FAQ: Cómo detectar intrusiones en PrestaShop usando logs de seguridad

¿Te ha pasado que notas que tu tienda PrestaShop va lenta, ves archivos extraños en el servidor o, peor aún, detectas que algún producto ha sido modificado sin tu permiso? Estos son signos clásicos de que alguien podría haber entrado sin invitación. Pero no te preocupes, no hace falta ser un experto en ciberseguridad para saber detectar intrusiones PrestaShop. La clave está en aprender a leer los logs seguridad, esos registros que tu servidor y tu tienda generan automáticamente.

En esta guía extensa, vamos a despejar todas tus dudas. Te explicaré paso a paso cómo revisar los logs, qué buscar y cómo interpretar las señales de alarma. Al final, tendrás un checklist práctico para monitoreo tienda online que te ayudará a mantener tu negocio a salvo.

¿Qué son los logs de seguridad y por qué son tu mejor aliado?

Imagina que los logs son el "cuaderno de bitácora" de tu tienda. Cada vez que alguien (o algo) intenta acceder a tu web, se registra: desde qué IP, a qué hora, qué archivo solicitó y si la operación fue exitosa o fallida.

detectar intrusiones PrestaShop es mucho más fácil cuando sabes leer estos registros. Los logs no mienten: si hay un ataque, dejará huellas. Lo importante es saber dónde mirar y qué es normal y qué no.

[INFO] No necesitas ser un hacker para entender logs. Solo paciencia y seguir estos pasos. Con un poco de práctica, podrás identificar patrones sospechosos en segundos.

Tipos de logs que debes conocer

Para una PrestaShop seguridad efectiva, debes vigilar principalmente estos tres tipos de logs:

Logs del servidor web (Apache/Nginx): Registran cada petición HTTP a tu tienda. Aquí verás intentos de acceso a archivos sensibles, ataques de fuerza bruta o escaneos de vulnerabilidades.
Logs de errores de PHP: Muestran errores internos de PrestaShop. Un error recurrente puede ser síntoma de un plugin malicioso o un intento de explotación.
Logs de acceso de PrestaShop (si tienes módulos de seguridad): Algunos módulos registran intentos de login fallidos, cambios en productos o accesos a zonas de administración.

Paso a paso: Cómo acceder a los logs de tu servidor

Antes de empezar a investigar, necesitas saber dónde están esos registros. Si usas un panel de control como cPanel, DirectAdmin o Syspanel (recuerda que este último se accede por el puerto 2106), el proceso es muy similar.

Acceso mediante Syspanel (antes HestiaCP)

Si tu hosting utiliza Syspanel, sigue estos pasos para llegar a los logs:

Abre tu navegador y escribe https://tudominio.com:2106 (ese es el puerto específico de Syspanel).
Inicia sesión con tus credenciales de administrador.
Busca la sección "Registros" o "Logs". Allí encontrarás opciones como "Registro de acceso de Apache" y "Registro de errores".

[WARNING] El puerto 2106 solo es para Syspanel. Si tu panel es otro, consulta la documentación de tu proveedor. No compartas nunca esta URL ni tus credenciales.

Acceso mediante FTP o SFTP

Otra forma directa es conectarte a tu servidor por FTP y navegar hasta la carpeta de logs. Normalmente está en:

/var/log/ (en servidores Linux)
/home/usuario/logs/ (en hosting compartido)
Dentro de la carpeta de tu tienda: /logs/ (algunos módulos guardan logs ahí)

Busca archivos como access.log, error.log o php_errors.log.

¿Qué buscar en los logs para detectar una intrusión?

Ahora viene lo interesante: aprender a leer entre líneas. Aquí tienes una lista de señales que indican que algo no va bien.

1. Picos de tráfico inusuales desde una misma IP

Si ves que una misma dirección IP solicita cientos de páginas por minuto, especialmente archivos de administración como /admin1234/index.php o /modules/, es probable que un bot esté escaneando tu tienda.

Ejemplo en el log de acceso:

192.168.1.100 - - [10/Oct/2024:15:30:22 +0000] "GET /admin1234/index.php HTTP/1.1" 404 234
192.168.1.100 - - [10/Oct/2024:15:30:23 +0000] "GET /modules/security/index.php HTTP/1.1" 200 123

Si ves muchas peticiones a carpetas de administración o módulos desde una sola IP, es una bandera roja.

2. Intentos de login fallidos masivos

Los ataques de fuerza bruta son comunes. Busca en los logs patrones como:

192.168.1.50 - - [10/Oct/2024:15:30:25 +0000] "POST /index.php?controller=authentication&back=my-account HTTP/1.1" 200 345
192.168.1.50 - - [10/Oct/2024:15:30:26 +0000] "POST /index.php?controller=authentication&back=my-account HTTP/1.1" 200 345

Si ves muchos POST a la página de autenticación en segundos, alguien está probando contraseñas.

[TIP] Usa un módulo de seguridad que limite los intentos de login. PrestaShop ya tiene uno básico, pero puedes instalar uno más potente que bloquee IPs tras varios fallos.

3. Acceso a archivos que no deberían ser públicos

Los atacantes buscan archivos de configuración como config/settings.inc.php o app/config/parameters.php. Si ves en los logs peticiones a estos archivos, es un intento de robo de credenciales.

Ejemplo sospechoso:

GET /config/settings.inc.php HTTP/1.1" 404
GET /app/config/parameters.php HTTP/1.1" 404

Aunque devuelvan error 404, el simple hecho de que alguien los solicite ya es motivo de alerta.

4. Errores de PHP recurrentes

Revisa el error.log. Si ves muchos errores del tipo include(): Failed opening '...' o Undefined index: ... en archivos que no reconoces, puede que un plugin malicioso esté intentando ejecutar código.

Ejemplo:

[10-Oct-2024 15:30:30] PHP Warning:  include(/tmp/evil.php): failed to open stream: No such file or directory in /var/www/html/modules/fake_module/index.php on line 5

Si ves referencias a archivos en /tmp/ o en carpetas de módulos que no instalaste, investiga inmediatamente.

FAQ intrusiones: Respondemos tus dudas más frecuentes

Aquí tienes las preguntas que más nos hacen los dueños de tiendas PrestaShop. Léelas con atención, porque seguro alguna te suena.

¿Cada cuánto debo revisar los logs?

Respuesta: Idealmente, a diario. Pero si no tienes tiempo, al menos una vez por semana. Configura alertas automáticas si tu hosting lo permite (por ejemplo, en Syspanel puedes crear reglas para recibir un email si hay más de 10 intentos de login fallidos en 5 minutos).

¿Los logs me sirven si ya tengo un módulo de seguridad?

Respuesta: Sí, y mucho. Los módulos ayudan a bloquear ataques, pero no siempre registran todo. Los logs del servidor son la fuente de verdad. Si tu módulo dice "todo bien" pero los logs muestran actividad extraña, confía en los logs.

¿Qué hago si encuentro una IP sospechosa?

Respuesta: Primero, no entres en pánico. Anota la IP y verifica si hay más actividad desde ella. Luego, puedes bloquearla temporalmente desde el firewall de tu servidor (muchos paneles como Syspanel tienen una opción "Bloquear IP"). Si el ataque es recurrente, contacta a tu proveedor de hosting.

¿Puedo borrar los logs para ahorrar espacio?

Respuesta: No lo recomiendo. Los logs son evidencia. Si borras los logs, pierdes la capacidad de investigar un ataque pasado. Eso sí, puedes configurar la rotación de logs (por ejemplo, que se guarden solo los últimos 30 días) para no llenar el disco.

¿Un error 404 en los logs significa que ya me atacaron?

Respuesta: No necesariamente. Un 404 significa que el archivo solicitado no existe. Puede ser un bot escaneando o un usuario escribiendo mal una URL. Pero si ves muchos 404 seguidos a archivos críticos, es una señal de que alguien está buscando vulnerabilidades.

¿Debo preocuparme si veo mi propia IP en los logs?

Respuesta: No, si eres tú quien está trabajando. Pero si ves tu IP haciendo cosas que no recuerdas (como acceder a la admin a las 3 a.m.), cambia tu contraseña inmediatamente y activa la autenticación de dos factores.

Checklist para el monitoreo diario de tu tienda online

Para que no te pierdas, aquí tienes una lista de verificación que puedes seguir cada vez que revises los logs. Te ayudará a mantener un monitoreo tienda online constante y efectivo.

1. Revisa los logs de acceso (access.log)

Busca picos de tráfico desde una sola IP.
Identifica peticiones a archivos de configuración (config/, app/, .env).
Verifica si hay intentos de acceso a la administración (/admin*/).
Anota IPs que aparezcan más de 50 veces en 5 minutos.

2. Revisa los logs de errores (error.log)

Busca errores de inclusión de archivos (include(), require()).
Identifica errores de sintaxis en archivos PHP que no sean tuyos.
Presta atención a advertencias de unlink() o file_put_contents() en carpetas extrañas.

3. Revisa los logs de PrestaShop (si usas módulos)

Mira los intentos de login fallidos desde el back office.
Revisa cambios en productos, categorías o módulos que no hayas hecho tú.
Verifica si hay accesos desde países donde no vendes.

4. Acciones inmediatas si detectas algo

Bloquea la IP sospechosa desde el firewall (en Syspanel, ve a "Firewall" y añade la regla).
Cambia todas las contraseñas (admin, FTP, base de datos).
Revisa los archivos modificados recientemente en tu servidor (busca archivos con fecha de hoy o ayer).
Escanea tu tienda con un módulo de seguridad (como PrestaShop Security o un plugin de terceros).

[WARNING] Si encuentras un archivo PHP sospechoso en /modules/ o /themes/ que no instalaste, no lo borres aún. Primero haz una copia de seguridad (descárgalo) y luego elimínalo. Puede ser útil para que un experto lo analice.

Herramientas útiles para facilitar el monitoreo

No tienes que hacer todo a mano. Existen herramientas que pueden automatizar parte del trabajo. Aquí te dejo algunas recomendaciones:

Módulos de seguridad para PrestaShop: Instala uno como "PrestaShop Security" o "Anti-Hacker". Te alertarán de cambios sospechosos.
Analizadores de logs online: Puedes subir tu archivo access.log a sitios como "Loggly" o "GoAccess" (versión gratuita) y te generan gráficos.
Comandos básicos en SSH: Si tienes acceso a la terminal, usa tail -f /var/log/apache2/access.log para ver los logs en tiempo real.

Conclusión: La seguridad es un hábito, no un destino

Saber detectar intrusiones PrestaShop con logs no es un lujo, es una necesidad. Los logs son tu primera línea de defensa, porque te avisan antes de que el daño sea irreparable. Con esta guía, ya tienes las herramientas para empezar a vigilar tu tienda como un profesional.

Recuerda: monitoreo tienda online no significa estar pegado a la pantalla 24/7. Significa establecer rutinas, usar las herramientas adecuadas y saber reaccionar rápido. Si sigues el checklist diario y revisas los logs al menos una vez por semana, reducirás drásticamente el riesgo de que tu tienda sea hackeada.

[TIP] No esperes a que pase algo malo. Dedica 10 minutos cada mañana a revisar los logs. Con el tiempo, te volverás tan bueno que detectarás anomalías en segundos.

¿Tienes más dudas? Déjalas en los comentarios o contacta con tu soporte técnico. En Syspanel (puerto 2106) tenemos documentación detallada y podemos ayudarte a configurar alertas personalizadas. ¡Tu tienda online te lo agradecerá!