la carpeta img para subir imágenes temporalmente). Si lo haces, revísalo después.

[WARNING] Si después de cambiar permisos tu tienda da error 500 o de escritura, puede que necesites permisos 755 para algunas carpetas como cache, log o upload. Consulta la documentación de PrestaShop o a tu soporte técnico.

Paso 5: Protege la base de datos

La base de datos contiene toda la información sensible de tu tienda: clientes, pedidos, contraseñas (encriptadas). Un ataque de inyección SQL podría exponerla.

Medidas básicas

Prefijo de tabla único: Durante la instalación, PrestaShop te pide un prefijo para las tablas (por ejemplo, ps_). Cámbialo por algo menos predecible, como t1end4_.
No uses el usuario “root”: Crea un usuario de base de datos específico para tu tienda, con permisos limitados (solo sobre la base de datos de la tienda).
Actualiza las credenciales: Si cambias la contraseña de la base de datos, recuerda actualizarla en el archivo app/config/parameters.php.

Copias de seguridad periódicas

Realiza copias de seguridad de la base de datos al menos una vez a la semana (o a diario si tienes mucho tráfico). Puedes hacerlo desde el panel de hosting (muchos ofrecen backups automáticos) o con módulos como “PrestaShop Backup”.

[TIP] Guarda las copias de seguridad en un lugar externo (Google Drive, Dropbox, otro servidor). Si tu hosting sufre un ataque, las copias locales también podrían perderse.

Paso 6: Refuerza la seguridad con módulos y configuraciones adicionales

Existen módulos específicos que añaden capas extra de protección. No necesitas instalar muchos, solo los esenciales.

Módulos recomendados

Firewall de aplicaciones web (WAF): Bloquea tráfico malicioso antes de que llegue a tu tienda. Algunos hosting ya lo incluyen, pero puedes instalar módulos como “Security Firewall” o “PrestaShield”.
Antivirus / Escáner de malware: Revisa periódicamente los archivos en busca de código malicioso. Módulos como “MalCare Security” o “Wordfence” (aunque son de WordPress, hay alternativas para PrestaShop).
Protección contra fuerza bruta: Limita los intentos de inicio de sesión y bloquea IPs sospechosas.
Captcha en formularios: Añade un captcha (Google reCAPTCHA) en formularios de registro, contacto y inicio de sesión para evitar bots.

Configuraciones en el backoffice

Desactiva el modo de depuración: Ve a Parámetros avanzados > Rendimiento y desactiva “Modo de depuración” (Debug mode). Esto evita que se muestren errores internos a los visitantes.
Activa el modo de mantenimiento: Cuando estés haciendo cambios, activa el modo mantenimiento desde Parámetros de la tienda > General > Mantenimiento. Así los clientes no ven errores.
Elimina módulos y temas no utilizados: Cuanto menos código tengas, menos superficie de ataque.

[INFO] No instales módulos de fuentes no oficiales o pirateados. Suelen contener puertas traseras (backdoors) que comprometen tu tienda.

Paso 7: Supervisa la actividad de tu tienda

La prevención es clave, pero también necesitas detectar problemas a tiempo. Revisa regularmente los registros (logs) de tu tienda y servidor.

¿Qué revisar?

Registros de acceso: En el backoffice, ve a Parámetros avanzados > Registros. Busca intentos de inicio de sesión fallidos, accesos desde IPs desconocidas o cambios en archivos importantes.
Actividad de empleados: Si tienes varios empleados con acceso, revisa qué han hecho. Ve a Parámetros avanzados > Equipo > Registro de actividades.
Cambios en archivos: Usa un módulo de escaneo o compara las sumas de verificación (MD5) de los archivos originales de PrestaShop con los tuyos.

Herramientas externas

Google Search Console: Te avisa si tu sitio ha sido marcado como inseguro o si hay malware.
Monitor de uptime: Servicios como UptimeRobot te envían un correo si tu tienda se cae (posible ataque DDoS).
Análisis de vulnerabilidades: Puedes usar herramientas online como Qualys SSL Labs para comprobar la seguridad de tu SSL, o Sucuri SiteCheck para escanear malware.

Preguntas frecuentes (FAQ)

¿Cada cuánto debo actualizar PrestaShop?

Idealmente, cada vez que salga una nueva versión estable. Si no puedes hacerlo inmediatamente, al menos actualiza los módulos y aplica los parches de seguridad críticos. No dejes pasar más de 3 meses sin actualizar.

¿Es necesario tener SSL si no vendo online (solo catálogo)?

Sí, aunque no proceses pagos, el SSL protege los datos de los usuarios (como direcciones de correo en formularios de contacto). Además, Google muestra un aviso de “No seguro” en navegadores Chrome, lo que da mala imagen.

¿Qué hago si mi tienda ya ha sido hackeada?

Desconecta la tienda: Activa el modo mantenimiento o desconéctala del dominio.
Cambia todas las contraseñas: Backoffice, base de datos, FTP, hosting.
Restaura una copia de seguridad limpia (anterior al ataque).
Escanea los archivos para eliminar cualquier código malicioso.
Actualiza todo (PrestaShop, módulos, temas).
Contacta con tu hosting para que revisen el servidor.

¿Puedo usar un hosting compartido o necesito uno dedicado?

Un hosting compartido puede ser suficiente si el proveedor tiene buenas medidas de seguridad (firewall, actualizaciones, backups). Sin embargo, si tu tienda crece, considera un VPS o servidor dedicado para tener más control.

¿Qué es Syspanel y cómo accedo?

Syspanel es un panel de control de hosting (similar a cPanel) que facilita la gestión de tu servidor. Para acceder, abre tu navegador y escribe la IP de tu servidor seguida de :2106 (ejemplo: http://192.168.1.1:2106). Desde ahí puedes gestionar dominios, bases de datos, SSL y más.

Conclusión

La seguridad PrestaShop no es un lujo, es una necesidad. Siguiendo estos pasos –instalar SSL, mantener todo actualizado, usar contraseñas robustas, configurar permisos y supervisar la actividad– reducirás enormemente el riesgo de sufrir un ataque. Recuerda que la seguridad es un proceso continuo: dedica unos minutos cada semana a revisar tu tienda y aplica las actualizaciones en cuanto estén disponibles.

Tu tienda es el resultado de mucho trabajo y esfuerzo. No dejes que un descuido la ponga en peligro. Empieza hoy mismo a implementar estas medidas y duerme tranquilo sabiendo que tus clientes y tu negocio están protegidos.

[TIP] Si tienes dudas sobre algún paso, busca tutoriales específicos o contacta con el soporte técnico de tu hosting. Es mejor preguntar que arriesgarte a un error.