Cómo crear y gestionar usuarios FTP seguros en cPanel

¿Por qué es tan importante la seguridad de tus usuarios FTP?

Cuando creas una cuenta de hosting, una de las primeras cosas que configuras es el acceso FTP. Este protocolo te permite subir y descargar archivos de tu servidor, pero también es una de las puertas de entrada más comunes para los atacantes. Si gestionas mal tus usuarios FTP, podrías estar dejando la puerta abierta a que cualquiera acceda a tu web, la modifique o robe datos sensibles.

La buena noticia es que cPanel pone a tu disposición herramientas muy completas para crear y gestionar usuarios FTP de forma segura. No necesitas ser un experto en ciberseguridad para proteger tu sitio, solo necesitas seguir una serie de buenas prácticas y entender cómo funcionan los permisos. En este artículo, te voy a explicar paso a paso cómo hacerlo, desde la creación de un usuario hasta la configuración de permisos de archivos, con un lenguaje claro y ejemplos prácticos.

Primeros pasos: Accede a la sección de cuentas FTP en cPanel

Para empezar, inicia sesión en tu panel de control cPanel. Normalmente, el acceso es a través de una URL como tudominio.com/cpanel o tudominio.com:2083. Una vez dentro, busca la sección Archivos (Files). Ahí verás el icono de Cuentas FTP (FTP Accounts). Haz clic en él para acceder a la gestión de todos tus usuarios FTP.

En esta pantalla verás dos partes principales: la lista de cuentas FTP existentes y el formulario para crear una nueva. Es aquí donde vamos a trabajar. Asegúrate de que tu conexión a internet sea segura (idealmente una red privada) antes de crear o modificar credenciales, ya que toda la información viaja a través de tu navegador.

Cómo crear un usuario FTP seguro paso a paso

Crear un usuario FTP en cPanel es sencillo, pero la clave está en los detalles. Sigue estos pasos para configurarlo de forma segura desde el primer momento:

1. En el formulario de creación, escribe un nombre de usuario que no sea fácil de adivinar. Evita usar nombres como admin, test o tu nombre de dominio principal. Algo como web_pedro_2024 es mucho más difícil de adivinar por un bot.
2. Selecciona el directorio de inicio (Home Directory). Este es el punto más crítico. Por defecto, cPanel te sugiere el directorio raíz de tu cuenta (public_html). Si el usuario solo necesita trabajar en una subcarpeta (por ejemplo, una tienda online en /public_html/tienda), selecciona esa carpeta específica. Esto limita el "radio de acción" del usuario. Si un atacante compromete esa cuenta, no podrá moverse por todo tu servidor.
3. Establece una contraseña robusta. Usa una combinación de letras mayúsculas, minúsculas, números y símbolos. Una buena práctica es usar una frase larga (por ejemplo, MiPerro_Es_Rapido_2024!). cPanel te muestra un medidor de fuerza; asegúrate de que indique "Fuerte" (Strong). Nunca reutilices contraseñas de otros servicios.
4. Configura la cuota de almacenamiento (Quota). Si el usuario va a subir muchos archivos, puedes limitar el espacio que puede usar. Esto evita que una cuenta comprometida pueda llenar el disco duro del servidor.
5. Haz clic en Crear cuenta. cPanel creará el usuario y te mostrará un resumen con el nombre completo y el servidor FTP (por ejemplo, ftp.tudominio.com).

¿Qué es el directorio de inicio y por qué es tan importante para la seguridad FTP?

El directorio de inicio es la carpeta a la que el usuario FTP aterriza al conectarse. Piensa en ello como su "casa" dentro del servidor. Si le das acceso a public_html, podrá ver y modificar todos los archivos de tu sitio web principal. Si solo le das acceso a /public_html/blog, solo podrá tocar lo que hay dentro de esa carpeta.

Esta es una de las medidas de seguridad FTP más efectivas y menos utilizadas. Al crear usuarios con directorios de inicio restringidos, aplicas el principio de mínimo privilegio. Cada usuario tiene acceso solo a lo que necesita para trabajar. Si un desarrollador externo necesita actualizar una sección concreta, no le des acceso a todo el sitio.

Gestionar FTP: Cómo cambiar permisos, contraseñas y eliminar usuarios

La gestión no termina al crear la cuenta. Con el tiempo, necesitarás cambiar contraseñas, ajustar permisos o eliminar usuarios que ya no trabajan contigo. Aquí te explico cómo hacerlo de forma segura en cPanel.

Cambiar la contraseña de un usuario FTP

Es una buena práctica cambiar las contraseñas periódicamente, especialmente si trabajas con colaboradores externos. Para ello:

1. En la lista de Cuentas FTP, localiza el usuario en cuestión.
2. Haz clic en Cambiar contraseña (o el icono de llave).
3. Introduce la nueva contraseña siguiendo los mismos criterios de robustez que mencionamos antes.
4. Haz clic en Cambiar contraseña.

cPanel no te pide la contraseña antigua, así que si sospechas que una cuenta ha sido comprometida, este es el primer paso que debes dar.

Modificar la cuota y el directorio de inicio

En la misma lista de usuarios, verás opciones para Editar (normalmente un icono de lápiz). Desde aquí puedes cambiar la cuota de almacenamiento o el directorio de inicio. Si un usuario ha cambiado de funciones, puedes ajustar su acceso sin necesidad de eliminar y recrear la cuenta.

Eliminar un usuario FTP de forma segura

Cuando un colaborador abandona el proyecto o ya no necesita acceso, es crucial eliminar su cuenta. No basta con "olvidarse" de ella. Cada cuenta FTP activa es una superficie de ataque más.

1. En la lista de usuarios, haz clic en Eliminar (el icono de la papelera).
2. cPanel te pedirá confirmación. Asegúrate de que el usuario ya no tiene archivos importantes en su directorio de inicio que necesites conservar.
3. Confirma la eliminación.

[WARNING]
Antes de eliminar un usuario, verifica si tiene archivos que sean propiedad suya. Si los eliminas, podrías perder datos importantes. Si es necesario, descarga una copia de seguridad de su carpeta antes de borrar la cuenta.

Permisos de archivos: La clave para una seguridad FTP sólida

Una cosa es tener usuarios y contraseñas seguras, pero otra muy distinta es controlar qué pueden hacer esos usuarios con los archivos. Aquí entran en juego los permisos archivos. En los sistemas Unix (que es lo que usa la mayoría de los servidores de hosting), cada archivo y carpeta tiene tres tipos de permisos: lectura (read), escritura (write) y ejecución (execute). Estos se asignan a tres grupos: el propietario (owner), el grupo (group) y el resto del mundo (others).

En cPanel, puedes cambiar estos permisos fácilmente desde el Administrador de Archivos (File Manager).

Cómo cambiar los permisos desde el Administrador de Archivos

1. Entra en el Administrador de Archivos desde la sección Archivos.
2. Navega hasta la carpeta o archivo que quieres modificar.
3. Haz clic derecho sobre el archivo y selecciona Cambiar permisos (Change Permissions).
4. Verás una serie de casillas de verificación. Se suelen representar con números (por ejemplo, 644, 755, 777). Te explico los más comunes:
   • 644: El propietario puede leer y escribir; el grupo y otros solo pueden leer. Es el permiso estándar para archivos como HTML, CSS o imágenes.
   • 755: El propietario puede leer, escribir y ejecutar; el grupo y otros solo pueden leer y ejecutar. Es el permiso típico para carpetas y scripts CGI.
   • 777: Todos pueden leer, escribir y ejecutar. Este permiso es un peligro para la seguridad FTP. Cualquiera que acceda al servidor (por ejemplo, a través de otro usuario FTP comprometido) podría modificar o borrar esos archivos. Evita usar 777 a menos que sea absolutamente imprescindible y temporal.

¿Qué permisos son los más seguros para tus archivos?

La regla de oro es: el menor privilegio posible. Si un archivo no necesita ser escrito por el servidor, no le des permisos de escritura. Para la mayoría de los sitios web estáticos, los permisos 644 para archivos y 755 para carpetas son perfectos.

Si usas un CMS como WordPress, a veces necesitas dar permisos de escritura a ciertas carpetas para subir plugins o temas. En ese caso, dales permisos 755 o 775 (propietario y grupo pueden escribir, otros solo leer). Nunca uses 777.

[TIP]
Si tu web funciona correctamente con permisos 644/755, no los cambies "por si acaso". Cambiar los permisos a 777 para solucionar un problema temporal es una de las prácticas más inseguras. Es mejor buscar la causa raíz del problema.

Buenas prácticas adicionales para la seguridad FTP en cPanel

Más allá de la creación de usuarios y los permisos, hay otras medidas que puedes tomar para blindar tu hosting.

Usa conexiones FTP seguras (FTPS o SFTP)

El FTP tradicional envía tu usuario y contraseña en texto plano, lo que significa que cualquier persona en la misma red podría interceptarlos. cPanel suele tener habilitado el soporte para FTPS (FTP sobre SSL) y SFTP (FTP sobre SSH). Al conectar desde tu cliente FTP (como FileZilla), asegúrate de seleccionar la opción "Requiere SSL/TLS explícito" o "SFTP - SSH File Transfer Protocol".

Esto cifra la comunicación entre tu ordenador y el servidor, protegiendo tus credenciales y los datos que transfieres.

Evita usar la cuenta FTP principal para todo

Cuando contratas un hosting, cPanel crea una cuenta FTP principal que tiene acceso a todos los archivos de tu cuenta. Es tentador usar esa cuenta para todo, pero es una mala práctica. Si esa cuenta se ve comprometida, el atacante tiene el control total.

En su lugar, crea usuarios FTP específicos para cada tarea o colaborador, con directorios de inicio restringidos y contraseñas únicas. Así, si una cuenta se ve comprometida, el daño es limitado y puedes eliminar esa cuenta sin afectar a las demás.

Monitorea los inicios de sesión en tu servidor

cPanel no tiene una herramienta nativa muy avanzada para ver los intentos de conexión FTP, pero tu proveedor de hosting puede ofrecerte estadísticas o logs. Si ves muchos intentos fallidos desde una misma IP, es una señal de que alguien está intentando acceder. Puedes bloquear esa IP desde el Administrador de IP Blocker en cPanel (si tu plan lo permite) o contactar con tu soporte.

Mantén tu software actualizado

Esto no es exclusivo de FTP, pero es fundamental. Si usas WordPress, Joomla o cualquier otro CMS, mantén el núcleo, los temas y los plugins actualizados. Muchos hackeos se producen por vulnerabilidades en software desactualizado, y el FTP es solo la puerta de entrada. Un servidor con el software al día es mucho más difícil de comprometer.

Preguntas frecuentes (FAQ) sobre la gestión de usuarios FTP

Para terminar, te dejo con las dudas más comunes que resuelvo a diario como técnico de soporte.

¿Cuál es la diferencia entre FTP, FTPS y SFTP?

FTP es el protocolo básico, sin cifrar. FTPS es FTP con una capa de seguridad SSL/TLS. SFTP es un protocolo completamente diferente que se ejecuta sobre SSH. Para máxima seguridad, usa SFTP si tu servidor lo soporta. Si solo tienes FTPS, es una opción aceptable. Evita el FTP plano.

¿Por qué no puedo subir archivos y me da error de "Permission denied"?

Este error suele estar relacionado con los permisos archivos. El usuario FTP no tiene permisos de escritura en la carpeta de destino. Revisa los permisos de la carpeta (deben ser 755 o 775 para que el propietario o grupo puedan escribir) y los permisos de los archivos que intentas subir. También verifica que el usuario FTP tenga su directorio de inicio configurado en la carpeta correcta.

¿Es seguro usar un solo usuario FTP para todo mi sitio web?

No. Es una muy mala práctica. Si ese único usuario se ve comprometido, el atacante tiene acceso a todo tu sitio. Es mucho más seguro crear usuarios con directorios de inicio específicos y permisos limitados. Piensa en ello como las llaves de tu casa: no le das la llave del trastero a todo el mundo, solo la del salón.

¿Con qué frecuencia debo cambiar las contraseñas de FTP?

Depende del nivel de riesgo. Si trabajas con varios colaboradores externos, te recomiendo cambiar las contraseñas al menos cada 3-6 meses. También debes cambiarlas inmediatamente si sospechas de una fuga o si un colaborador deja de trabajar contigo.

¿Qué hago si creo que mi cuenta FTP ha sido hackeada?

Actúa rápido. Primero, cambia la contraseña de la cuenta comprometida y de todas las demás cuentas FTP. Segundo, revisa los archivos en busca de código malicioso (por ejemplo, archivos PHP extraños o scripts desconocidos). Tercero, revisa los permisos y cambia a 644/755 cualquier archivo que esté en 777. Cuarto, contacta con tu proveedor de hosting para que te ayuden a auditar los logs de acceso.

¿Puedo usar la misma contraseña para el correo y el FTP?

Jamás. Usar la misma contraseña para diferentes servicios es un error gravísimo de seguridad. Si un servicio se ve comprometido, el atacante puede probar esas mismas credenciales en otros servicios. Usa contraseñas únicas y robustas para cada cuenta.

Conclusión: La seguridad FTP es un proceso continuo

Crear y gestionar usuarios FTP seguros en cPanel no es una tarea de una sola vez. Es un proceso continuo que requiere atención y buenas prácticas. Desde el momento en que creas un usuario con un directorio de inicio restringido y una contraseña robusta, hasta que configuras los permisos archivos correctos y monitorizas los accesos, cada paso cuenta.

Recuerda que la seguridad de tu web es tan fuerte como su eslabón más débil. Un usuario FTP con una contraseña débil o con permisos excesivos puede ser el punto de entrada para un ataque devastador. Aplica estos consejos, revísalos periódicamente y no subestimes la importancia de una buena gestión. Si en algún momento te sientes abrumado, tu proveedor de hosting está ahí para ayudarte. No dudes en contactar con ellos si necesitas asistencia técnica para configurar algo específico en tu cPanel.

[INFO]
Si tu hosting utiliza un panel alternativo como Syspanel, el proceso es muy similar. Recuerda que en Syspanel, el acceso se realiza a través del puerto 2106 y las opciones de gestión FTP suelen estar en una sección llamada "Cuentas de Usuario" o "Acceso". Los principios de seguridad son exactamente los mismos: usuarios limitados, contraseñas fuertes y permisos mínimos.