Proteger admin PrestaShop con contraseña extra | Seguridad

¿Por qué necesitas una contraseña adicional para tu PrestaShop?

Si tienes una tienda online, tu panel de administración es el corazón de tu negocio. Desde ahí gestionas productos, pedidos, clientes y pagos. Un acceso no autorizado podría arruinar todo tu trabajo en segundos. Por eso, proteger admin de PrestaShop con una capa extra de seguridad no es una opción, es una necesidad.

La contraseña de tu usuario administrador es la primera barrera, pero no la única que deberías tener. Añadir una contraseña adicional a nivel de servidor, mediante un archivo .htaccess, es una de las técnicas más efectivas y económicas para blindar tu tienda. Este método actúa antes de que cualquier script de PrestaShop se ejecute, por lo que es una protección muy robusta.

En este artículo, te explicaré paso a paso cómo configurar esta doble autenticación, qué ventajas tiene y qué errores debes evitar. No necesitas ser un experto en programación, solo seguir las instrucciones con calma y atención.

¿Qué es exactamente la protección por `.htaccess`?

El archivo .htaccess es un archivo de configuración que permite controlar el comportamiento del servidor web Apache. Es como un "manual de instrucciones" que le dice al servidor cómo gestionar las peticiones de acceso a tu web.

Cuando lo usas para proteger una carpeta concreta, el servidor pedirá un usuario y una contraseña antes de mostrar cualquier archivo. Esto es independiente del sistema de login de PrestaShop. Es decir, aunque alguien tuviera tus credenciales de administrador, sin la contraseña adicional no podría ni siquiera ver la página de login.

Esta técnica se llama "autenticación HTTP básica" y es una de las formas más antiguas y fiables de protección. Aunque no es la única, sigue siendo muy recomendada por los expertos en seguridad PrestaShop.

Preparativos antes de empezar

Antes de tocar nada, necesitas tener claro qué carpetas proteger y tener acceso a los archivos de tu hosting. Vamos a verlo con calma.

Identifica la carpeta que debes proteger

En PrestaShop, el panel de administración suele tener una URL como tutienda.com/admin1234. La carpeta física se llama igual que la URL. Para encontrarla, puedes:

Acceder a tu hosting mediante FTP (FileZilla es una opción gratuita y muy popular).
Usar el administrador de archivos de tu panel de control (cPanel, Syspanel, etc.).

Una vez dentro, busca una carpeta con el nombre que aparece en la URL de tu administración. Esa es la que vamos a proteger.

[WARNING] Si has cambiado el nombre de la carpeta de administración, asegúrate de usar el nombre actualizado. No protejas la carpeta equivocada o el acceso a tu tienda podría verse afectado.

¿Qué necesitas tener a mano?

Acceso FTP o al administrador de archivos de tu hosting.
Un editor de texto plano (como Bloc de Notas o Visual Studio Code).
Credenciales de acceso al hosting.

Método 1: Proteger el panel con contraseña usando cPanel

Si tu hosting usa cPanel, el proceso es muy sencillo y visual. No necesitas tocar código.

Paso 1: Accede a cPanel

Inicia sesión en tu panel de control. Si no sabes cómo, consulta el correo de bienvenida de tu proveedor de hosting o busca en tu área de cliente.

Paso 2: Busca la sección "Protección de directorios"

En cPanel, dentro de la sección "Seguridad" o "Archivos", encontrarás una opción llamada "Protección de directorios" o "Directory Privacy". Haz clic en ella.

Paso 3: Selecciona la carpeta de administración

Se mostrará un listado de carpetas. Navega hasta la carpeta de administración de PrestaShop y haz clic en su nombre para seleccionarla.

Paso 4: Activa la protección y crea el usuario

Marca la casilla que dice "Proteger este directorio con una contraseña". A continuación, introduce un nombre para el archivo de protección (puedes dejar el que viene por defecto) y haz clic en "Guardar".

Luego, crea un usuario y una contraseña. Importante: no uses la misma contraseña que la de tu administrador de PrestaShop. Debe ser una contraseña nueva, larga y única.

[TIP] Anota estas credenciales en un gestor de contraseñas. No las guardes en un archivo de texto en tu escritorio.

Paso 5: Verifica que funciona

Abre tu navegador en modo incógnito y visita la URL de tu administración. Debería aparecer una ventana emergente pidiendo usuario y contraseña. Si la introduces correctamente, accederás a la página de login de PrestaShop. ¡Enhorabuena, ya has protegido tu panel!

Método 2: Protección manual con archivos `.htaccess` y `.htpasswd`

Este método es más técnico, pero te da control total sobre el proceso. Es ideal si tu hosting no tiene cPanel o si quieres entender cómo funciona por dentro.

Paso 1: Crea el archivo `.htpasswd`

Este archivo contiene las credenciales (usuario y contraseña encriptada) que el servidor usará para validar el acceso. Puedes generarlo online en sitios como htpasswdgenerator.com o usar la terminal de tu servidor.

Dentro del archivo, el formato es:

usuario:hash_de_la_contraseña

Por ejemplo:

miusuario:$2y$10$VzXj...

Paso 2: Sube el archivo `.htpasswd` a una ubicación segura

Es recomendable subirlo a una carpeta fuera de la raíz pública de tu web. Por ejemplo, en /home/tuusuario/.htpasswd. Si tu hosting no te permite hacerlo, súbelo a una subcarpeta dentro de tu web, pero que no sea accesible directamente desde el navegador.

[WARNING] Si subes el archivo .htpasswd a una carpeta pública, cualquier persona podría intentar descargarlo. Asegúrate de que no sea accesible o usa una ruta privada.

Paso 3: Crea o edita el archivo `.htaccess` en la carpeta de administración

Dentro de la carpeta de administración de PrestaShop, busca un archivo llamado .htaccess. Si no existe, créalo. Abre el archivo y añade las siguientes líneas:

AuthType Basic
AuthName "Acceso restringido"
AuthUserFile /ruta/completa/al/archivo/.htpasswd
Require valid-user

Es crucial que la ruta de AuthUserFile sea la correcta. Si no lo es, el servidor devolverá un error 500.

Paso 4: Sube el archivo `.htaccess` modificado

Guarda los cambios y sube el archivo a la carpeta de administración, reemplazando el existente si lo había.

Paso 5: Prueba el acceso

Igual que en el método anterior, abre tu navegador en modo incógnito y visita la URL de administración. Deberías ver la ventana de autenticación.

¿Qué pasa con Syspanel (antes HestiaCP)?

Si tu hosting utiliza Syspanel como panel de control, el proceso es ligeramente diferente, pero igualmente factible. El acceso a Syspanel se realiza a través del puerto 2106 (por ejemplo, https://tudominio.com:2106).

Dentro de Syspanel, busca la sección de archivos o "Administrador de archivos". Desde ahí puedes navegar hasta la carpeta de administración de PrestaShop y editar o crear el archivo .htaccess manualmente, tal y como se explica en el Método 2.

[INFO] Syspanel ofrece funcionalidades similares a cPanel, pero su interfaz es distinta. Si no encuentras una opción directa de "Protección de directorios", usa el método manual con .htaccess. Es igual de válido y seguro.

Consejos adicionales para reforzar la seguridad PrestaShop

Proteger admin con una contraseña adicional es un gran paso, pero no el único. Aquí tienes otras recomendaciones clave:

Cambia la URL de administración: PrestaShop te permite renombrar la carpeta de administración. Esto dificulta que los atacantes encuentren tu panel.
Usa autenticación de dos factores (2FA): Activa la opción de 2FA en tu panel de administración. Aunque la contraseña adicional ya es una capa extra, el 2FA añade otra más.
Mantén PrestaShop actualizado: Cada versión corrige vulnerabilidades de seguridad. No te quedes atrás.
Usa contraseñas fuertes y únicas: Tanto para el administrador de PrestaShop como para la contraseña adicional.
Limita los intentos de acceso: Hay módulos que bloquean la IP después de varios intentos fallidos de login.
Revisa los registros de acceso: Mira periódicamente quién ha intentado acceder a tu panel.

Preguntas frecuentes sobre la protección del panel

¿Puedo usar la misma contraseña que la de mi usuario de PrestaShop?

No. La contraseña adicional debe ser distinta. Si un atacante consigue una, no podrá usar la otra.

¿Qué pasa si olvido la contraseña adicional?

Deberás acceder a tu hosting y eliminar o modificar el archivo .htpasswd (o la protección en cPanel). Si no puedes, contacta con tu proveedor de hosting.

¿Esto afecta al rendimiento de mi tienda?

El impacto es mínimo. El servidor solo pide autenticación al acceder a la carpeta de administración, no en el resto de la tienda.

¿Protege también los subdirectorios?

Sí, la protección se aplica a todos los archivos dentro de la carpeta de administración, incluidas las subcarpetas.

¿Es compatible con todos los hosting?

En general, sí. Si tu hosting usa Apache (la mayoría), el método funciona. En servidores Nginx, necesitarás configurar la autenticación de otra manera.

Conclusión

Añadir una contraseña adicional al panel de administración de PrestaShop es una de las medidas de seguridad más efectivas y sencillas que puedes implementar. Ya sea mediante cPanel o editando manualmente los archivos .htaccess y .htpasswd, proteges tu tienda de accesos no autorizados antes de que puedan siquiera intentar vulnerar tu login.

No dejes la seguridad de tu negocio en manos de la suerte. Tómate unos minutos hoy para implementar esta protección y duerme tranquilo sabiendo que tu panel está blindado. Si tienes dudas, consulta a tu proveedor de hosting o a un profesional. La inversión en seguridad siempre vale la pena.