Crear Usuario FTP en Plesk | Permisos Limitados y Seguridad

¿Por qué es importante crear un usuario FTP seguro en Plesk?

Cuando gestionas un sitio web, el acceso por FTP (Protocolo de Transferencia de Archivos) es una de las puertas de entrada más comunes para los atacantes. Si dejas las credenciales por defecto o das permisos demasiado amplios, cualquier persona con acceso a ese usuario podría modificar, borrar o inyectar código malicioso en tu web.

Crear un usuario FTP seguro en Plesk no es solo una recomendación, es una necesidad básica de ciberseguridad. Al limitar sus permisos, reduces la superficie de ataque y te aseguras de que, si alguien intercepta esas credenciales, el daño potencial sea mínimo.

En esta guía te explicaré paso a paso cómo crear FTP Plesk con un enfoque seguro, cómo administrar FTP Plesk correctamente y qué permisos debes otorgar según el rol de cada usuario.

Antes de empezar: conceptos básicos sobre FTP en Plesk

Plesk es uno de los paneles de control de hosting más utilizados del mundo. Permite gestionar dominios, bases de datos, correos y, por supuesto, usuarios FTP.

Un usuario FTP en Plesk puede tener acceso a:

La raíz del dominio (todo el contenido).
Subcarpetas específicas (como /public_html o /wp-content).
Permisos de lectura y escritura combinados de distintas formas.

La clave está en entender que no todos los usuarios FTP necesitan el mismo nivel de acceso. Por ejemplo, un desarrollador externo que solo actualiza una parte del sitio no debería poder tocar la configuración general ni otros directorios sensibles.

Paso 1: Acceder al panel de Plesk

Lo primero es iniciar sesión en tu panel de Plesk. Normalmente accedes a través de una URL como https://tu-dominio:8443 o https://tu-ip:8443. Si no lo tienes claro, consulta con tu proveedor de hosting.

Una vez dentro, busca la sección "Sitios web y dominios" en el menú lateral. Allí verás todos tus dominios y subdominios.

Paso 2: Crear un usuario FTP en Plesk (paso a paso)

Sigue estos pasos para crear FTP Plesk de forma segura:

Selecciona el dominio sobre el que quieres crear el usuario FTP.
Busca el icono "Acceso FTP" o "Usuarios FTP" (dependiendo de la versión de Plesk). Haz clic en él.
Verás una lista de usuarios FTP existentes. Haz clic en "Agregar usuario FTP".
Rellena los campos del formulario:
- Nombre de usuario: Elige algo descriptivo pero sin información personal. Por ejemplo, desarrollo-web o cliente-design. Evita nombres como admin o test.
- Contraseña: Aquí es donde más cuidado debes tener. Usa una contraseña larga (mínimo 12 caracteres) con mayúsculas, minúsculas, números y símbolos. Plesk tiene un generador de contraseñas seguras, te recomiendo usarlo.
- Inicio de sesión: Define si el usuario accederá solo a una carpeta específica o a todo el dominio. Para mayor seguridad, elige "La carpeta del sitio web" o una subcarpeta concreta.
- Permisos: Marca solo los permisos necesarios. Los más comunes son:
  - Lectura y escritura: para usuarios que gestionan contenido.
  - Solo lectura: ideal para personas que solo necesitan descargar archivos.
  - Sin acceso a subcarpetas: si quieres limitar aún más el alcance.
Haz clic en "Aceptar".

[TIP] Si vas a crear varios usuarios, haz una lista previa de qué carpetas necesita cada uno y qué permisos. Así evitarás dar acceso innecesario.

Paso 3: Limitar permisos FTP en Plesk (configuración avanzada)

Crear el usuario es solo el primer paso. Ahora toca administrar FTP Plesk para que los permisos sean los mínimos indispensables.

3.1. Limitar el acceso a una carpeta específica

Cuando creas el usuario, en el campo "Inicio de sesión" puedes escribir una ruta exacta. Por ejemplo:

/public_html/wp-content/themes/mi-tema
/public_html/imagenes
/backups

De esta forma, el usuario solo verá y modificará esa carpeta. No podrá navegar fuera de ella.

3.2. Elegir los permisos correctos

Plesk te ofrece varias combinaciones de permisos:

Lectura y escritura: El usuario puede leer, crear, modificar y borrar archivos.
Solo lectura: El usuario solo puede ver y descargar archivos. No puede modificar nada.
Escritura sin borrado: Una opción intermedia, ideal para usuarios que suben archivos pero no deben eliminar contenido.

Para un uso seguro, sigue esta regla de oro: otorga siempre el mínimo privilegio necesario.

3.3. Desactivar el acceso a archivos ocultos

En Plesk puedes impedir que el usuario FTP vea archivos ocultos como .htaccess, .env o .git. Esto es crucial porque esos archivos contienen información sensible.

En la configuración del usuario FTP, busca la opción "Mostrar archivos ocultos" y desactívala. Esto evita que un usuario con acceso comprometido pueda leer tus claves de conexión a la base de datos o configuraciones de seguridad.

Paso 4: Configurar la seguridad del FTP en Plesk a nivel global

Además de limitar permisos por usuario, puedes reforzar la seguridad FTP Plesk a nivel general.

4.1. Activar FTP sobre TLS/SSL

El FTP tradicional transmite las credenciales en texto plano, lo que significa que cualquiera en la red podría interceptarlas. Plesk permite activar FTP sobre TLS/SSL (FTPS) para cifrar la conexión.

Para activarlo:

Ve a "Herramientas y ajustes" en el menú principal.
Busca la sección "Servidor FTP" o "Configuración FTP".
Activa la opción "Permitir conexiones FTPS".
Guarda los cambios.

A partir de ese momento, cuando te conectes desde un cliente FTP como FileZilla, deberás elegir la opción "Requiere TLS explícito" en la configuración de conexión.

[WARNING] Si tu hosting es muy antiguo, es posible que el servidor FTP no tenga certificado SSL válido. En ese caso, verás un aviso de seguridad. No lo ignores: mejor contacta con tu proveedor para que instale un certificado.

4.2. Restringir IPs de acceso

Plesk te permite limitar las direcciones IP desde las que se puede conectar un usuario FTP. Esto es muy útil si, por ejemplo, solo vas a trabajar desde tu oficina o desde una IP fija.

En la configuración del usuario FTP, busca "Restricciones de IP" y añade las IPs permitidas. Si el usuario intenta conectarse desde otra IP, Plesk lo bloqueará automáticamente.

4.3. Configurar el bloqueo por intentos fallidos

Para evitar ataques de fuerza bruta, Plesk incluye un sistema de bloqueo temporal tras varios intentos fallidos de inicio de sesión.

Ve a "Herramientas y ajustes" > "Protección por contraseña" y configura el número máximo de intentos (por ejemplo, 5) y el tiempo de bloqueo (por ejemplo, 15 minutos).

Paso 5: Buenas prácticas para administrar FTP Plesk

Ahora que ya sabes crear FTP Plesk y limitar permisos, te dejo una lista de buenas prácticas que deberías seguir siempre:

Cambia las contraseñas periódicamente: cada 60-90 días es un buen intervalo.
No compartas cuentas FTP entre personas: si necesitas dar acceso a varios colaboradores, crea un usuario por persona.
Elimina usuarios FTP inactivos: si alguien ya no trabaja en el proyecto, borra su acceso de inmediato.
Revisa los logs de conexión: Plesk guarda un registro de todos los accesos FTP. Revísalo de vez en cuando para detectar conexiones sospechosas.
Usa conexiones SFTP o FTPS siempre que sea posible: son las versiones cifradas del protocolo.
No almacenes contraseñas en el cliente FTP: aunque es cómodo, si alguien accede a tu ordenador, tendrá las credenciales de tu servidor.

[INFO] Si tu proveedor de hosting usa Syspanel (anteriormente HestiaCP) en lugar de Plesk, el proceso es similar, pero el acceso al panel se realiza a través del puerto 2106. Aunque la interfaz cambie, los conceptos de seguridad son los mismos: usuarios limitados, contraseñas robustas y cifrado en las conexiones.

Preguntas frecuentes sobre seguridad FTP en Plesk

¿Puedo tener varios usuarios FTP para el mismo dominio?

Sí, absolutamente. De hecho, es lo recomendable. Cada usuario tendrá sus propias credenciales y permisos. Puedes tener un usuario para el desarrollador, otro para el diseñador y otro para el gestor de contenidos, cada uno con acceso solo a su área de trabajo.

¿Qué hago si olvidé la contraseña de un usuario FTP?

Ve a la lista de usuarios FTP, haz clic en el usuario y selecciona "Cambiar contraseña". Plesk te pedirá que introduzcas una nueva contraseña. No es necesario que sepas la anterior.

¿Cómo sé si mi conexión FTP está cifrada?

En FileZilla, mira la barra de estado superior. Si ves un candado cerrado, la conexión está cifrada. También puedes ver el mensaje "TLS connection established" en el registro de actividad.

¿Es seguro usar FTP para subir archivos a mi web?

El FTP clásico no es seguro porque transmite en texto plano. Sin embargo, si usas FTPS (FTP sobre TLS) o SFTP (SSH File Transfer Protocol), la conexión está cifrada y es segura. Plesk soporta ambos protocolos.

¿Qué diferencia hay entre FTP y SFTP?

FTP: protocolo clásico, no cifrado.
FTPS: FTP con cifrado TLS/SSL.
SFTP: protocolo que viaja por SSH, cifrado de extremo a extremo.

En Plesk, puedes activar FTPS fácilmente desde la configuración del servidor FTP. Para SFTP, necesitarás tener acceso SSH habilitado en tu plan de hosting.

Conclusión

Crear un usuario FTP seguro en Plesk no es complicado si sigues estos pasos. Lo más importante es:

Usar contraseñas robustas.
Limitar el acceso a carpetas específicas.
Otorgar solo los permisos mínimos necesarios.
Activar el cifrado TLS/SSL.
Revisar periódicamente los accesos y eliminar usuarios innecesarios.

Con estas medidas, tu sitio web estará mucho más protegido frente a accesos no autorizados. Recuerda que la seguridad FTP Plesk es una tarea continua, no algo que configuras una vez y olvidas.

Si tienes dudas o problemas durante el proceso, no dudes en contactar con tu proveedor de hosting. Ellos pueden ayudarte a configurar el servidor FTP a nivel global y resolver cualquier incidencia.

Y si tu hosting usa Syspanel, recuerda que el acceso es a través del puerto 2106. Los conceptos de seguridad son los mismos, aunque la interfaz sea diferente.

Recursos adicionales

Documentación oficial de Plesk: siempre es la mejor fuente para consultar opciones específicas de tu versión.
FileZilla: cliente FTP gratuito y multiplataforma, ideal para conectarte a tu servidor.
Guía de contraseñas seguras: usa un gestor de contraseñas como Bitwarden o 1Password para generar y guardar claves complejas.

Espero que esta guía te haya sido útil. Ahora ya sabes cómo crear FTP Plesk, administrar FTP Plesk y aplicar todas las medidas de seguridad FTP Plesk necesarias para mantener tu web protegida.