Usuarios FTP en Plesk: guía para crear y asegurar

Cuando un sitio web crece, el acceso por FTP se convierte en una necesidad casi diaria. Ya sea para subir archivos, actualizar plugins o gestionar copias de seguridad, necesitas una vía rápida y directa a tu hosting. Sin embargo, el FTP es también una de las puertas de entrada más comunes para los atacantes si no se configura correctamente. La buena noticia es que Plesk, uno de los paneles de control de hosting más utilizados, ofrece herramientas muy potentes para crear y gestionar usuarios FTP seguros sin necesidad de ser un experto en informática. En este artículo, te guiaré paso a paso para que configures tus accesos FTP con la máxima seguridad, entendiendo qué hace cada opción y por qué es importante.

¿Por qué es crucial la seguridad en FTP?

El protocolo FTP clásico envía las credenciales (usuario y contraseña) en texto plano. Esto significa que, si alguien intercepta la conexión en una red pública, podría leer tus datos sin esfuerzo. Por eso, lo primero que debes hacer es siempre usar FTPS (FTP Seguro) o SFTP (SSH File Transfer Protocol). Plesk te permite activar ambas opciones de forma nativa, y es el primer escudo que debes levantar.

Más allá del protocolo, la gestión de usuarios es clave. Si le das a todo el mundo el mismo acceso principal (el del administrador), cualquier error humano o cuenta comprometida pone en peligro todo tu sitio. La solución es crear usuarios FTP específicos con permisos limitados a directorios concretos. Así, un diseñador solo podrá tocar la carpeta de su tema, y un becario solo la de imágenes, reduciendo el impacto de un posible fallo.

Antes de empezar: Requisitos en Plesk

Para seguir esta guía, necesitas tener acceso al panel de control de Plesk de tu dominio (normalmente en la URL https://tu-dominio.com:8443). Necesitarás ser el propietario del dominio o tener permisos de administrador. No te preocupes, el proceso es intuitivo y no requiere conocimientos de línea de comandos.

Además, es recomendable que tengas a mano la contraseña de acceso principal. Si no la tienes, contacta con tu proveedor de hosting para que te la restablezca antes de continuar.

Paso 1: Acceder a la sección de Usuarios FTP

Una vez dentro de Plesk, el proceso es idéntico tanto para un dominio principal como para un subdominio.

En el menú lateral izquierdo, haz clic en "Sitios web y dominios".
Localiza el dominio sobre el que quieres trabajar. Si tienes varios, asegúrate de hacer clic en el correcto.
Busca el icono o enlace que dice "Acceso FTP" o "Usuarios FTP". Normalmente está en la sección "Herramientas" o directamente en el panel del dominio.

Al hacer clic, verás una lista de los usuarios FTP existentes. Si es la primera vez, probablemente solo veas el usuario principal, que suele ser tu_usuario@tu-dominio.com o similar.

Paso 2: Crear un nuevo usuario FTP seguro

Ahora viene la parte interesante: crear un usuario específico. Para ello:

Haz clic en el botón "Agregar usuario FTP" (o "Crear nuevo usuario").
Se abrirá un formulario con varios campos. Vamos a rellenarlos con criterio de seguridad.

Configurando los campos básicos

Nombre de usuario: Elige un nombre que no sea obvio. Evita usar "admin", "test" o "ftp". Algo como webdesign_juan o colaborador_externo es mucho más seguro y descriptivo.
Contraseña: Aquí es donde más cuidado debes poner. Plesk tiene un generador de contraseñas aleatorias. Usa la función de "Generar" que está al lado del campo. Si prefieres crear la tuya, asegúrate de que tenga más de 12 caracteres, mezcle mayúsculas, minúsculas, números y símbolos (como !, @, #).
Inicio de sesión en el servidor: Esta es una opción crítica. Debes seleccionar la casilla que dice "chroot" o "restringir al directorio principal". Esto es un mecanismo de seguridad que encierra al usuario en su carpeta, impidiendo que navegue por el resto del servidor. Si no lo activas, podría ver archivos de otros sitios web en el mismo servidor.

Definiendo permisos y directorio de acceso

Esta es la parte más potente de Plesk y la que más te ayudará a mantener la seguridad.

Directorio (ruta de acceso): Plesk te permite elegir a qué carpeta tendrá acceso el usuario. Por defecto, te llevará a httpdocs (la raíz de tu web). Pero puedes ser más granular. Por ejemplo, si quieres que alguien gestione solo las imágenes, escribe la ruta httpdocs/wp-content/uploads (si usas WordPress). Para ello, escribe la ruta manualmente o usa el selector de archivos.
Permisos de lectura/escritura: Plesk te da un control total. Puedes marcar "Lectura" y "Escritura" por separado. ¿Tienes un colaborador que solo debe descargar archivos? Pues solo dale "Lectura". ¿Alguien que debe subir y borrar? Pues "Lectura y escritura". Esta granularidad evita borrados accidentales o modificaciones malintencionadas.

¿Qué permisos elegir?

Solo lectura: Perfecto para alguien que necesita ver logs o descargar copias de seguridad, pero no debe modificar nada.
Lectura y escritura: Para el desarrollador principal o para ti mismo en un proyecto activo.
Sin acceso a la configuración: Es recomendable dejar desmarcada la opción de "Configuración del sitio" o "Acceso a la configuración de Plesk". Este permiso es peligroso si se lo das a un usuario externo, ya que le permitiría cambiar la configuración del servidor.

Cuando hayas rellenado todo, haz clic en "Aceptar". Plesk creará el usuario al instante y te mostrará un mensaje de confirmación.

Paso 3: Gestionar y modificar usuarios existentes

La gestión no termina con la creación. Es fundamental revisar periódicamente los usuarios que tienes. Para ello:

Vuelve a la lista de "Usuarios FTP".
Verás una lista con todos los accesos. Al lado de cada uno, hay iconos de acción (lápiz para editar, papelera para borrar).

Buenas prácticas de gestión

Cambia las contraseñas regularmente: Si sospechas que un usuario ya no trabaja contigo o que su contraseña pudo filtrarse, edítala inmediatamente. En la edición, Plesk te permite forzar el cambio de contraseña en el próximo inicio de sesión. Activa esta opción si es un usuario externo.
Elimina lo que no uses: Si un proyecto ha terminado, borra al usuario FTP. No lo dejes ahí "por si acaso". Cuantas menos puertas abiertas, menos riesgo. Esto es una regla de oro en ciberseguridad.
Revisa los permisos: Al editar un usuario, comprueba que el directorio de acceso sigue siendo el correcto. A veces, al reestructurar una web, las rutas cambian y el usuario podría tener acceso a una zona no deseada.

Paso 4: Proteger la conexión con FTPS y SFTP

Como mencioné al principio, el protocolo es tan importante como el usuario. Plesk te permite activar estas opciones fácilmente.

Activando FTPS (FTP sobre SSL)

Ve a "Sitios web y dominios" y busca la sección de "Hosting y Acceso" o "Configuración de hosting".
Busca la opción de "Acceso FTP" o "Seguridad FTP". Verás un menú desplegable con opciones como "Solo FTP", "FTPS explícito" o "FTPS implícito".
Selecciona "FTPS explícito" (o "Requiere TLS/SSL"). Esto hará que la conexión se cifre.
Guarda los cambios.

Usando SFTP (SSH)

SFTP es aún más seguro porque viaja sobre el protocolo SSH. En Plesk, para activarlo:

En la misma sección de "Configuración de hosting", busca "Acceso SSH".
Actívalo. Plesk te pedirá que elijas un tipo de shell. Para un usuario FTP normal, elige "/bin/false" o "/usr/sbin/nologin". Esto permite la conexión SFTP pero impide que el usuario ejecute comandos en el servidor (una capa extra de seguridad).
Guarda y listo.

[WARNING] Activar el acceso SSH con shell completo (/bin/bash) es extremadamente peligroso si no sabes lo que haces. Dale a los usuarios FTP el shell restringido para que solo puedan transferir archivos.

Paso 5: Configuración adicional para usuarios avanzados

Plesk ofrece más opciones para los que quieren un control absoluto.

Cuotas de disco: En la edición del usuario FTP, puedes limitar el espacio que puede usar. Esto es útil si tienes clientes que suben muchos vídeos y no quieres que llenen el disco duro del servidor.
Restricción de IP: Plesk permite limitar el acceso a un usuario FTP solo desde ciertas direcciones IP. Si trabajas con una agencia que tiene una IP fija, añádela. Cualquier intento de conexión desde otra IP será rechazado automáticamente. Esta es una medida de seguridad muy eficaz.
Conexiones concurrentes: Puedes limitar el número de conexiones simultáneas para evitar que se compartan las cuentas.

Resolviendo problemas comunes (FAQ)

Aquí te dejo las dudas más frecuentes que me suelen llegar sobre este tema.

¿Por qué no puedo conectar con mi nuevo usuario FTP?

Lo más común es un error en la ruta de acceso. Si el directorio que escribiste no existe, Plesk no te deja conectar. Verifica que la ruta es correcta y que el usuario tiene permisos de lectura al menos sobre esa carpeta. También revisa que has activado el "chroot".

¿Qué hago si he olvidado la contraseña de un usuario FTP?

No necesitas borrarlo. Entra en la lista de usuarios, pulsa el icono de editar (lápiz) y escribe una nueva contraseña. Plesk no muestra las contraseñas existentes por seguridad, pero te permite sobrescribirlas.

¿Es mejor usar FTPS o SFTP?

Ambos son seguros. SFTP es más fácil de usar a través de firewalls corporativos y suele ser la opción recomendada si tu cliente FTP lo soporta (FileZilla, WinSCP, etc.). FTPS es más estándar en el mundo del hosting. Te recomiendo usar SFTP si tienes la opción, ya que es más fiable en entornos cambiantes.

He creado un usuario con "Solo lectura", pero no puedo ver los archivos. ¿Qué pasa?

Asegúrate de que el usuario tiene permiso de "Listar" en el directorio padre. En Plesk, a veces los permisos de lectura no incluyen la capacidad de listar si la carpeta no tiene los permisos de Unix adecuados. Esto se soluciona editando el usuario y marcando la casilla de "Listar" o ajustando los permisos del directorio en el Administrador de archivos.

¿Puedo usar el mismo usuario FTP para dos dominios diferentes?

No es recomendable. Cada dominio debe tener sus propios usuarios. Si usas el mismo, cualquier persona con acceso a un dominio podrá ver los archivos del otro si el "chroot" no está bien configurado. Crea siempre un usuario por dominio y por función.

Conclusión: La seguridad es un hábito, no un acto

Crear usuarios FTP seguros en Plesk no es complicado, pero requiere de un poco de método. La clave está en aplicar el principio de mínimo privilegio: dar a cada usuario solo los permisos que necesita, solo sobre la carpeta que necesita y solo durante el tiempo que lo necesita. Activar el cifrado (FTPS o SFTP) y usar contraseñas robustas son la base, pero la gestión granular de permisos es lo que realmente marca la diferencia entre un hosting vulnerable y uno blindado.

Te recomiendo que ahora mismo revises tu lista de usuarios FTP en Plesk. Pregúntate: ¿Hay algún usuario que ya no debería existir? ¿Alguno tiene permisos de escritura en la raíz del sitio cuando solo debería subir imágenes? ¿Están todos usando conexión segura? Responder a estas preguntas y aplicar los cambios descritos en esta guía te llevará menos de diez minutos y te ahorrará un disgusto enorme en el futuro. La ciberseguridad no es un lujo, es una necesidad, y con herramientas como Plesk, está al alcance de cualquiera.