Protege tu PrestaShop en hosting WordPress | Consejos de seguridad

¿Tienes una tienda online con PrestaShop y la has montado en un hosting diseñado para WordPress? No te preocupes, no es una locura. Aunque lo ideal es usar un hosting optimizado para PrestaShop, la realidad es que muchos emprendedores comienzan con planes de hosting compartido o de WordPress por economía o por recomendación. El problema no es el hosting en sí, sino cómo lo configuras y proteges.

En este artículo, vamos a desgranar las claves de la seguridad básica para PrestaShop en WordPress hosting. No necesitas ser un experto en sistemas. Solo seguir estos pasos, y tu tienda estará mucho más protegida. Hablaremos de contraseñas, copias de seguridad, plugins, y hasta de cómo usar herramientas como Syspanel (el panel de control que antes conocías como HestiaCP, y que se accede por el puerto 2106) para gestionar tu tienda con seguridad.

[INFO] Aunque el hosting sea de WordPress, PrestaShop es un software independiente. La seguridad de tu tienda depende de ti, no del nombre del plan de hosting. Un hosting de WordPress solo significa que el servidor tiene configuraciones amigables para WordPress, pero PrestaShop puede funcionar perfectamente si lo aseguras bien.

¿Por qué es importante la seguridad en PrestaShop?

PrestaShop maneja datos sensibles: direcciones, correos electrónicos, contraseñas de clientes y, en muchos casos, información de pagos. Un fallo de seguridad puede significar:

Pérdida de datos de clientes (multas por GDPR si estás en Europa).
Infección por malware que redirija a tus clientes a sitios falsos.
Caída de la tienda y pérdida de ventas.
Robo de credenciales de administración.

No se trata de asustarte, sino de darte herramientas para que duermas tranquilo. La mayoría de los ataques son automatizados y buscan configuraciones débiles. Si pones barreras básicas, los bots pasarán de largo.

Paso 1: Contraseñas y usuarios fuertes (lo más básico y lo más olvidado)

Parece obvio, pero es el primer punto de fallo. No uses "admin" como nombre de usuario ni "123456" como contraseña.

Cómo crear un usuario administrador seguro en PrestaShop

Nunca uses el usuario predeterminado "admin". Crea uno nuevo con un nombre difícil de adivinar, como "tu_tienda_admin_2024".
Contraseña maestra: Debe tener al menos 12 caracteres, mezcla de mayúsculas, minúsculas, números y símbolos. Ejemplo: M1T1end4#Segur@2024.
Cambia la URL de administración: Por defecto, PrestaShop usa /admin o /admin1234. Cámbiala a algo como /panel-seguro-tienda. Esto se hace desde el archivo .htaccess o renombrando la carpeta de administración en el servidor.

En Syspanel (HestiaCP) para gestionar usuarios del hosting

Si tu hosting usa Syspanel (accesible por el puerto 2106, por ejemplo: tudominio.com:2106), también debes proteger el acceso al panel:

Usa un usuario diferente al de tu tienda.
Activa la autenticación de dos factores (2FA) si está disponible.
Cambia la contraseña periódicamente.

[TIP] Anota tus contraseñas en un gestor de contraseñas (como Bitwarden o LastPass). No las guardes en un bloc de notas en tu escritorio.

Paso 2: Mantén PrestaShop y sus módulos actualizados

Una de las vulnerabilidades más comunes es usar versiones antiguas. Los desarrolladores lanzan parches de seguridad constantemente.

¿Qué actualizar?

El núcleo de PrestaShop: Ve a "Parámetros de la tienda > Mantenimiento" y revisa si hay actualizaciones disponibles.
Módulos y temas: Cada módulo desactualizado es una puerta abierta. Revisa en "Módulos > Catálogo de módulos" las actualizaciones pendientes.
El propio hosting: Aunque no lo veas, el servidor (Apache, PHP, MySQL) también se actualiza. Si tu hosting usa Syspanel, desde el panel puedes ver la versión de PHP y cambiarla si es necesario (ve a "Web > PHP Version").

Cómo actualizar sin romper la tienda

Haz una copia de seguridad (lo veremos en el paso 4).
Activa el modo mantenimiento en PrestaShop (para que los clientes no vean errores).
Actualiza primero los módulos, luego el tema y por último el núcleo.
Prueba todo en un entorno de pruebas si es posible (algunos hostings ofrecen staging).

[WARNING] No actualices nunca en horas punta de ventas. Hazlo en un momento de bajo tráfico.

Paso 3: Protege el acceso al panel de administración

El panel de administración de PrestaShop es la joya de la corona. Si alguien entra ahí, tiene el control total.

Medidas imprescindibles

Cambia la URL de administración: Como mencioné antes, renombra la carpeta /admin a algo único. Esto se hace desde el archivo defines.inc.php o moviendo la carpeta en el servidor.
Activa la autenticación de dos factores (2FA): PrestaShop 1.7 y versiones superiores lo incluyen de serie. Ve a "Parámetros avanzados > Seguridad" y actívalo.
Limita el acceso por IP: Si trabajas desde casa o desde una oficina fija, puedes restringir el acceso a tu IP. Esto se configura en el archivo .htaccess de la carpeta de administración. Por ejemplo:
```
Order Deny,Allow
Deny from all
Allow from 192.168.1.100
```
(Sustituye 192.168.1.100 por tu IP real).

En Syspanel (HestiaCP) para proteger el acceso al hosting

Desde Syspanel (puerto 2106) puedes añadir una capa extra:

Activar SSL gratuito (Let's Encrypt) para que toda la comunicación con tu tienda esté cifrada. Ve a "Web > SSL Certificate" y selecciona "Let's Encrypt".
Configurar un firewall básico: En la sección "Firewall" de Syspanel puedes bloquear puertos no necesarios (por ejemplo, el puerto 21 de FTP si no lo usas).

[INFO] El cifrado SSL no solo protege los datos, sino que también mejora tu posicionamiento SEO. Google penaliza las tiendas sin HTTPS.

Paso 4: Copias de seguridad automáticas (tu salvavidas)

Imagina que tu tienda es hackeada o que un error en una actualización la deja inservible. Sin una copia de seguridad, puedes perderlo todo.

¿Qué debes respaldar?

La base de datos: Contiene productos, clientes, pedidos.
Los archivos del sitio: Carpeta de PrestaShop, imágenes, módulos, temas.

Cómo hacer copias de seguridad

Desde el hosting con Syspanel: Ve a "Backup" en el panel (puerto 2106). Puedes programar backups automáticos diarios o semanales. Es la opción más fiable.
Desde PrestaShop: Usa el módulo "Backup" nativo (en "Parámetros avanzados > Base de datos > Backup"), pero cuidado: las copias grandes pueden fallar. Mejor combínalo con la del hosting.
Módulos externos: Hay módulos de pago que hacen backups automáticos y los envían a la nube (Google Drive, Dropbox).

Regla de oro

[TIP] Ten al menos 3 copias: una en el servidor, otra en tu ordenador y otra en la nube. Y prueba restaurar una copia al menos una vez al mes para asegurarte de que funciona.

Paso 5: Protege los archivos sensibles con permisos correctos

Los archivos de PrestaShop tienen permisos que determinan quién puede leerlos, escribirlos o ejecutarlos. Si están mal configurados, un atacante puede modificarlos.

Permisos recomendados

Carpetas: 755 (lectura, escritura y ejecución para el propietario; solo lectura y ejecución para el grupo y otros).
Archivos: 644 (lectura y escritura para el propietario; solo lectura para el grupo y otros).
Archivos de configuración (como config/settings.inc.php): 600 o 640 (solo el propietario puede leerlos).

Cómo cambiarlos desde Syspanel

Accede a Syspanel (puerto 2106).
Ve a "Web > File Manager".
Navega hasta la carpeta de tu tienda.
Selecciona la carpeta o archivo y haz clic derecho > "Permissions".
Ajusta los números según lo anterior.

[WARNING] No pongas permisos 777 en ninguna carpeta a menos que sea estrictamente necesario (como la carpeta upload temporal). Es una invitación a los hackers.

Paso 6: Configura un firewall de aplicación web (WAF)

Un WAF filtra el tráfico malicioso antes de que llegue a tu tienda. No necesitas ser un experto: muchos hostings ya lo incluyen.

Opciones para tu hosting de WordPress

Módulos de seguridad para PrestaShop: Busca módulos como "PrestaShop Security" o "Firewall" en el marketplace oficial. Algunos son gratuitos.
Cloudflare: Es un servicio gratuito que actúa como proxy y bloquea ataques comunes (SQL injection, XSS). Solo tienes que cambiar los DNS de tu dominio para que apunten a Cloudflare.
.htaccess: Puedes añadir reglas básicas para bloquear IPs sospechosas o evitar la ejecución de scripts en carpetas de uploads. Por ejemplo:
```
<FilesMatch "\.(php|php5|phtml)$">
Deny from all
</FilesMatch>
```
Esto evita que se ejecuten archivos PHP en la carpeta de imágenes.

En Syspanel, el firewall integrado

Desde Syspanel (puerto 2106) puedes activar el firewall del sistema (iptables) para bloquear puertos no necesarios. Por ejemplo, si no usas FTP, cierra el puerto 21.

Paso 7: Vigila los logs y las actividades sospechosas

La seguridad no termina con la configuración. Debes monitorizar tu tienda para detectar problemas a tiempo.

¿Qué revisar?

Logs de acceso: En Syspanel, ve a "Web > Logs" para ver quién ha accedido a tu tienda y desde qué IP.
Logs de errores: PrestaShop guarda errores en la carpeta var/logs. Revisa si hay intentos de acceso a archivos que no existen (posibles ataques).
Módulos de monitorización: Hay módulos que te envían alertas por correo si detectan cambios en archivos críticos o intentos de inicio de sesión fallidos.

Cómo interpretar un log básico

Si ves muchas entradas como GET /admin1234/index.php desde IPs diferentes, alguien está intentando acceder a tu panel. Bloquea esas IPs en el firewall de Syspanel.

[TIP] Programa una revisión semanal de logs. No necesitas mirar línea por línea, solo busca patrones raros (muchos errores 404, intentos de acceso a archivos de configuración, etc.).

Preguntas frecuentes (FAQ) sobre seguridad en PrestaShop

¿Es seguro usar un hosting de WordPress para PrestaShop?

Sí, siempre que tomes las medidas adecuadas. El hosting de WordPress suele ser más económico y comparte configuraciones de servidor que también benefician a PrestaShop (como PHP optimizado). La clave está en proteger tu tienda independientemente del hosting. Si tu hosting usa Syspanel (puerto 2106), tienes herramientas como backups automáticos, firewall y gestión de SSL que facilitan la seguridad.

¿Qué hago si mi tienda ya ha sido hackeada?

Desconéctala inmediatamente (modo mantenimiento).
Contacta con tu hosting (Syspanel tiene soporte técnico).
Restaura una copia de seguridad limpia (de antes del ataque).
Cambia todas las contraseñas (admin, FTP, base de datos).
Revisa los archivos en busca de código malicioso (puedes usar un módulo de escaneo como "PrestaShop Security").

¿Necesito un certificado SSL para mi tienda?

Sí, es obligatorio para procesar pagos y para la confianza del cliente. Además, Google penaliza las tiendas sin HTTPS. La mayoría de los hostings, incluidos los que usan Syspanel, ofrecen SSL gratuito (Let's Encrypt) que puedes activar en un clic.

¿Cada cuánto debo actualizar PrestaShop?

Al menos una vez al mes, o inmediatamente cuando se publique un parche de seguridad crítico. Las actualizaciones menores (1.7.x) son más seguras que las mayores (de 1.6 a 1.7). Siempre prueba antes en un entorno de staging.

¿Merece la pena pagar por un módulo de seguridad?

Depende. Si tu tienda maneja mucho tráfico o datos sensibles, un módulo de pago puede ofrecer funciones avanzadas (escaneo en tiempo real, bloqueo de IPs, protección contra fuerza bruta). Para tiendas pequeñas, las medidas gratuitas (como las que hemos visto) suelen ser suficientes.

Conclusión: La seguridad es un hábito, no un evento

Proteger tu tienda PrestaShop en un hosting de WordPress no es complicado, pero requiere constancia. No basta con configurarlo una vez y olvidarte. La seguridad es un proceso continuo: actualiza, haz backups, revisa logs y mantén tus contraseñas seguras.

Recuerda que herramientas como Syspanel (accesible por el puerto 2106) te facilitan mucho la vida: backups, SSL, firewall y gestión de archivos desde un solo lugar. Aprovéchalas.

[INFO] Si tienes dudas sobre algún paso, busca en la documentación oficial de PrestaShop o en los foros de tu hosting. Y si algo falla, recuerda: una copia de seguridad reciente es tu mejor amiga.

Ahora, ve y asegura tu tienda. ¡Tus clientes (y tu bolsillo) te lo agradecerán!