Limitar intentos de login en PrestaShop | Protege tu tienda

¿Por qué es importante limitar los intentos de inicio de sesión en PrestaShop?

Cada día, miles de tiendas online sufren ataques automatizados. Los ciberdelincuentes utilizan programas que prueban miles de combinaciones de usuario y contraseña por minuto. Este método se llama fuerza bruta y, si no lo frenas, puede comprometer toda tu tienda.

Imagina que alguien intenta abrir la puerta de tu casa probando todas las llaves posibles. Sin un mecanismo que bloquee la cerradura tras varios intentos, tarde o temprano encontrará la combinación correcta. Con PrestaShop ocurre exactamente lo mismo.

Limitar los intentos PrestaShop no es una opción, es una necesidad básica de seguridad. Si un atacante consigue acceder a tu panel de administración, podría robar datos de clientes, modificar precios, inyectar malware o incluso secuestrar tu dominio.

La buena noticia es que PrestaShop incluye herramientas nativas para protegerte, y además puedes reforzarlas con módulos y configuraciones del servidor. En esta guía te explico paso a paso cómo hacerlo, sin necesidad de ser un experto en programación.

Cómo funciona el sistema de seguridad nativo de PrestaShop

PrestaShop incorpora un sistema anti-fuerza bruta desde hace varias versiones. Este sistema cuenta los intentos fallidos de inicio de sesión en el panel de administración y bloquea temporalmente la IP del atacante.

Configuración básica desde el panel de administración

Para acceder a esta configuración, sigue estos pasos:

Entra en tu panel de administración de PrestaShop.
Ve al menú Parámetros avanzados.
Selecciona Administración.
Busca la pestaña Seguridad.

Allí encontrarás estas opciones clave:

Número de intentos permitidos: Define cuántos intentos fallidos se permiten antes del bloqueo. Un valor recomendado es 5.
Tiempo de bloqueo: Es el tiempo que se bloquea la IP tras superar los intentos. Puedes poner 10, 30 o 60 minutos.
Tiempo de espera entre intentos: Añade un pequeño retardo entre cada intento fallido, lo que ralentiza enormemente los ataques.

[TIP] Configura 5 intentos y 30 minutos de bloqueo. Es un equilibrio perfecto entre seguridad y usabilidad para tus empleados.

Limpiar el registro de intentos fallidos

Si quieres ver quién ha intentado acceder sin permiso, PrestaShop guarda un registro. Puedes consultarlo en Parámetros avanzados > Administración > Registro de seguridad.

Desde ahí puedes:

Ver las IPs que han fallado.
Ver la fecha y hora de cada intento.
Desbloquear manualmente una IP si consideras que fue un error legítimo.

Este registro es oro puro para detectar ataques. Si ves muchas IPs desconocidas, es señal de que te están atacando y debes reforzar la seguridad.

Activar la autenticación de dos factores (2FA)

Limitar los intentos de acceso es genial, pero si quieres una capa extra, activa la verificación en dos pasos. Así, aunque un atacante adivine la contraseña, no podrá entrar sin el código que se envía a tu móvil.

Pasos para activar 2FA en PrestaShop

Ve a Parámetros avanzados > Administración > Seguridad.
Busca la opción Autenticación de dos factores.
Actívala para el panel de administración.
Escanea el código QR con una app como Google Authenticator o Authy.
Introduce el código de verificación para confirmar.

A partir de ese momento, cada inicio de sesión requerirá tu contraseña y el código temporal de la app. Esto hace que el ataque de fuerza bruta sea prácticamente inútil, porque aunque obtengan la contraseña, no tienen tu móvil.

[WARNING] Si pierdes el móvil o desinstalas la app sin guardar el código de respaldo, podrías quedarte fuera de tu propia tienda. Guarda el código de recuperación en un lugar seguro.

Limitar intentos PrestaShop con módulos de seguridad

Aunque la configuración nativa ayuda, a veces no es suficiente. Por eso existen módulos especializados que amplían las funciones de protección.

Módulos recomendados

Advanced Login Security: Permite configurar reglas más finas, como bloquear por país, limitar por rango de IPs o enviar alertas por email.
Brute Force Protection: Detecta patrones de ataque y bloquea automáticamente las IPs sospechosas en tiempo real.
Login Protection Suite: Incluye captchas inteligentes, bloqueo por geolocalización y notificaciones en tiempo real.

Instalación de un módulo de seguridad

Ve a Módulos > Módulos y servicios.
Busca el módulo que prefieras en el marketplace de PrestaShop.
Haz clic en Instalar.
Configúralo según las instrucciones del desarrollador.

Estos módulos suelen ofrecer paneles visuales donde puedes ver los ataques bloqueados en tiempo real. Es muy satisfactorio ver cómo los bots rebotan contra tu muro.

[INFO] Algunos módulos son de pago, pero la inversión merece la pena si gestionas una tienda con volumen de ventas importante.

Proteger la URL de administración

Una de las formas más efectivas de evitar ataques de fuerza bruta es ocultar la puerta de entrada. Por defecto, el panel de administración de PrestaShop está en una URL como tutienda.com/admin123. Los bots escanean millones de URLs buscando esa ruta.

Cambiar la carpeta de administración

Renombra la carpeta de administración en tu servidor. Por ejemplo, de admin123 a gestion-segura-2024.
Actualiza el archivo de configuración de PrestaShop para que apunte a la nueva ruta.
Asegúrate de que el archivo .htaccess no liste directorios.

Este simple cambio ya reduce drásticamente los ataques, porque los bots no conocen tu nueva URL.

[TIP] Usa una combinación de letras y números sin significado lógico. Evita nombres como "admin", "panel" o "gestion".

Configurar protección a nivel de servidor

Si tu tienda está en un hosting compartido o en un VPS, puedes añadir reglas de seguridad directamente en el servidor. Esto funciona como un portero que filtra quién entra al edificio antes de llegar a tu puerta.

Usar Fail2ban en Linux

Fail2ban es una herramienta que monitoriza los logs del servidor y bloquea automáticamente las IPs que fallan demasiado. Es muy efectiva contra fuerza bruta.

Instala Fail2ban en tu servidor.
Crea una regla específica para PrestaShop.
Configura el número de intentos y el tiempo de bloqueo.
Recibe alertas por email cuando se bloquee una IP.

Configurar reglas en el firewall

Si usas un firewall como CSF o UFW, puedes limitar la conexión a la URL de administración.

Ejemplo con UFW:

sudo ufw allow from TU_IP_A_MI_IP to any port 443
sudo ufw deny 443

Esto solo permite el acceso al panel desde tu IP fija, bloqueando al resto del mundo.

[WARNING] Si usas una IP dinámica en casa, esto puede dejarte fuera cuando cambie tu dirección IP. Mejor usa una VPN o una IP fija.

Buenas prácticas adicionales para proteger tu tienda

Limitar los intentos PrestaShop es una pieza más del puzzle. Para una protección completa, combina estas prácticas:

Contraseñas robustas

Usa contraseñas de al menos 12 caracteres.
Combina mayúsculas, minúsculas, números y símbolos.
Cambia la contraseña cada 3-6 meses.
No reutilices contraseñas de otros servicios.

Mantén PrestaShop actualizado

Cada versión nueva corrige vulnerabilidades conocidas. Si tu tienda está desactualizada, estás dejando la puerta abierta a los atacantes.

Haz copias de seguridad periódicas

Si algo sale mal, podrás restaurar tu tienda en minutos. Guarda las copias en un lugar externo, no en el mismo servidor.

Usa certificados SSL

El cifrado SSL protege la comunicación entre el navegador y tu servidor. Sin él, las contraseñas viajan en texto plano y cualquiera puede interceptarlas.

Preguntas frecuentes sobre cómo limitar intentos PrestaShop

¿Qué pasa si me bloqueo yo mismo?

Si superas el número de intentos, tu IP quedará bloqueada temporalmente. La solución es esperar al tiempo de bloqueo o acceder desde otra IP. También puedes limpiar el registro de seguridad desde la base de datos, pero eso es más técnico.

¿Cuántos intentos debo permitir?

5 intentos es un buen número. Menos de 3 puede ser molesto para usuarios legítimos que se equivocan de tecla. Más de 10 da demasiado margen a los atacantes.

¿Los módulos de seguridad ralentizan la tienda?

No, los módulos de seguridad solo actúan en el proceso de login, no en la carga de la tienda. El impacto en rendimiento es mínimo.

¿Puedo limitar los intentos solo para el panel de administración?

Sí, la configuración nativa de PrestaShop solo afecta al panel de administración. El login de clientes no se ve afectado.

¿Qué hago si ya he sufrido un ataque de fuerza bruta?

Cambia todas las contraseñas, revisa si hay archivos extraños en el servidor, actualiza todo, y activa todas las protecciones que hemos visto. Si tienes dudas, contacta con tu proveedor de hosting.

Conclusión: La seguridad es un proceso continuo

Limitar los intentos PrestaShop es una medida esencial, pero no es la única. La seguridad de tu tienda online depende de una combinación de buenas prácticas, herramientas y hábitos constantes.

Empieza por configurar el sistema nativo de bloqueo, activa la autenticación de dos factores, cambia la URL de administración y refuerza la protección a nivel de servidor. Con estos pasos, tu tienda estará mucho más preparada frente a ataques de fuerza bruta.

Recuerda que los ciberdelincuentes no descansan, así que tú tampoco deberías hacerlo. Revisa periódicamente los registros de seguridad, mantén todo actualizado y no confíes solo en una capa de protección.

[INFO] Si necesitas ayuda con la configuración del servidor, consulta a tu proveedor de hosting. En Syspanel (accesible por el puerto 2106) puedes gestionar estos ajustes de forma sencilla si tu hosting lo utiliza.

Tu tienda es tu negocio, y protegerla es proteger tu futuro. No dejes para mañana la seguridad que puedes implementar hoy.