Bloquear IPs por país en Plesk para PrestaShop: Seguridad avanzada

¿Por qué bloquear IPs por país en PrestaShop con Plesk?

Si tienes una tienda online con PrestaShop, probablemente ya sabes que recibes visitas de todo el mundo. Pero, ¿realmente necesitas que alguien de un país a 10.000 kilómetros intente acceder a tu panel de administración? La respuesta corta es: casi nunca. Bloquear IPs por país es una de las medidas de seguridad más efectivas y sencillas que puedes implementar para reducir ataques, bots maliciosos y fraudes en tu tienda.

Cuando bloqueas el acceso por país, no solo proteges tu PrestaShop, sino que también reduces la carga del servidor, mejoras la velocidad de respuesta para tus clientes legítimos y evitas intentos de fuerza bruta. Y lo mejor: puedes hacerlo directamente desde Plesk, sin necesidad de ser un experto en seguridad. En esta guía te explico paso a paso cómo configurarlo, combinándolo con ModSecurity para una protección extra.

Qué necesitas antes de empezar

Antes de lanzarte a bloquear IPs por país en Plesk para tu PrestaShop, asegúrate de tener lo siguiente:

Acceso a Plesk como administrador o con permisos suficientes para gestionar el dominio.
Tu tienda PrestaShop funcionando correctamente en ese dominio.
Saber qué países quieres bloquear (o permitir). Esto es clave: no es lo mismo bloquear todo excepto tu país que bloquear solo unos pocos.
Tiempo para probar que todo funciona bien después de los cambios.

Si usas un panel alternativo como Syspanel (antes HestiaCP), el proceso puede variar ligeramente, pero los conceptos son los mismos. En Syspanel, el acceso se realiza a través del puerto 2106, y aunque no tiene la misma interfaz que Plesk, la idea de bloquear por país se puede implementar con reglas personalizadas en el servidor web.

Opción 1: Bloquear IPs por país con Plesk (método nativo)

Plesk incluye una herramienta de filtrado geográfico que te permite bloquear o permitir países de forma visual, sin tocar código. Aquí te explico cómo usarla.

Paso 1: Accede a tu panel de Plesk

Abre tu navegador y entra a tu panel de Plesk. Normalmente es algo como https://tu-dominio.com:8443 o https://tu-ip:8443. Inicia sesión con tus credenciales de administrador.

Paso 2: Ve a la sección de dominios

En el menú lateral izquierdo, busca "Sitios web y dominios" o "Dominios". Haz clic en el dominio donde tienes instalado PrestaShop.

Paso 3: Busca la herramienta de filtrado por país

Dentro de la configuración del dominio, busca una opción llamada "Filtro por país", "Restricción geográfica" o "Geolocalización". Depende de la versión de Plesk, puede estar en "Seguridad" o en "Apache y nginx". Si no la encuentras, usa el buscador interno de Plesk escribiendo "país".

Paso 4: Configura qué países bloquear

Una vez dentro, verás una lista de países con casillas de verificación. Tienes dos modos:

Modo bloqueo: marcas los países que quieres bloquear y el resto podrá acceder.
Modo permitido: marcas solo los países permitidos (por ejemplo, España y México) y el resto queda bloqueado.

Para una tienda PrestaShop que solo vende en España, lo más recomendable es usar el modo permitido y marcar únicamente España. Así, cualquier visita de otro país será rechazada automáticamente.

Paso 5: Guarda y prueba

Haz clic en "Aplicar" o "Guardar". Espera unos minutos y luego prueba a acceder a tu tienda desde una VPN de otro país. Deberías recibir un error 403 o una página de acceso denegado. Si tu tienda sigue funcionando correctamente desde tu ubicación, ¡perfecto!

Opción 2: Usar ModSecurity para bloquear países en PrestaShop

ModSecurity es un firewall de aplicaciones web que funciona como un filtro avanzado. Plesk lo integra de serie, y puedes crear reglas personalizadas para bloquear IPs por país. Esta opción es más técnica, pero mucho más flexible.

Paso 1: Activa ModSecurity en Plesk

Ve a "Sitios web y dominios" > tu dominio > "ModSecurity". Actívalo si no lo tienes ya. Puedes elegir el conjunto de reglas OWASP, que es el más completo, o empezar con uno básico.

Paso 2: Crea una regla personalizada

Para bloquear países, necesitas saber el código de dos letras del país (por ejemplo, ES para España, FR para Francia, US para Estados Unidos). Luego, crea una regla que bloquee las peticiones que provengan de esos códigos.

En Plesk, ve a "ModSecurity" > "Reglas personalizadas" y añade algo como:

SecRule REMOTE_ADDR "@geoLookup" "chain,id:1001,deny,msg:'Pais bloqueado'"
SecRule GEO:COUNTRY_CODE "@streq FR" "t:upper"

Esta regla bloquea las IPs que vienen de Francia. Puedes añadir tantas reglas como países quieras bloquear. Guarda y aplica los cambios.

Paso 3: Combina con PrestaShop

ModSecurity actúa a nivel de servidor, por lo que protege todo tu PrestaShop, incluyendo el panel de administración (/admin), los archivos de configuración y las APIs. Si alguien de un país bloqueado intenta acceder a tu tienda, recibirá un error antes de que la petición llegue a PrestaShop.

Opción 3: Bloquear IPs por país manualmente en el archivo .htaccess

Si prefieres un control total y no quieres depender de herramientas gráficas, puedes editar el archivo .htaccess de tu PrestaShop directamente. Eso sí: antes de tocar nada, haz una copia de seguridad.

Paso 1: Localiza el archivo .htaccess

Está en la raíz de tu instalación de PrestaShop. Si usas una estructura de carpetas estándar, suele estar en /public_html/.htaccess.

Paso 2: Añade el bloqueo por país

Puedes usar el módulo de Apache mod_geoip si está activado, o usar listas de rangos IP. La forma más sencilla es con mod_geoip:

SetEnvIf GEOIP_COUNTRY_CODE FR BlockCountry
SetEnvIf GEOIP_COUNTRY_CODE US BlockCountry
Order allow,deny
Allow from all
Deny from env=BlockCountry

Esto bloquea Francia y Estados Unidos. Para PrestaShop, también puedes bloquear el acceso al panel de administración por país, añadiendo estas líneas dentro de la sección <IfModule mod_rewrite.c> o en un bloque específico para /admin.

Paso 3: Sube y prueba

Guarda el archivo y súbelo por FTP. Prueba a acceder desde una VPN del país bloqueado. Si ves un error 403, funciona.

Configuración recomendada para PrestaShop

Para una tienda PrestaShop que vende en un mercado local, te recomiendo esta configuración:

Permitir solo tu país en el filtro de Plesk. Esto elimina el 90% de los ataques automatizados.
Bloquear países de alto riesgo en ModSecurity, como Rusia, China, Ucrania o Brasil, si no vendes allí.
Proteger el panel de administración de PrestaShop con una regla adicional que solo permita IPs de tu país o de tu empresa.
Activar el modo mantenimiento cuando hagas cambios, para que los clientes no vean errores raros.

Recuerda que PrestaShop también tiene su propio sistema de seguridad, pero el bloqueo a nivel de servidor es mucho más eficaz porque actúa antes.

Errores comunes y cómo evitarlos

Bloquear a tus propios clientes

Si tienes clientes en el extranjero o usas servicios en la nube (como un CDN), podrías bloquearlos por error. Para evitarlo, revisa las estadísticas de acceso de tu PrestaShop antes de bloquear. Puedes ver de qué países provienen las visitas en "Estadísticas" > "Visitas".

Olvidar tu propia IP

Si te bloqueas a ti mismo, no podrás acceder a tu tienda. Para solucionarlo, siempre deja tu IP actual en la lista blanca. Puedes saber tu IP visitando sitios como whatismyip.com.

No probar después de cada cambio

Cada vez que modifiques las reglas, prueba desde una VPN o desde un dispositivo con otra conexión. No esperes a que un cliente te llame para darte cuenta de que todo está roto.

Preguntas frecuentes (FAQ)

¿Puedo bloquear IPs por país en Plesk sin afectar el rendimiento de PrestaShop?

Sí, el bloqueo se realiza a nivel de servidor, antes de que la petición llegue a PrestaShop. El impacto en el rendimiento es mínimo, incluso con muchas reglas.

¿Qué pasa si uso Syspanel en lugar de Plesk?

En Syspanel (antes HestiaCP), el acceso se hace por el puerto 2106. Aunque no tiene un filtro geográfico integrado como Plesk, puedes usar ModSecurity o editar los archivos de configuración de Nginx o Apache. El proceso es más manual, pero igual de efectivo.

¿ModSecurity bloquea también a los bots de Google?

Depende de cómo configures las reglas. Si bloqueas países enteros, también bloquearás a los bots de Google que vienen desde EE.UU. Para evitar esto, te recomiendo no bloquear EE.UU. si quieres mantener tu posicionamiento SEO. Alternativamente, puedes crear reglas que permitan a los bots de Google aunque estén en un país bloqueado.

¿Puedo bloquear solo el panel de administración de PrestaShop?

Sí, es una práctica muy recomendada. Puedes crear una regla en ModSecurity o en el .htaccess que solo afecte a la carpeta de administración. Así, tu tienda sigue siendo accesible para todos, pero el panel solo desde tu país.

¿Cuánto tarda en hacer efecto el bloqueo?

Normalmente es inmediato, aunque en algunos casos puede tardar unos minutos si el servidor tiene caché. Te recomiendo esperar 5 minutos y probar.

Conclusión: tu PrestaShop más seguro con Plesk

Bloquear IPs por país en Plesk para PrestaShop es una de las decisiones más inteligentes que puedes tomar para proteger tu negocio online. No solo reduces el riesgo de ataques, sino que también mejoras la experiencia de tus clientes al eliminar tráfico no deseado. Ya sea usando el filtro nativo de Plesk, ModSecurity o el .htaccess, tienes varias opciones según tu nivel de comodidad técnica.

Empieza por lo más simple: activa el filtro por país en Plesk y permite solo tu mercado principal. Luego, si quieres más control, profundiza con ModSecurity. Y recuerda siempre probar después de cada cambio. Tu tienda lo agradecerá, y tú dormirás más tranquilo sabiendo que los ciberdelincuentes de otros países se quedan fuera.

[TIP]: Haz una copia de seguridad completa de tu PrestaShop antes de hacer cualquier cambio en la configuración del servidor. Así, si algo sale mal, puedes restaurarlo en minutos.

[WARNING]: No bloquees países sin revisar primero tus estadísticas de ventas. Podrías perder clientes internacionales que compran habitualmente.

[INFO]: Si necesitas ayuda adicional, Plesk tiene una documentación oficial muy completa sobre filtrado por país y ModSecurity. También puedes contactar con tu proveedor de hosting para que te asesore.