Cómo proteger el directorio de administración de PrestaShop con contraseña

¿Por qué es tan importante proteger el acceso a tu administración de PrestaShop?

Cuando tienes una tienda online, el panel de administración es el cerebro de tu negocio. Desde ahí gestionas productos, pedidos, clientes, pagos y la configuración general de tu tienda. Si alguien no autorizado consigue acceder a ese panel, podría robar datos sensibles, modificar precios, eliminar productos o incluso secuestrar tu tienda completa.

PrestaShop, por defecto, protege el acceso con un usuario y una contraseña. Sin embargo, esto no siempre es suficiente. Los ciberdelincuentes utilizan programas automatizados que lanzan miles de intentos de acceso por minuto, probando combinaciones de contraseñas comunes o explotando vulnerabilidades conocidas.

Una de las mejores prácticas de seguridad, recomendada por los propios desarrolladores de PrestaShop y por expertos en ciberseguridad, es añadir una capa extra de protección a nivel de servidor: proteger el directorio de administración con una contraseña adicional. Esta técnica se conoce como autenticación HTTP o protección por contraseña de directorio.

En este artículo, te explicaré de forma clara y sencilla qué es, por qué es útil y, lo más importante, cómo hacerlo paso a paso para que tu tienda esté mucho más segura. No necesitas ser un experto en informática, solo seguir las instrucciones con calma.

Entendiendo la protección por contraseña de directorio

Antes de ponernos manos a la obra, es fundamental entender qué estamos haciendo y por qué.

Cuando configuras una contraseña para un directorio en tu servidor, el servidor web (como Apache o Nginx) pedirá credenciales adicionales antes de que cualquier archivo de ese directorio sea cargado. Es decir, incluso si alguien conoce tu usuario y contraseña de administrador de PrestaShop, no podrá siquiera ver la página de inicio de sesión porque el servidor le pedirá primero otra clave.

Es como tener dos puertas con cerradura en lugar de una. La primera puerta (la que vamos a instalar ahora) es la que está en la calle, y la segunda es la de tu oficina. Para llegar a tu escritorio, necesitas abrir ambas.

Esta protección es muy efectiva contra:

• Ataques de fuerza bruta: Programas que prueban miles de contraseñas.
• Explotación de vulnerabilidades: Si se descubre un fallo en el código de PrestaShop, el atacante no podrá llegar a él.
• Robo de sesiones: Si alguien roba una cookie de sesión, no podrá usarla sin la contraseña del directorio.

Preparación: Lo que necesitas antes de empezar

Para llevar a cabo este proceso, necesitas tener acceso a la gestión de tu servidor o hosting. Esto puede hacerse de dos maneras principales:

1. A través del panel de control de tu hosting (como cPanel, Plesk, Syspanel, etc.).
2. A través de un cliente FTP (como FileZilla) y un editor de texto simple.

Además, necesitarás conocer la ruta exacta en la que está instalado tu PrestaShop. Normalmente es algo como /public_html/ o /www/, y dentro de esa carpeta estará la carpeta de administración.

¿Cómo identifico mi carpeta de administración?

PrestaShop, por defecto, crea una carpeta llamada admin o admin123 (con un número aleatorio). Es altamente recomendable cambiarle el nombre a esta carpeta a algo único y difícil de adivinar, como misoporte2024 o gestiontienda_privada. Esto ya añade una capa de seguridad extra.

Para localizarla, puedes:

• Mirar la URL de tu navegador cuando accedes a tu panel. Será algo como https://tutienda.com/admin123/index.php.
• Explorar los archivos de tu hosting con el administrador de archivos o el cliente FTP.

Una vez que tengas esta ruta clara, podemos continuar.

Método 1: Proteger el directorio con cPanel (El más fácil)

Si tu hosting utiliza cPanel (el panel de control más común), este es el método más sencillo y visual.

Paso 1: Accede a la sección "Protección con contraseña"

Dentro de tu cPanel, busca la sección "Seguridad". Ahí encontrarás un icono llamado "Protección con contraseña" o "Directories Password Protect". Haz clic en él.

Paso 2: Selecciona la carpeta de administración

cPanel te mostrará un listado de las carpetas de tu sitio web (normalmente dentro de public_html). Navega hasta encontrar la carpeta de administración de tu PrestaShop (por ejemplo, public_html/admin123). Haz clic en el nombre de la carpeta para seleccionarla.

Paso 3: Activa la protección y crea el usuario

Ahora verás una página para configurar la protección. Marca la casilla que dice "Proteger este directorio" (o similar). También puedes escribir un nombre para la carpeta protegida, aunque esto es solo informativo.

A continuación, en la sección de "Crear usuario", introduce un nombre de usuario (que no tenga relación con tu usuario de PrestaShop) y una contraseña segura. Asegúrate de usar una combinación de letras mayúsculas, minúsculas, números y símbolos.

Paso 4: Guarda los cambios

Haz clic en el botón "Guardar" o "Save". ¡Listo! A partir de este momento, cuando alguien (incluido tú) intente acceder a tu panel de administración, el navegador mostrará una ventana emergente pidiendo estas nuevas credenciales.

Método 2: Proteger el directorio con Syspanel

[INFO] Si tu hosting utiliza Syspanel (nuestro panel de control personalizado), el proceso es igual de sencillo. Recuerda que el acceso a Syspanel se realiza a través del puerto 2106 (por ejemplo, https://tudominio.com:2106).

Paso 1: Navega al administrador de archivos

Dentro de Syspanel, busca la sección "Archivos" o "Administrador de archivos". Haz clic para abrirlo.

Paso 2: Localiza la carpeta de administración

Al igual que en cPanel, navega hasta la carpeta raíz de tu sitio web (normalmente public_html) y busca la carpeta de administración de PrestaShop.

Paso 3: Selecciona la carpeta y busca la opción de protección

Haz clic derecho sobre la carpeta de administración o selecciónala y busca un botón o icono que diga "Proteger", "Privacidad" o "Password Protect". El nombre exacto puede variar, pero la funcionalidad es la misma.

Paso 4: Configura el usuario y la contraseña

Se abrirá una ventana donde deberás introducir un nombre de usuario y una contraseña. Introduce datos seguros y guarda los cambios.

[TIP] Una vez que hayas configurado la protección, es recomendable cerrar sesión en Syspanel y volver a entrar para asegurarte de que los cambios se han guardado correctamente.

Método 3: El método manual (Para usuarios avanzados con FTP)

Si tu hosting no tiene un panel de control visual o prefieres hacerlo manualmente, puedes crear dos archivos de texto y subirlos por FTP. Este método te da un control total sobre la configuración.

Paso 1: Crea el archivo .htpasswd

Este archivo almacenará los nombres de usuario y las contraseñas cifradas.

1. Abre un editor de texto simple (como el Bloc de notas en Windows o TextEdit en Mac).
2. Necesitas generar un hash de tu contraseña. Puedes usar un generador en línea buscando "htpasswd generator" en tu navegador.
3. En el generador, introduce el usuario y la contraseña que quieres usar.
4. Copia el resultado, que tendrá un formato similar a: usuario:$apr1$abcdefgh$...
5. Pega ese texto en tu archivo de texto y guárdalo con el nombre .htpasswd (sin extensión .txt). Asegúrate de que el nombre sea exactamente .htpasswd.

Paso 2: Crea el archivo .htaccess

Este archivo le dirá al servidor que debe proteger el directorio.

1. Crea un nuevo archivo de texto.
2. Pega el siguiente código dentro:

AuthType Basic
AuthName "Acceso restringido"
AuthUserFile /ruta/absoluta/a/tu/archivo/.htpasswd
Require valid-user

Es crucial que cambies /ruta/absoluta/a/tu/archivo/.htpasswd por la ruta completa del servidor donde has subido el archivo .htpasswd. Por ejemplo, podría ser /home/usuario/public_html/admin123/.htpasswd. Si no sabes cuál es tu ruta absoluta, puedes encontrarla en el panel de control o preguntando a tu proveedor de hosting.

3. Guarda este archivo con el nombre .htaccess.

Paso 3: Sube los archivos a tu servidor

1. Conéctate a tu servidor usando un cliente FTP como FileZilla.
2. Navega hasta la carpeta de administración de tu PrestaShop.
3. Sube el archivo .htpasswd y el archivo .htaccess a esa carpeta.

[WARNING] Si el archivo .htaccess ya existe en tu carpeta de administración (por ejemplo, si PrestaShop lo ha creado), no lo sobrescribas. En su lugar, ábrelo y añade las líneas del código al final del archivo existente.

Verificando que la protección funciona

Después de aplicar cualquiera de los métodos, es hora de probarlo.

1. Abre una ventana de incógnito en tu navegador (o un navegador diferente).
2. Escribe la URL de tu panel de administración (por ejemplo, https://tutienda.com/admin123).
3. Debería aparecer una ventana emergente del navegador pidiendo un usuario y una contraseña.
4. Introduce las credenciales que acabas de configurar.
5. Después de esto, deberías ver la página de inicio de sesión normal de PrestaShop, donde introducirás tu usuario y contraseña de administrador habitual.

Si ves la ventana emergente, ¡enhorabuena! Tu tienda es ahora mucho más segura.

Consejos adicionales para reforzar la seguridad de tu PrestaShop

Proteger el directorio es un gran paso, pero no es el único. Aquí tienes otras recomendaciones clave:

• Cambia el nombre de la carpeta admin: Como mencionamos antes, es una de las primeras cosas que debes hacer. No dejes la carpeta con el nombre por defecto.
• Usa contraseñas únicas y robustas: Tanto para el directorio como para tu usuario de administrador de PrestaShop. No reutilices contraseñas de otros sitios.
• Mantén PrestaShop actualizado: Cada actualización corrige vulnerabilidades de seguridad conocidas. Es vital que tu tienda, tus módulos y tu tema estén siempre en la última versión.
• Activa la autenticación en dos pasos (2FA): PrestaShop permite activar la verificación en dos pasos para el acceso al panel de administración. Esto añade otra capa de seguridad muy eficaz.
• Limita los intentos de acceso: Instala un módulo que limite el número de intentos de inicio de sesión fallidos para evitar ataques de fuerza bruta.
• Realiza copias de seguridad periódicas: Si algo sale mal, podrás restaurar tu tienda a un estado anterior.

Preguntas frecuentes (FAQ)

¿Qué sucede si olvido la contraseña del directorio?

No podrás acceder a tu panel de administración. Para solucionarlo, deberás acceder a tu hosting (cPanel o Syspanel) o por FTP y eliminar el archivo .htaccess de la carpeta de administración. Esto desactivará la protección y podrás acceder, pero perderás la configuración. Tendrás que volver a crearla con una nueva contraseña.

¿Afecta esto al rendimiento de mi tienda?

No, el impacto en el rendimiento es totalmente despreciable e imperceptible. El servidor solo hace una comprobación adicional al principio de la sesión.

¿Puedo proteger también la carpeta de instalación o la de "img"?

Puedes proteger cualquier carpeta, pero es recomendable centrarse en la de administración. Proteger otras carpetas podría interferir con el funcionamiento normal de la tienda, como la carga de imágenes.

¿Es obligatorio hacer esto?

No es obligatorio, pero es una de las mejores prácticas de seguridad recomendadas para proteger tu tienda PrestaShop. Es un paso simple que añade una barrera muy efectiva contra accesos no autorizados.

¿Qué hago si mi hosting no tiene cPanel ni Syspanel?

Puedes usar siempre el método manual (Método 3). Si tu hosting es muy básico, es posible que no te permita crear archivos .htaccess. En ese caso, te recomiendo contactar con tu proveedor de hosting para que te asesore sobre las opciones de protección disponibles.

Conclusión

Añadir una contraseña extra a tu directorio de administración es una de las medidas de seguridad más efectivas y sencillas que puedes implementar para proteger tu tienda PrestaShop. No importa si usas cPanel, Syspanel o el método manual, el proceso es accesible para cualquier persona que siga las instrucciones.

No esperes a ser víctima de un ataque para tomar acción. Dedica 15 minutos hoy mismo a implementar esta protección. Es una inversión mínima en tiempo que puede ahorrarte un disgusto enorme en el futuro. La seguridad de tu negocio online está en tus manos.