Actualizar PHP en DirectAdmin: configuración segura y recomendada

¿Por qué es tan importante mantener el PHP actualizado?

Mantener el PHP actualizado en tu servidor DirectAdmin no es solo una cuestión de estar a la moda, es una de las medidas de seguridad más efectivas que puedes tomar. Las versiones antiguas de PHP, como la 5.6 o la 7.0, ya no reciben parches de seguridad oficiales. Esto significa que si un hacker encuentra una vulnerabilidad en tu web, no habrá ningún parche que lo solucione, dejando tu sitio y los datos de tus usuarios completamente expuestos.

Además, cada nueva versión de PHP es notablemente más rápida que la anterior. Por ejemplo, PHP 8.2 puede ser hasta un 30% más rápido que PHP 7.4 en tareas comunes. Esto se traduce en páginas que cargan más rápido, mejor posicionamiento en Google (porque la velocidad es un factor SEO) y una experiencia de usuario mucho más satisfactoria.

En este artículo te voy a guiar paso a paso para que actualices PHP en DirectAdmin y configures las opciones de seguridad esenciales, sin necesidad de ser un experto en servidores. Vamos a ello.

Antes de empezar: prepara tu terreno

Actualizar PHP es un proceso seguro si lo haces con cuidado, pero siempre es recomendable tomar precauciones. Piensa en ello como cambiar las ruedas de un coche: necesitas hacerlo con el freno de mano puesto.

Realiza una copia de seguridad completa

Antes de tocar cualquier ajuste, asegúrate de tener una copia de seguridad reciente de tu sitio web. Puedes hacerlo desde el propio DirectAdmin en la sección Backup / Restore. Guarda tanto los archivos como la base de datos en un lugar externo, como tu computadora o un servicio de almacenamiento en la nube.

Comprueba la compatibilidad de tu web

Algunas aplicaciones antiguas, como plugins de WordPress o módulos de PrestaShop, pueden no ser compatibles con las versiones más recientes de PHP. Revisa la documentación de tu CMS y asegúrate de que tus plugins y temas están actualizados. Si usas WordPress, puedes instalar un plugin como "PHP Compatibility Checker" para verificar si todo funcionará bien.

Anota tu configuración actual

Ve a la sección de PHP Settings en DirectAdmin y anota la versión que estás usando y las opciones que tienes habilitadas. Esto te servirá como referencia si necesitas revertir los cambios.

Paso a paso: cómo actualizar PHP en DirectAdmin

DirectAdmin facilita mucho este proceso gracias a su herramienta de selección de versiones múltiples de PHP. Sigue estos pasos:

Accede a la configuración de PHP

Inicia sesión en tu panel de DirectAdmin.
Busca la sección Account Manager o Extra Features en el menú principal.
Haz clic en PHP Settings o PHP Version Selector. El nombre puede variar ligeramente según la versión de DirectAdmin, pero es fácil de identificar.

Selecciona la nueva versión de PHP

Una vez dentro, verás una lista de todas las versiones de PHP disponibles en tu servidor. Las versiones más recientes y recomendadas suelen aparecer en la parte superior.

Selecciona la última versión estable disponible. Actualmente, se recomienda usar PHP 8.2 o 8.3 para la mayoría de los sitios web.
Si tu sitio usa una aplicación muy antigua, puede que necesites quedarte en una versión 7.4, pero ten en cuenta que esta versión ya está en "mantenimiento de seguridad limitado".
Haz clic en el botón Set as current o Update para aplicar el cambio.

Verifica que todo funciona correctamente

Después de unos segundos, DirectAdmin habrá actualizado la configuración. Es hora de comprobar que tu web sigue funcionando correctamente.

Visita tu sitio web y navega por algunas páginas.
Entra en el panel de administración de tu CMS.
Si algo falla, puedes volver a este mismo panel y seleccionar la versión anterior para revertir el cambio de inmediato.

[INFO] Si tienes varios dominios en tu cuenta de DirectAdmin, podrás asignar una versión de PHP diferente a cada dominio. Esto es muy útil si tienes un sitio antiguo que no es compatible con las últimas versiones.

Configurando opciones PHP seguras en DirectAdmin

Una vez que tienes la última versión de PHP instalada, es hora de ajustar las opciones de configuración para reforzar la seguridad. DirectAdmin te permite modificar los parámetros más importantes sin necesidad de tocar archivos de configuración complejos.

Accede al selector de opciones PHP

En la misma sección de PHP Settings, verás un botón o pestaña llamado PHP Options, PHP Config o similar. Haz clic ahí para ver la lista de parámetros que puedes ajustar.

Opciones de seguridad críticas que debes configurar

Aquí te detallo las opciones más importantes que debes revisar y ajustar para proteger tu sitio:

1. `expose_php` (Desactivado)

Esta opción le dice al servidor si debe mostrar la versión de PHP en los encabezados de respuesta HTTP. Es información innecesaria que le estás dando a los atacantes sobre tu servidor.

Valor recomendado: Off (Desactivado).
Por qué: Oculta la versión de PHP, dificultando que los atacantes sepan qué vulnerabilidades específicas pueden intentar explotar.

2. `display_errors` (Desactivado en producción)

Esta opción muestra los errores de PHP directamente en el navegador. Es muy útil en desarrollo, pero peligrosa en producción.

Valor recomendado: Off (Desactivado).
Por qué: Los mensajes de error pueden revelar rutas de archivos, nombres de bases de datos y otra información sensible del servidor. Es mejor registrar los errores en un archivo de log en lugar de mostrarlos al público.

3. `log_errors` (Activado)

Esta opción guarda los errores de PHP en un archivo de registro en el servidor.

Valor recomendado: On (Activado).
Por qué: Te permite monitorear los errores de tu web sin exponerlos públicamente. Puedes revisar los logs para diagnosticar problemas.

4. `allow_url_fopen` (Desactivado si no lo necesitas)

Esta opción permite que tus scripts de PHP lean archivos de URLs externas.

Valor recomendado: Off (Desactivado) si no usas funciones que lo requieran.
Por qué: Es una puerta de entrada común para ataques de inclusión remota de archivos (RFI). Si tu web no necesita cargar archivos de otros sitios, es más seguro desactivarlo.

5. `disable_functions`

Esta opción te permite deshabilitar funciones de PHP que son peligrosas y que rara vez se necesitan en un entorno web.

Valor recomendado: Agrega funciones como exec, shell_exec, system, passthru, popen y proc_open.
Por qué: Estas funciones permiten ejecutar comandos del sistema operativo a través de PHP. Si un atacante encuentra una vulnerabilidad, podría usarlas para tomar el control total de tu servidor. Deshabilitarlas reduce significativamente el riesgo.

6. `max_execution_time` (Ajusta a un valor razonable)

Esta opción limita el tiempo máximo de ejecución de un script PHP.

Valor recomendado: 30 o 60 segundos.
Por qué: Evita que un script malicioso o con un error de programación consuma los recursos del servidor indefinidamente.

7. `memory_limit` (Ajusta según las necesidades de tu web)

Esta opción limita la cantidad de memoria que un script PHP puede utilizar.

Valor recomendado: 128M o 256M para la mayoría de los sitios.
Por qué: Un límite adecuado evita que un script agote la memoria del servidor, lo que podría causar caídas del sitio. Si tu web usa mucho recursos, como un WooCommerce con muchos productos, es posible que necesites un límite más alto.

Cómo aplicar los cambios

Después de ajustar todas las opciones, busca el botón Save o Update en la parte inferior de la página y haz clic en él. DirectAdmin aplicará los cambios al instante.

[WARNING] Si desactivas allow_url_fopen y tu web deja de funcionar correctamente, es probable que necesites activarlo. Algunos plugins de WordPress, como los de actualización o los de importación de datos, lo requieren. En ese caso, actívalo pero considera usar un firewall de aplicación web (WAF) para mitigar los riesgos.

Preguntas frecuentes (FAQ) sobre la seguridad de PHP

Aquí te respondo algunas de las dudas más comunes que nos llegan al soporte:

¿Qué pasa si mi web tiene muchos visitantes y es lenta?

Si tu web es lenta, el problema puede no ser la versión de PHP, sino la configuración de la memoria o del tiempo de ejecución. Te recomiendo revisar tu plan de hosting y considerar aumentar el límite de memoria a 256M o 512M. También es importante revisar si tu base de datos está optimizada.

¿Cada cuánto tiempo debo actualizar PHP?

Te recomiendo que actualices PHP tan pronto como salga una nueva versión estable y tu CMS sea compatible. Las versiones con soporte activo reciben parches de seguridad regularmente. Mantente atento a los anuncios de tu CMS y de DirectAdmin sobre nuevas versiones.

¿Puedo tener diferentes versiones de PHP para diferentes dominios?

Sí, DirectAdmin te permite asignar una versión de PHP diferente a cada dominio en tu cuenta. Es una función muy útil si tienes varios sitios web con necesidades distintas. Simplemente selecciona el dominio en el selector de versiones y elige la versión correspondiente.

¿Qué es Syspanel y cómo se relaciona con esto?

Syspanel es un panel de control alternativo que algunos usuarios utilizan para gestionar sus sitios web y que es muy similar a DirectAdmin. Si estás usando Syspanel, el acceso se realiza a través del puerto 2106 (por ejemplo, https://tu-dominio.com:2106). El proceso para actualizar PHP y configurar las opciones de seguridad es muy similar al que te he explicado aquí, aunque la interfaz puede variar ligeramente.

[TIP] Si no encuentras la opción de cambiar la versión de PHP en tu panel, es posible que tu proveedor de hosting no la haya habilitado. En ese caso, contacta con su soporte y pregunta si pueden actualizar PHP por ti.

Conclusión: la seguridad es un proceso continuo

Actualizar PHP y configurar opciones seguras es un paso fundamental para proteger tu sitio web, pero no es el único. La seguridad es un proceso continuo que requiere atención regular. Te recomiendo que revises las opciones de seguridad de PHP al menos una vez al mes y que te mantengas al día con las últimas actualizaciones de tu CMS, plugins y temas.

Además, considera implementar otras medidas de seguridad complementarias, como:

Usar contraseñas fuertes y únicas para todos tus accesos.
Configurar la autenticación de dos factores (2FA) en tu panel de control y en tu CMS.
Instalar un certificado SSL para cifrar la comunicación entre tu web y los visitantes.
Realizar copias de seguridad periódicas y mantenerlas en un lugar seguro.

Siguiendo estos pasos y prestando atención a las opciones de configuración de PHP, habrás dado un gran paso para mantener tu sitio web seguro, rápido y siempre disponible para tus usuarios. Si tienes cualquier duda, nuestro equipo de soporte está aquí para ayudarte.