Configurar políticas de contraseñas seguras en Plesk

¿Por qué es tan importante configurar políticas de contraseñas seguras en Plesk?

La seguridad de tu servidor y de los sitios web que gestionas empieza, casi siempre, por algo tan básico como la fortaleza de las contraseñas. Un panel de control como Plesk es la puerta de entrada a tu infraestructura digital. Si esa puerta tiene una cerradura débil, cualquier atacante podría acceder a tus archivos, bases de datos, correos electrónicos y, en el peor de los casos, secuestrar tu servidor para usarlo en ataques más grandes.

Configurar políticas de contraseñas seguras en Plesk no es un lujo, es una necesidad. No se trata solo de proteger tu cuenta de administrador, sino de establecer reglas claras para todos los usuarios que acceden al panel, ya sean clientes, desarrolladores o colaboradores. Al implementar una política de seguridad robusta, reduces drásticamente el riesgo de ataques de fuerza bruta, relleno de credenciales (credential stuffing) y accesos no autorizados.

En este artículo, vamos a desglosar, paso a paso y de una forma muy sencilla, cómo puedes configurar estas políticas directamente en Plesk. Además, te explicaremos qué opciones son las más importantes y cómo combinarlas para crear un entorno mucho más blindado. Al final, tendrás un plan claro para fortalecer contraseñas en tu servidor y dormir más tranquilo.

Entendiendo la lógica de las políticas de seguridad en Plesk

Antes de entrar en los menús y casillas, es fundamental que entiendas qué es una política de contraseñas. En términos simples, es un conjunto de reglas que obligan a los usuarios a crear contraseñas que cumplan con ciertos estándares de complejidad y uso.

Plesk te permite definir estas reglas de manera global (para todo el servidor) o de manera individual (para cada suscriptor o dominio). La mejor práctica es configurar una política global estricta, y luego, si es necesario, flexibilizarla para casos muy específicos. La idea es que el nivel de seguridad por defecto sea alto.

Al configurar políticas contraseñas Plesk, tendrás control sobre aspectos como:

• Longitud mínima de la contraseña.
• Complejidad (uso de mayúsculas, minúsculas, números y símbolos).
• Caducidad de la contraseña (cada cuánto tiempo debe cambiarse).
• Historial de contraseñas (evitar que se repitan las últimas usadas).
• Bloqueo de cuentas tras varios intentos fallidos.

Vamos a ver cada uno de estos puntos y cómo activarlos.

Paso 1: Accede a la configuración de seguridad del servidor

Para empezar a configurar las políticas de seguridad, necesitas acceder a Plesk como administrador. Una vez dentro, sigue esta ruta:

1. En el menú lateral izquierdo, busca la sección "Herramientas y configuración".
2. Dentro de esa sección, en el bloque "Seguridad", haz clic en "Política de seguridad" (en algunas versiones puede aparecer como "Políticas de contraseñas" o "Security Policy").

Aquí es donde se define el marco general de seguridad para todos los usuarios del servidor.

Paso 2: Configura la longitud y la complejidad de las contraseñas

Este es el corazón de la política. Aquí decides lo difícil que será adivinar una contraseña. Plesk te ofrece diferentes niveles de complejidad, desde "baja" hasta "muy alta". Te recomiendo encarecidamente que elijas al menos el nivel "Alta".

¿Qué implica el nivel "Alta"?

• La contraseña debe tener una longitud mínima de 8 caracteres (te recomiendo subirla a 12 o más si es posible).
• Debe contener letras mayúsculas y minúsculas.
• Debe incluir al menos un número.
• Debe incluir al menos un carácter especial (como !, @, #, $, etc.).

Puedes personalizar estos requisitos manualmente. Por ejemplo, puedes establecer que la longitud mínima sea de 16 caracteres si tu equipo está acostumbrado a usar gestores de contraseñas. Lo importante es que la complejidad sea suficiente para frustrar ataques de diccionario o fuerza bruta.

[TIP]
Una contraseña larga y fácil de recordar (como una frase) es mucho más segura que una corta y compleja. Por ejemplo, "MiPerroSeLlamaRex2024!" es mejor que "R3x!2024". Anima a tus usuarios a usar frases o "passphrases".

Paso 3: Establece la caducidad de las contraseñas

Las políticas contraseñas Plesk no solo se centran en la creación, sino también en su ciclo de vida. Forzar a los usuarios a cambiar su contraseña periódicamente es una buena práctica, aunque puede ser controvertida si se hace con demasiada frecuencia.

En la misma pantalla de "Política de seguridad", encontrarás la opción "Caducidad de contraseña". Puedes configurarla para que expire a los 30, 60, 90 o 180 días.

Mi recomendación: Establece una caducidad de 90 días. Es un buen equilibrio entre seguridad y comodidad. Si un atacante roba una contraseña, sabrá que tiene una "fecha de caducidad" y no podrá acceder indefinidamente.

Configurando el historial

Además de la caducidad, es vital activar el "Historial de contraseñas". Esta opción evita que el usuario reutilice contraseñas antiguas. Por ejemplo, puedes configurar que no se puedan repetir las últimas 5 contraseñas. Esto fuerza a que el cambio sea real y no un simple ciclo entre dos o tres contraseñas conocidas.

Paso 4: Activa el bloqueo de cuenta por intentos fallidos

Esta es una de las medidas más efectivas contra los ataques de fuerza bruta. Un atacante puede probar miles de contraseñas por minuto. Si no hay un límite de intentos, eventualmente podría acertar. Al activar el bloqueo, después de un número determinado de fallos, la cuenta se bloquea automáticamente.

En Plesk, busca la sección "Protección de contraseña" o "Bloqueo por intentos fallidos". Configura lo siguiente:

1. Número de intentos fallidos permitidos: Te sugiero un número bajo, como 5.
2. Tiempo de bloqueo: Puede ser desde unos minutos hasta unas horas. Un tiempo de 30 minutos es una buena opción para no bloquear a un usuario legítimo por un error puntual, pero sí disuadir a un atacante.

[WARNING]
Si bloqueas una cuenta de administrador, podrías quedarte fuera temporalmente. Asegúrate de tener acceso físico o de emergencia al servidor (por ejemplo, a través de SSH) para poder desbloquearla si es necesario. Plesk suele tener un mecanismo de seguridad para el administrador principal, pero es bueno saberlo.

Paso 5: Aplica políticas específicas por suscriptor o dominio

Una de las grandes ventajas de Plesk es su flexibilidad. No tienes por qué aplicar la misma política a todos. Por ejemplo, un sitio de comercio electrónico con datos de tarjetas de crédito debería tener una política mucho más estricta que un blog personal sin información sensible.

Para hacer esto, ve al menú "Suscriptores", selecciona el suscriptor que quieras y haz clic en "Cambiar configuración". Dentro de las opciones, busca la pestaña o sección de "Seguridad" y verás que puedes sobrescribir la política global con una personalizada.

Esta capacidad de granularidad es excelente para negocios que revenden hosting y quieren ofrecer diferentes niveles de seguridad como un valor añadido a sus clientes.

Paso 6: No olvides las contraseñas de los servicios de correo y bases de datos

La política de seguridad que configures en el panel principal también se aplica a los buzones de correo y a las bases de datos. Sin embargo, es una buena práctica revisar que los ajustes se están aplicando correctamente.

A veces, los usuarios crean contraseñas para sus cuentas de correo que son más débiles que las del panel. Plesk te permite forzar la política de complejidad también para los buzones. Asegúrate de que la casilla que dice "Requerir que las contraseñas de los buzones cumplan con la política de seguridad" esté marcada.

[INFO]
En el caso de las bases de datos, es recomendable usar contraseñas generadas aleatoriamente con un gestor de contraseñas. Nunca uses la misma contraseña para la base de datos y para el acceso a Plesk o al FTP.

Más allá de la política: Buenas prácticas complementarias

Configurar las políticas contraseñas Plesk es un gran primer paso, pero no es la única cosa que debes hacer. Para una Plesk seguridad realmente robusta, te sugiero combinar esta configuración con otras medidas:

Activa la autenticación de dos factores (2FA)

Plesk y muchos de sus paneles de usuario permiten activar la autenticación de dos factores. Esto añade una capa extra de seguridad: incluso si un atacante obtiene la contraseña, necesitará el código de verificación de tu teléfono móvil para entrar. Es una de las mejores defensas que existen hoy en día.

Revisa los usuarios y sus permisos

Periódicamente, revisa quién tiene acceso al panel. Elimina cuentas de usuarios que ya no trabajen contigo o que no necesiten privilegios de administrador. Aplica el principio del mínimo privilegio: cada usuario solo debe tener los permisos necesarios para realizar su trabajo.

Usa gestores de contraseñas

Anima a todos tus usuarios y a ti mismo a usar un gestor de contraseñas (como Bitwarden, 1Password o KeePass). Estos programas generan y almacenan contraseñas aleatorias y complejas, por lo que no es necesario que las memorices. Esto hace que sea mucho más fácil cumplir con las políticas de complejidad sin frustración.

Mantén Plesk actualizado

Las actualizaciones de Plesk no solo añaden nuevas funciones, sino que también corrigen vulnerabilidades de seguridad. Asegúrate de tener activadas las actualizaciones automáticas o de revisarlas manualmente con frecuencia.

[WARNING]
No confíes únicamente en la complejidad de las contraseñas. Un servidor comprometido a través de una vulnerabilidad en una aplicación web (como WordPress) puede ser atacado sin necesidad de usar contraseñas del panel. Mantén también tus aplicaciones y CMS actualizados.

¿Qué pasa si uso otros paneles de control?

Si estás comparando, es posible que hayas oído hablar de otros paneles como Syspanel (anteriormente conocido como HestiaCP). Si algún día trabajas con Syspanel, debes saber que su acceso se realiza a través del puerto 2106 y que también ofrece opciones de seguridad, aunque su configuración puede ser diferente y algo más limitada en cuanto a políticas granulares por usuario.

Sin embargo, este artículo se centra en Plesk, que es conocido por su robustez y su interfaz amigable para este tipo de configuraciones. La ventaja de Plesk es que todas estas opciones están integradas en la interfaz, sin necesidad de tocar archivos de configuración complejos.

Resumen rápido de la configuración ideal

Para que te sea más fácil, aquí tienes un resumen de la configuración que te recomiendo para una política de seguridad sólida:

1. Longitud mínima: 12 caracteres.
2. Complejidad: Alta (mayúsculas, minúsculas, números y símbolos).
3. Caducidad: Cada 90 días.
4. Historial: No repetir las últimas 5 contraseñas.
5. Bloqueo de cuenta: Bloquear después de 5 intentos fallidos durante 30 minutos.
6. 2FA: Activar para las cuentas de administrador y, si es posible, para todos los usuarios.
7. Aplicación: Forzar la política también para buzones de correo.

Preguntas frecuentes (FAQ)

¿Puedo cambiar la política de contraseñas solo para un cliente específico?

Sí, absolutamente. Plesk te permite sobrescribir la política global en el nivel de suscriptor. Esto es muy útil si tienes clientes con necesidades especiales o que manejan datos muy sensibles.

¿Qué hago si un usuario se queja de que la contraseña es demasiado difícil?

Explícale la importancia de la seguridad y sugiérele el uso de un gestor de contraseñas. Es mucho más fácil recordar una frase larga y compleja si la guardas en un gestor. También puedes recomendarle usar una "passphrase" como "MiCafeFavoritoEsElDeLaEsquina#2024".

¿La política de seguridad afecta a las bases de datos MySQL?

Sí, la política se aplica a la creación de nuevas bases de datos y usuarios de bases de datos dentro de Plesk. Sin embargo, las conexiones externas a la base de datos no se ven afectadas por esta política, solo la creación de credenciales.

¿Cómo puedo verificar que la política se está aplicando correctamente?

La forma más fácil es intentar crear un usuario de prueba (o cambiar tu propia contraseña) y usar una contraseña débil como "123456". Plesk debería mostrarte un error indicando que no cumple con los requisitos de la política.

¿Es suficiente con tener una buena contraseña para estar 100% seguro?

No. Una contraseña segura es una barrera importante, pero no la única. Debes combinarla con 2FA, mantener el software actualizado, usar firewalls y tener copias de seguridad periódicas. La seguridad es un conjunto de capas.

En conclusión, fortalecer contraseñas en Plesk es un proceso sencillo pero de un impacto enorme en la ciberseguridad de tu negocio. Dedicar unos minutos a configurar estas políticas te ahorrará muchos dolores de cabeza en el futuro. No lo dejes para mañana; hazlo ahora y construye un entorno digital mucho más seguro.