Preguntas frecuentes sobre seguridad en Plesk | FAQ Ciberseguridad

Introducción: ¿Por qué es importante la seguridad en Plesk?

Cuando empiezas a gestionar tu propio servidor web con Plesk, una de las primeras dudas que surgen es cómo mantenerlo seguro. Es normal sentirse abrumado al principio, pero la buena noticia es que la seguridad en Plesk no tiene por qué ser complicada. Piensa en tu servidor como una casa: necesitas cerrar bien las puertas, no dejar llaves por ahí y asegurarte de que las ventanas estén protegidas. En el mundo digital, esto se traduce en contraseñas fuertes, actualizaciones al día y configuraciones básicas de seguridad.

Esta FAQ seguridad está diseñada para principiantes. Responderemos las preguntas más comunes que recibimos en soporte técnico sobre cómo proteger tu panel de control y los sitios web que alojas. No necesitas ser un experto en ciberseguridad básica para entender estos consejos. Vamos a despejar todas esas dudas una por una, con un lenguaje claro y pasos prácticos.

## Preguntas frecuentes sobre la seguridad del panel de control

### 1. ¿Cuál es la primera medida de seguridad que debo tomar al instalar Plesk?

La primera y más importante es cambiar la contraseña por defecto del administrador. Cuando instalas Plesk, se genera una contraseña temporal. Debes cambiarla inmediatamente por una que sea larga, única y compleja.

Pasos para cambiarla:

Inicia sesión en Plesk como administrador.
Ve a Herramientas y Configuración > Usuarios.
Selecciona tu usuario administrador y haz clic en Cambiar contraseña.
Crea una contraseña de al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos (como !, @, #).

[TIP] Usa un gestor de contraseñas como Bitwarden o LastPass para generar y recordar contraseñas seguras. Nunca uses la misma contraseña para Plesk que para otros servicios.

### 2. ¿Es seguro usar el puerto 8443 para acceder a Plesk?

Sí, el puerto 8443 es el estándar para acceder a Plesk de forma segura mediante HTTPS. Sin embargo, por defecto, Plesk también permite acceso por HTTP (puerto 8880), que no está cifrado. Siempre debes deshabilitar el acceso HTTP para evitar que alguien intercepte tu tráfico.

Cómo deshabilitar el acceso HTTP:

Ve a Herramientas y Configuración > Configuración del panel.
En la sección Puertos del panel, desmarca la opción Puerto HTTP (8880).
Guarda los cambios. A partir de ahora, solo podrás acceder por https://tu-dominio.com:8443.

[WARNING] Si bloqueas el puerto HTTP, asegúrate de recordar la URL con HTTPS y el puerto 8443. De lo contrario, no podrás acceder al panel.

### 3. ¿Cómo protejo el acceso al panel de administración contra ataques de fuerza bruta?

Los ataques de fuerza bruta intentan adivinar tu contraseña probando miles de combinaciones. Plesk incluye una herramienta llamada Fail2Ban que bloquea automáticamente las direcciones IP que fallan al iniciar sesión varias veces.

Para activarlo:

Ve a Herramientas y Configuración > Fail2Ban.
Activa la protección para el servicio Plesk (panel de administración).
Configura un límite razonable, por ejemplo, 5 intentos fallidos en 10 minutos.
Guarda los cambios. Fail2Ban bloqueará automáticamente a los atacantes.

[INFO] Fail2Ban también protege otros servicios como SSH, FTP y correo. Te recomiendo activarlo para todos los servicios que uses.

## Preguntas sobre seguridad de sitios web y aplicaciones

### 4. ¿Qué es SSL/TLS y por qué es fundamental para mi sitio?

SSL/TLS es el protocolo que cifra la comunicación entre el navegador del visitante y tu servidor. Sin él, los datos viajan en texto plano y cualquiera podría interceptarlos (contraseñas, números de tarjeta, etc.). Un sitio sin SSL muestra "No seguro" en el navegador, lo que ahuyenta a los visitantes y afecta tu SEO.

Cómo instalar un certificado SSL gratuito en Plesk:

Ve a Sitios web y dominios > selecciona tu dominio.
Haz clic en SSL/TLS.
Elige Let's Encrypt (es gratuito y se renueva automáticamente).
Marca Asegurar todo el sitio web y haz clic en Instalar.

[TIP] Después de instalar SSL, activa la redirección automática de HTTP a HTTPS en Configuración de hosting para que todos los visitantes usen la versión segura.

### 5. ¿Cómo evito que mi sitio web sea hackeado a través de plugins o extensiones?

Los plugins y extensiones desactualizados son una de las puertas de entrada más comunes para los atacantes. La regla de oro es: mantén todo actualizado.

Buenas prácticas:

Actualiza Plesk regularmente: Ve a Herramientas y Configuración > Actualizaciones y aplica los parches de seguridad.
Actualiza tus CMS (WordPress, Joomla, etc.): Plesk ofrece una herramienta llamada WordPress Toolkit que te permite actualizar plugins, temas y el núcleo con un solo clic.
Elimina lo que no uses: Si tienes un plugin que no necesita, desactívalo y bórralo. Cada extensión adicional es un punto débil potencial.

[WARNING] Nunca descargues plugins de fuentes no oficiales. Usa siempre los repositorios oficiales (como el directorio de WordPress) o desarrolladores de confianza.

### 6. ¿Qué son los permisos de archivos y cómo afectan la seguridad?

Los permisos de archivos determinan quién puede leer, escribir o ejecutar un archivo en tu servidor. Si son demasiado permisivos (por ejemplo, 777), cualquier usuario podría modificar tus archivos, incluidos los atacantes.

Configuración segura recomendada:

Archivos: 644 (el dueño puede escribir, los demás solo leer).
Carpetas: 755 (el dueño puede escribir y ejecutar, los demás solo leer y ejecutar).
Archivos de configuración sensibles (wp-config.php, .env): 600 (solo el dueño puede leer y escribir).

Plesk suele establecer estos permisos automáticamente, pero puedes revisarlos desde el Administrador de archivos de Plesk. Si ves un archivo con permisos 777, cámbialo inmediatamente a 644 o 755 según corresponda.

## Preguntas sobre seguridad del servidor y acceso remoto

### 7. ¿Cómo protejo el acceso SSH a mi servidor?

SSH es la puerta de entrada principal para la gestión remota de tu servidor. Si no lo proteges, cualquiera podría intentar conectarse.

Medidas básicas:

Cambia el puerto SSH por defecto (22): Ve a Herramientas y Configuración > Configuración del servidor > Configuración de SSH y cambia el puerto a uno no estándar (por ejemplo, 2222). Esto reduce los ataques automatizados.
Deshabilita el acceso root por SSH: Es más seguro crear un usuario con privilegios limitados y usar sudo para tareas administrativas.
Activa la autenticación por clave SSH: Es mucho más segura que las contraseñas. Genera un par de claves desde tu ordenador y súbelas a Plesk.

Para deshabilitar el acceso root:

Accede a tu servidor por SSH (si ya está configurado).
Edita el archivo /etc/ssh/sshd_config.
Busca la línea PermitRootLogin y cámbiala a no.
Reinicia el servicio SSH: systemctl restart sshd.

[INFO] Si usas Syspanel (antes conocido como HestiaCP), recuerda que el puerto de acceso por defecto es el 2106. Aplica las mismas medidas de seguridad que para Plesk.

### 8. ¿Debo usar una VPN para acceder a Plesk?

No es obligatorio, pero es altamente recomendable si accedes a Plesk desde redes públicas (cafeterías, aeropuertos, etc.). Una VPN cifra todo tu tráfico y oculta tu dirección IP real, añadiendo una capa extra de seguridad servidor.

Si no quieres usar una VPN, al menos asegúrate de:

Acceder siempre por HTTPS (puerto 8443).
No marcar la opción "Recordar contraseña" en tu navegador.
Cerrar sesión cuando termines.

## Preguntas sobre correo electrónico y bases de datos

### 9. ¿Cómo protejo las cuentas de correo en Plesk?

El correo electrónico es otro vector de ataque común. Los atacantes pueden intentar enviar spam desde tus cuentas o robar información.

Medidas clave:

Usa contraseñas fuertes para cada cuenta de correo.
Activa el filtro antispam: Ve a Herramientas y Configuración > Configuración de correo y activa SpamAssassin.
Limita el número de correos que se pueden enviar por hora: Esto evita que una cuenta comprometida se use para enviar spam masivo. En Plesk, puedes configurarlo en Configuración de correo > Límites de envío.

### 10. ¿Qué debo hacer con las bases de datos para que sean seguras?

Las bases de datos contienen información sensible de tus usuarios. Protégelas así:

Crea usuarios de base de datos con permisos mínimos: No uses el usuario root para las aplicaciones. Crea un usuario específico que solo tenga acceso a la base de datos que necesita.
Cambia los prefijos de las tablas: En WordPress, por ejemplo, cambia el prefijo predeterminado wp_ por algo único como x7k3_. Esto dificulta los ataques de inyección SQL automatizados.
Haz copias de seguridad periódicas: Plesk te permite programar backups automáticos. Si algo sale mal, podrás restaurar tus datos.

## Preguntas sobre actualizaciones y monitoreo

### 11. ¿Con qué frecuencia debo actualizar Plesk y el sistema operativo?

Respuesta corta: Tan pronto como estén disponibles las actualizaciones de seguridad. Plesk lanza parches críticos con frecuencia. Te recomiendo:

Revisar las actualizaciones al menos una vez por semana.
Activar las notificaciones por correo electrónico para que te avisen cuando haya una actualización disponible.

Para actualizar Plesk:

Ve a Herramientas y Configuración > Actualizaciones.
Haz clic en Instalar junto a las actualizaciones disponibles.
Si hay una actualización del sistema operativo, Plesk te lo indicará. Aplica también esas actualizaciones desde la terminal (por ejemplo, apt update && apt upgrade en Ubuntu).

[WARNING] Siempre haz una copia de seguridad completa antes de aplicar actualizaciones importantes. Aunque son seguras, es mejor prevenir.

### 12. ¿Cómo puedo saber si mi servidor ha sido comprometido?

Algunas señales de alerta:

Tu sitio web se vuelve lento o muestra contenido extraño.
Recibes quejas de que se está enviando spam desde tu dominio.
Aparecen archivos desconocidos en tu servidor.
Los logs de acceso muestran IPs sospechosas.

Qué hacer si sospechas un compromiso:

Cambia todas las contraseñas inmediatamente (Plesk, FTP, bases de datos, correo).
Revisa los archivos recientemente modificados en el Administrador de archivos.
Escanea tu servidor con herramientas como ClamAV (disponible en Plesk).
Restaura una copia de seguridad limpia anterior al ataque.

[INFO] Plesk incluye un Monitor de seguridad que te alerta sobre vulnerabilidades conocidas en tus aplicaciones. Actívalo desde Herramientas y Configuración > Monitor de seguridad.

## Conclusión: La seguridad es un proceso continuo

La ciberseguridad básica no es un destino, sino un viaje. No necesitas ser un experto para mantener tu servidor seguro con Plesk. Siguiendo estas preguntas frecuentes y aplicando las medidas que hemos visto (contraseñas fuertes, SSL, actualizaciones, Fail2Ban, permisos correctos), reducirás drásticamente el riesgo de sufrir un ataque.

Recuerda que la FAQ seguridad que hemos cubierto aquí es solo el punto de partida. A medida que ganes confianza, puedes explorar opciones más avanzadas como firewalls de aplicaciones web (WAF) o autenticación de dos factores (2FA) para Plesk.

Si tienes más dudas, no dudes en contactar a nuestro equipo de soporte. Estamos aquí para ayudarte a mantener tu servidor seguro y tu negocio en línea. ¡Protege tu sitio, protege a tus visitantes!