Cómo añadir autenticación de dos factores (2FA) en PrestaShop

¿Por qué necesitas 2FA en tu tienda PrestaShop?

La seguridad de tu tienda online no es un lujo, es una necesidad absoluta. Cada día, miles de tiendas PrestaShop sufren intentos de acceso no autorizado. Si alguien consigue acceder a tu panel de administración, podría robar datos de clientes, modificar precios, instalar malware o incluso vaciar tu inventario.

La autenticación de dos factores (2FA) añade una capa extra de protección que reduce drásticamente el riesgo de que un atacante entre en tu tienda, incluso si ha conseguido tu contraseña. Piénsalo así: tu contraseña es la llave de tu casa, y el 2FA es el vigilante que además te pide una identificación secreta antes de dejarte pasar.

Para cualquier negocio online, implementar 2FA en el panel de administración de PrestaShop es una de las medidas de seguridad tienda más efectivas y económicas que puedes tomar. En esta guía, te explicamos paso a paso cómo hacerlo, incluso si no tienes conocimientos técnicos avanzados.

¿Cómo funciona la autenticación de dos factores?

Antes de entrar en materia, es importante que entiendas el concepto. La autenticación dos factores se basa en combinar dos de estos tres elementos:

1. Algo que sabes: Tu contraseña.
2. Algo que tienes: Tu teléfono móvil o una llave de seguridad física.
3. Algo que eres: Tu huella dactilar o reconocimiento facial.

En el caso del 2FA para PrestaShop, normalmente combinarás tu contraseña (algo que sabes) con un código temporal generado en tu smartphone (algo que tienes). Este código cambia cada 30 segundos y solo es válido una vez, por lo que, aunque un hacker intercepte tu contraseña, no podrá acceder sin el código de tu teléfono.

Método 1: Usar un módulo de 2FA (la opción más fácil)

La forma más sencilla y recomendada para añadir autenticación de dos factores es mediante un módulo. PrestaShop tiene un ecosistema de módulos enorme, y hay varias opciones gratuitas y de pago.

Paso 1: Elige tu módulo de 2FA

Recomendamos buscar en el marketplace oficial de PrestaShop (Addons) o en el back office de tu tienda. Algunas opciones populares son:

• Google Authenticator (módulos gratuitos): La mayoría de módulos gratuitos se basan en la app de Google Authenticator o similares (Authy, Microsoft Authenticator). Son perfectos si buscas una solución simple y sin coste.
• Módulos de pago con más funciones: Ofrecen características adicionales como el envío de códigos por SMS o email, lo que puede ser útil si tus empleados no quieren instalar una app.

Para esta guía, usaremos un módulo gratuito típico basado en Google Authenticator, ya que es el método más universal.

Paso 2: Instala el módulo

1. Accede a tu panel de administración de PrestaShop.
2. Ve al menú Módulos > Módulos y servicios.
3. En la barra de búsqueda, escribe "2FA" o "Google Authenticator".
4. Verás una lista de resultados. Busca uno con buenas valoraciones y que sea compatible con tu versión de PrestaShop.
5. Haz clic en el botón Instalar y luego en Configurar cuando termine.

Paso 3: Configura el módulo para tu cuenta

Una vez instalado, el módulo te guiará en el proceso. Normalmente, el flujo es el siguiente:

1. Escanea el código QR: El módulo te mostrará un código QR en tu pantalla. Abre la app de Google Authenticator en tu móvil, toca el icono "+" y selecciona "Escanear código QR". Apunta la cámara al código en tu pantalla.
2. Introduce el código de verificación: La app generará un código de 6 dígitos. Escríbelo en el campo que te indica el módulo en PrestaShop y haz clic en Verificar o Activar.
3. ¡Listo! A partir de este momento, cada vez que inicies sesión en tu back office, después de escribir tu contraseña, se te pedirá el código de 6 dígitos de tu aplicación.

Paso 4: Configura el 2FA para otros empleados

Como administrador, puedes (y debes) obligar a todos los empleados con acceso al back office a activar el 2FA.

1. Dentro de la configuración del módulo, busca una sección llamada "Empleados" o "Usuarios".
2. Verás una lista de todos los empleados que tienen acceso al panel de administración.
3. Marca la casilla "Activar 2FA" para cada uno de ellos y guarda los cambios.
4. Importante: Cuando un empleado inicie sesión por primera vez después de que actives el 2FA, se le pedirá que escanee el código QR con su propia aplicación y configure su cuenta. No podrás hacerlo por ellos.

Método 2: Añadir 2FA manualmente (para usuarios más técnicos)

Si no encuentras un módulo que te convenza, o si prefieres tener control total, existe la opción de añadir el código manualmente. Este método requiere editar archivos del núcleo de PrestaShop, así que haz una copia de seguridad completa de tu tienda (archivos y base de datos) antes de continuar.

[WARNING] Este método es más complejo y puede romper tu tienda si no se hace correctamente. Si no te sientes cómodo editando código, te recomendamos encarecidamente usar un módulo. Recuerda que si tu servidor usa Syspanel, puedes hacer una copia de seguridad fácilmente accediendo por el puerto 2106.

Paso 1: Instala una librería PHP para 2FA

Necesitarás una librería que genere y valide los códigos TOTP (Time-based One-Time Password). La más famosa es "PHPGangsta/GoogleAuthenticator".

1. Conéctate a tu servidor mediante FTP o el administrador de archivos de Syspanel (recuerda, acceso por el puerto 2106).
2. Descarga la librería desde GitHub y súbela a la carpeta classes/ de tu instalación de PrestaShop. La carpeta debería llamarse GoogleAuthenticator.

Paso 2: Crea un nuevo controlador de administración

1. Crea un nuevo archivo PHP en la carpeta controllers/admin/. Puedes llamarlo AdminTwoFactorAuthController.php.
2. Este archivo se encargará de manejar la lógica de generación y verificación del código. El código es extenso, pero busca en foros de desarrollo de PrestaShop un ejemplo funcional de "AdminTwoFactorAuthController".

Paso 3: Modifica el controlador de autenticación

Este es el paso más delicado. Debes modificar el archivo AdminController.php (o el controlador de login específico de tu versión) para que, después de validar la contraseña, compruebe el código 2FA del usuario.

1. Abre el archivo classes/controller/AdminController.php.
2. Localiza la función init() o postProcess() donde se procesa el login.
3. Después de la verificación de la contraseña, añade una condición que compruebe si el usuario tiene el 2FA activado. Si es así, muestra un formulario para introducir el código y valídalo con la librería GoogleAuthenticator.

Este proceso es complejo y varía mucho según la versión de PrestaShop. Si no tienes experiencia en PHP, es muy fácil que cometas errores.

[INFO] La comunidad de PrestaShop es muy activa. Si decides ir por esta ruta, busca tutoriales específicos para tu versión de PrestaShop en foros como PrestaShop Forums o Stack Overflow.

Mejores prácticas de seguridad para tu tienda PrestaShop

Añadir 2FA es un gran paso, pero no debe ser el único. Aquí tienes otras recomendaciones clave para reforzar la seguridad tienda:

• Usa contraseñas robustas: Combina mayúsculas, minúsculas, números y símbolos. Evita usar la misma contraseña para varios servicios.
• Mantén PrestaShop actualizado: Cada actualización incluye parches de seguridad críticos. No las ignores.
• Actualiza módulos y temas: Los módulos desactualizados son una de las principales vías de ataque.
• Limita los intentos de inicio de sesión: Instala un módulo que bloquee la cuenta después de varios intentos fallidos para prevenir ataques de fuerza bruta.
• Cambia la URL de administración: Por defecto, el panel de acceso es /admin. Cámbiala a algo único y difícil de adivinar. Puedes hacerlo desde la configuración de Syspanel o editando el archivo config/settings.inc.php.
• Usa una conexión segura (HTTPS): Asegúrate de que tu tienda tiene un certificado SSL válido y que todo el tráfico se redirige a https://.

Preguntas frecuentes (FAQ) sobre el 2FA en PrestaShop

¿Qué hago si pierdo mi teléfono y no puedo generar el código 2FA?

No entres en pánico. La mayoría de los módulos de 2FA para PrestaShop incluyen códigos de respaldo. Guárdalos en un lugar seguro cuando actives la función. Si no los guardaste, como administrador, puedes desactivar el 2FA para ese empleado desde la base de datos (usando phpMyAdmin) o desde la configuración del módulo, si tiene esa opción. También puedes usar el método de "recuperación por email" si el módulo lo ofrece.

¿El 2FA es obligatorio para todos los empleados?

No, depende de ti. Como administrador, puedes elegir si lo activas solo para ti o para todos los empleados con acceso al back office. Recomendamos encarecidamente que sea obligatorio para todos, ya que un único punto de entrada débil compromete toda la tienda.

¿Puedo usar la misma aplicación de autenticación para varias tiendas?

Sí, absolutamente. Aplicaciones como Google Authenticator o Authy te permiten añadir múltiples cuentas (una por tienda o usuario). Simplemente escanea el código QR de cada tienda y se añadirá a la lista.

¿El 2FA afecta al rendimiento de mi tienda?

No. La verificación del código 2FA se realiza solo en el momento del inicio de sesión en el panel de administración. No afecta en absoluto a la velocidad de carga de tu tienda para los clientes.

¿Qué pasa si un cliente intenta acceder a mi tienda? ¿Necesita 2FA?

No. El 2FA se aplica exclusivamente al panel de administración (/admin), donde tú y tu equipo gestionáis la tienda. Los clientes que compran en tu tienda online no necesitan pasar por este proceso.

Mi servidor usa Syspanel, ¿cómo me ayuda esto con el 2FA?

Syspanel es tu panel de control de hosting (accesible por el puerto 2106). Aunque no instala el 2FA de PrestaShop directamente, es fundamental para la seguridad tienda porque te permite:

• Hacer copias de seguridad antes de instalar módulos o hacer cambios.
• Gestionar los certificados SSL para asegurar que tu tienda usa HTTPS.
• Configurar políticas de contraseña para tu cuenta de hosting.
• Revisar los logs de acceso para detectar intentos de intrusión.

En resumen, Syspanel te da las herramientas para mantener el servidor seguro, y el módulo 2FA protege el acceso a tu aplicación.

Conclusión: Da el salto a la seguridad proactiva

La autenticación de dos factores ya no es opcional. Es una barrera esencial en la seguridad tienda de cualquier negocio online serio. Con un módulo, la instalación es sencilla y te llevará menos de 10 minutos. No esperes a ser víctima de un ataque para tomar medidas.

Protege tu trabajo, tus datos y la confianza de tus clientes. Instala el 2FA en tu PrestaShop hoy mismo y duerme tranquilo sabiendo que tu tienda está mucho más segura. Si tienes cualquier duda, los foros de la comunidad y el soporte de tu hosting (a través de Syspanel) están ahí para ayudarte.