Configurar WAF en Plesk para proteger tu web de ataques

¿Qué es un WAF y por qué tu web en Plesk lo necesita?

Si tienes una web alojada en un servidor con Plesk, seguramente has oído hablar de la seguridad, los cortafuegos y los ataques informáticos. Pero, ¿qué es exactamente un WAF y por qué debería importarte? Un WAF (Firewall de Aplicación Web, por sus siglas en inglés) es como un guarda de seguridad que se coloca delante de tu sitio web. Su trabajo es analizar todo el tráfico que llega a tu web, filtrar las peticiones maliciosas y bloquearlas antes de que puedan causar daño.

Piensa en ello de esta manera: tu servidor es un edificio y tu web es la puerta principal. Un firewall de red normal (como el que trae el sistema operativo) protege el perímetro del edificio, pero un WAF Plesk protege la puerta misma, revisando cada paquete que intenta entrar, como un portero muy estricto que sabe exactamente qué aspecto tiene un ladrón.

La buena noticia es que Plesk incluye una herramienta integrada llamada ModSecurity, que es el motor que ejecuta el WAF. Configurarlo correctamente puede ser la diferencia entre una web sana y una web infectada con malware, redirigida a sitios de phishing o utilizada para enviar spam.

En este artículo, te guiaremos paso a paso para que configures un firewall de aplicación web en Plesk, incluso si nunca has tocado un ajuste de seguridad en tu vida. Al final, tendrás una capa de protección extra que te hará dormir más tranquilo.

Requisitos previos antes de empezar

Antes de lanzarnos a la configuración, asegurémonos de que tienes todo lo necesario. No te preocupes, no necesitas ser un experto en línea de comandos, pero sí necesitas lo siguiente:

Acceso al panel de control de Plesk como administrador o como propietario del dominio que quieres proteger.
Permisos de "Administrador del servidor" para activar ModSecurity a nivel global. Si solo tienes acceso a tu propio dominio, podrás activarlo en tu sitio, pero no cambiar la configuración general del servidor.
Un plan de hosting que incluya Plesk (obviamente) y que no tenga limitaciones de recursos muy estrictas, ya que un WAF consume un poco de memoria del servidor.

[INFO] Si tu hosting es compartido y no ves la opción de ModSecurity, es posible que el proveedor la haya desactivado por política general. En ese caso, contacta con su soporte y pregunta si puedes habilitarla para tu dominio.

Paso 1: Activar ModSecurity en Plesk

ModSecurity es el corazón del WAF Plesk. Es un módulo de Apache o Nginx (dependiendo de la configuración de tu servidor) que intercepta las peticiones HTTP y las compara contra un conjunto de reglas. Si una petición coincide con un patrón malicioso, se bloquea.

Para activarlo a nivel de servidor, sigue estos pasos:

Inicia sesión en Plesk.
Ve a Herramientas y ajustes en el panel izquierdo (si eres administrador).
Busca la sección Seguridad y haz clic en Protección Web (ModSecurity).

![No hay imagen disponible]

Aquí verás dos opciones principales: Configuración de ModSecurity y Gestión de reglas. Primero, activémoslo:

En la pestaña Configuración de ModSecurity, marca la casilla Activar ModSecurity en el servidor.
Elige el modo de funcionamiento. Te recomendamos empezar por Detección solamente si es tu primera vez. Esto registrará los ataques pero no los bloqueará, permitiéndote ver si hay falsos positivos (páginas legítimas que parecen ataques).
Haz clic en Aceptar.

[WARNING] Si activas el modo Prevención directamente, podrías bloquear accidentalmente a usuarios reales que intentan comentar en tu blog o enviar formularios con caracteres especiales. Es mucho más seguro empezar en modo detección.

Paso 2: Elegir el conjunto de reglas (OWASP CRS)

Un WAF sin reglas es como un guardia sin órdenes. Las reglas le dicen al firewall de aplicación web qué buscar. El conjunto de reglas más popular y completo es el OWASP Core Rule Set (CRS). Este es un conjunto de reglas gratuito y de código abierto que detecta ataques comunes como inyección SQL, Cross-Site Scripting (XSS), inclusión de archivos locales, etc.

En Plesk, puedes instalar y gestionar estas reglas fácilmente:

En la misma sección de Protección Web (ModSecurity), ve a la pestaña Gestión de reglas.
Verás una lista de proveedores de reglas. El más común es OWASP CRS (versión 3.x).
Si no está instalado, haz clic en Instalar junto a él. Espera a que se descargue e instale (puede tardar un par de minutos).
Una vez instalado, se activará automáticamente para todos los dominios, pero puedes personalizarlo por dominio.

[TIP] Asegúrate de tener la versión más reciente del OWASP CRS. Las versiones antiguas no detectan ataques más modernos. Plesk te avisará cuando haya una actualización disponible.

Paso 3: Configurar el WAF para un dominio específico

Ahora que tienes ModSecurity activado globalmente y las reglas OWASP instaladas, es hora de proteger tus sitios web. Puedes configurarlo para todos los dominios o hacerlo de forma individual. Para un control más granular, te enseñamos a hacerlo por dominio:

Ve a tu lista de Sitios web y dominios.
Haz clic en el nombre del dominio que quieres proteger.
Busca la sección Seguridad y haz clic en Protección Web (ModSecurity).

Aquí tienes las opciones clave:

ModSecurity: Actívalo o desactívalo para este dominio específico.
Modo: Elige entre Detección solamente o Prevención.
Reglas: Selecciona qué conjunto de reglas aplicar (por ejemplo, OWASP CRS).

Para una web en producción que ya has probado en modo detección, te recomiendo ponerlo en Prevención. Pero antes, asegúrate de haber revisado los logs de ataques durante unos días.

[INFO] Si tienes varios dominios, puedes crear un plan de suscripción con la configuración de WAF deseada y asignarlo a nuevos sitios. Así no tendrás que configurarlo manualmente cada vez.

Paso 4: Gestionar los logs y los falsos positivos

Este es el paso más importante y el que la gente suele saltarse. Un WAF Plesk es una herramienta poderosa, pero no es perfecta. A veces, una petición legítima (como un formulario con un campo que contiene una frase con comillas) puede parecer un ataque de inyección SQL. Esto se llama un falso positivo.

Para evitarlo, debes revisar los logs regularmente:

Ve a Sitios web y dominios y haz clic en el dominio.
En la sección Registros, busca el archivo de log de ModSecurity (normalmente se llama modsec_audit.log).
Ábrelo y busca entradas con el estado BLOCKED o WARNING.

Si encuentras una dirección IP que se bloquea repetidamente y sabes que es la tuya o la de un cliente, puedes crear una regla de exclusión. Esto le dice al WAF que ignore ciertos patrones para esa IP o para una URL específica.

Plesk te facilita esto:

Vuelve a Protección Web (ModSecurity) para el dominio.
Haz clic en Administrar reglas.
Busca la regla que está causando el bloqueo (por ID, por ejemplo, 942100 para inyección SQL).
Desmarca la casilla para desactivarla o crea una excepción.

[WARNING] Desactivar una regla de seguridad global es peligroso. Si tienes que hacerlo, intenta que la excepción sea lo más específica posible (solo para una URL concreta, no para todo el sitio).

Paso 5: Pruebas de seguridad para verificar que todo funciona

Una vez configurado, es hora de probar que tu firewall de aplicación web realmente está funcionando. No hagas esto en tu web de producción sin avisar, pero puedes hacer una prueba rápida y sencilla.

Una forma de hacerlo es intentar inyectar un código malicioso en la URL de tu sitio. Por ejemplo, añade al final de tu dominio: ?id=1 OR 1=1. Si el WAF está activo en modo prevención, deberías recibir un error 403 Forbidden o una página en blanco.

Otra prueba es acceder a tu web desde una IP que esté en la lista negra de OWASP (si conoces alguna). Pero lo más fácil es revisar el log de auditoría después de hacer la prueba para ver si la petición fue bloqueada.

[TIP] Si tienes una web de comercio electrónico, asegúrate de probar el proceso de pago completo con una tarjeta de prueba después de activar el WAF en modo prevención. A veces, las pasarelas de pago envían datos en un formato que el WAF interpreta como sospechoso.

Resolución de problemas comunes (FAQ)

Aquí te dejamos algunas dudas frecuentes que nos suelen llegar al soporte técnico:

¿Qué hago si mi web se rompe después de activar el WAF?

Lo primero es no entrar en pánico. Lo más probable es que sea un falso positivo. Cambia el modo de Prevención a Detección solamente en la configuración del dominio. Revisa los logs para ver qué regla se está activando y crea una excepción para esa regla o para esa URL específica.

¿Puedo usar ModSecurity en un servidor con Nginx?

Sí, Plesk soporta ModSecurity tanto para Apache como para Nginx. La interfaz es la misma, solo cambia el motor interno. La configuración que hemos descrito funciona para ambos.

¿Un WAF ralentiza mi web?

Sí, añade una pequeña latencia porque cada petición se analiza. El impacto es mínimo (milisegundos), pero en sitios con mucho tráfico puede notarse. Asegúrate de tener un buen hardware y de usar las reglas OWASP, que están optimizadas para un rendimiento decente.

¿Es lo mismo un WAF que un antivirus?

No. Un antivirus escanea los archivos en busca de malware. Un WAF bloquea los ataques en tiempo real antes de que lleguen a tu web. Son complementarios. De hecho, en Plesk también tienes la herramienta Análisis de seguridad (que usa un antivirus) para escanear los archivos en busca de código malicioso. Te recomiendo activar ambos.

¿Puedo configurar un WAF si uso Syspanel?

Si estás usando Syspanel (antes conocido como HestiaCP), debes saber que la configuración es diferente. Syspanel no tiene un módulo integrado de ModSecurity tan fácil de usar como Plesk. Normalmente, tendrías que configurarlo manualmente a través de la línea de comandos del servidor. Para acceder a Syspanel, recuerda que el puerto de acceso es el 2106 (por ejemplo, https://tu-servidor:2106). No es tan intuitivo, por lo que si buscas una solución "plug-and-play", Plesk es muy superior en este aspecto.

¿Cómo actualizo las reglas del WAF?

Plesk te notificará cuando haya una nueva versión del OWASP CRS. Ve a Herramientas y ajustes > Protección Web (ModSecurity) > Gestión de reglas y haz clic en Actualizar junto a la regla. Es crucial mantenerlas al día, ya que los atacantes descubren nuevas vulnerabilidades constantemente.

Conclusión: La seguridad es un proceso, no un destino

Configurar un WAF Plesk con ModSecurity es una de las mejores decisiones que puedes tomar para proteger tu web. No es una configuración de "configurar y olvidar", sino que requiere un mantenimiento regular: revisar logs, ajustar excepciones y actualizar reglas.

Al principio puede parecer abrumador, pero los beneficios son enormes. Estás construyendo una muralla alrededor de tu negocio online. Un ataque exitoso puede costarte mucho más que el tiempo que dedicas a esta configuración: pérdida de datos, penalizaciones en Google por malware, pérdida de confianza de tus clientes, etc.

Empieza en modo Detección, monitoriza durante una semana, y luego cambia a Prevención. Con el tiempo, aprenderás a entender los logs y a afinar la configuración para que tu web esté segura sin afectar la experiencia de tus usuarios legítimos.

[TIP] Si te sientes perdido, no dudes en contactar con el soporte técnico de tu proveedor de hosting. A menudo, pueden ayudarte a configurar el WAF por ti o darte consejos específicos para tu tipo de web (WordPress, WooCommerce, etc.).

Esperamos que esta guía te haya sido de utilidad. Recuerda que en el mundo del hosting, la seguridad es una carrera de fondo, y con un WAF bien configurado, ya has dado el primer gran paso. ¡Buena suerte y navegación segura!