Seguridad en Plesk: Configuración Básica para Proteger tu Servidor

Proteger tu servidor web es una de las tareas más importantes que puedes hacer como administrador o propietario de un sitio. Plesk es un panel de control potente y muy popular, pero como cualquier software, necesita una configuración adecuada para evitar problemas de seguridad. No te preocupes, no necesitas ser un experto en ciberseguridad para seguir esta guía. Vamos a ver paso a paso cómo configurar la seguridad básica de tu servidor con Plesk, desde el firewall hasta la instalación de SSL.

¿Por qué es importante la seguridad en Plesk?

Imagina que tu servidor es como una casa. Plesk es la puerta principal, pero si dejas la puerta abierta o pones una cerradura débil, cualquiera puede entrar. Los ataques informáticos, como los intentos de acceso no autorizado, la inyección de malware o los ataques de fuerza bruta, son muy comunes. Configurar la seguridad de Plesk no solo protege tus datos y los de tus clientes, sino que también mantiene tu sitio web funcionando sin interrupciones. Además, muchos buscadores penalizan sitios web inseguros, lo que afecta tu posicionamiento SEO.

Primeros pasos: actualiza Plesk y el sistema operativo

Antes de tocar cualquier configuración, asegúrate de que todo esté actualizado. Las actualizaciones incluyen parches de seguridad que corrigen vulnerabilidades conocidas.

Cómo actualizar Plesk

Inicia sesión en Plesk como administrador.
Ve a Herramientas y ajustes > Actualizaciones y actualizaciones de Plesk.
Haz clic en Buscar actualizaciones e instala todas las disponibles.
Repite el proceso para los componentes del sistema (normalmente se hace desde la línea de comandos con sudo apt update && sudo apt upgrade en Linux).

[TIP] Programa las actualizaciones automáticas para no olvidarte. En Plesk, puedes hacerlo desde la misma sección de actualizaciones.

Configurar el firewall de Plesk: tu primera línea de defensa

El firewall es como un portero que decide quién entra y quién no a tu servidor. Plesk incluye un firewall integrado (basado en iptables o firewalld) que es muy fácil de manejar.

Pasos para configurar el firewall en Plesk

Ve a Herramientas y ajustes > Firewall.
Activa el firewall si aún no lo está.
Define las reglas básicas:
- Permite el tráfico HTTP (puerto 80) y HTTPS (puerto 443) para que tu sitio web sea accesible.
- Permite el puerto 8443 para acceder al panel de Plesk de forma segura (nunca uses el puerto 8880 sin SSL).
- Permite el puerto 21 para FTP (si lo necesitas) o mejor, usa SFTP (puerto 22).
- Bloquea todos los demás puertos entrantes que no uses.
Guarda los cambios y aplica las reglas.

[WARNING] No bloquees el puerto 22 (SSH) si accedes a tu servidor por línea de comandos, o te quedarás fuera. Siempre ten una forma alternativa de acceso, como la consola de Plesk.

Reglas adicionales recomendadas

Limitar intentos de conexión: Puedes instalar Fail2ban (integrado en Plesk) para bloquear IPs que intenten acceder repetidamente con contraseñas incorrectas.
Permitir solo IPs de confianza: Si trabajas desde una oficina o casa con IP fija, puedes restringir el acceso al panel de Plesk solo a esas direcciones.

SSL y HTTPS: cifra la comunicación

Un sitio sin SSL es como enviar una carta sin sobre. Cualquiera puede leerla. Además, Google penaliza los sitios sin HTTPS, así que es fundamental para tu SEO.

Cómo instalar SSL en Plesk

Ve a Herramientas y ajustes > Certificados SSL/TLS.
Si ya tienes un certificado, puedes importarlo. Si no, la opción más fácil es usar Let's Encrypt, que es gratuito.
Para instalar Let's Encrypt:
- Ve a Sitios web y dominios > selecciona el dominio > SSL/TLS.
- Haz clic en Obtener un certificado gratuito.
- Sigue el asistente: selecciona el dominio principal y los subdominios si los hay.
- Acepta los términos y el certificado se instalará automáticamente.
Activa la redirección automática de HTTP a HTTPS para que todos los visitantes usen la versión segura.

[INFO] Let's Encrypt se renueva automáticamente cada 90 días, pero asegúrate de que el puerto 80 esté abierto en tu firewall para que la renovación funcione.

Proteger el acceso al panel de Plesk

El panel de administración de Plesk es la puerta principal. Si alguien logra entrar, puede hacer cualquier cosa. Por eso, debes reforzar esta entrada.

Cambiar el puerto predeterminado

Por defecto, Plesk usa el puerto 8443 para HTTPS. Cambiarlo a otro puerto (por ejemplo, 8444) reduce los ataques automatizados.

Ve a Herramientas y ajustes > Configuración del panel.
En Puerto de administración, cambia el número.
Guarda y reinicia el servicio. Recuerda abrir ese puerto en tu firewall.

Usar autenticación de dos factores (2FA)

Activar 2FA añade una capa extra de seguridad. Incluso si alguien obtiene tu contraseña, no podrá acceder sin el código de tu teléfono.

Ve a Mi perfil (esquina superior derecha) > Seguridad.
Activa Autenticación de dos factores y sigue las instrucciones para vincular tu aplicación (Google Authenticator, Authy, etc.).

[TIP] Si usas 2FA, guarda los códigos de respaldo en un lugar seguro. Si pierdes el teléfono, podrás recuperar el acceso.

Gestión de usuarios y contraseñas

No des a nadie más acceso del necesario. Cada usuario de Plesk debe tener permisos específicos.

Crear usuarios con roles limitados

Ve a Herramientas y ajustes > Usuarios.
Crea un nuevo usuario y asigna un rol predefinido (por ejemplo, "Cliente" o "Administrador de sitios web").
No compartas la cuenta de administrador con nadie. Si un cliente necesita acceso, dale su propia cuenta.

Políticas de contraseñas seguras

Plesk permite forzar contraseñas fuertes:

Ve a Herramientas y ajustes > Política de seguridad.
Marca opciones como:
- Longitud mínima de 12 caracteres.
- Incluir mayúsculas, minúsculas, números y símbolos.
- Exigir cambio periódico (por ejemplo, cada 90 días).

Proteger directorios y archivos sensibles

Algunas carpetas de tu servidor contienen información crítica, como archivos de configuración o bases de datos. Debes restringir su acceso.

Ocultar directorios del sistema

Plesk ya protege sus propios archivos, pero puedes añadir capas extra:

Ve a Sitios web y dominios > selecciona el dominio > Administrador de archivos.
Busca el archivo .htaccess (en Apache) o configura el web.config (en IIS).
Añade reglas para denegar el acceso a directorios como /private, /logs o /backups.

Ejemplo de regla en .htaccess:

Deny from all

Deshabilitar la navegación de directorios

Por defecto, si alguien escribe la URL de una carpeta sin un archivo índice, verá el listado de archivos. Esto es un riesgo de seguridad.

En Plesk, ve a Sitios web y dominios > Configuración de hosting.
Desmarca Listado de directorios y guarda.

Copias de seguridad: tu plan de rescate

Aunque configures todo bien, siempre existe el riesgo de un ataque o un error humano. Las copias de seguridad son tu salvavidas.

Configurar copias automáticas en Plesk

Ve a Herramientas y ajustes > Programador de tareas.
Crea una nueva tarea que ejecute un script de backup.
También puedes usar la herramienta de backup integrada: Herramientas y ajustes > Administrador de copias de seguridad.
Programa copias diarias o semanales y guárdalas en un lugar externo (como un servidor FTP o almacenamiento en la nube).

[WARNING] No almacenes las copias en el mismo servidor. Si el servidor se infecta, perderás también las copias.

Monitoreo y detección de intrusiones

Plesk incluye herramientas para detectar actividad sospechosa.

Habilitar Fail2ban

Fail2ban analiza los logs del servidor y bloquea automáticamente las IPs que realizan múltiples intentos fallidos de inicio de sesión.

Ve a Herramientas y ajustes > Fail2ban.
Activa los filtros predefinidos (por ejemplo, para SSH, Plesk, WordPress).
Configura el tiempo de bloqueo (por ejemplo, 10 minutos) y el número máximo de intentos (5).

Revisar los logs del servidor

Los logs te cuentan lo que pasa en tu servidor. Revisarlos periódicamente te ayuda a identificar ataques tempranos.

Ve a Herramientas y ajustes > Visor de registros.
Busca patrones como múltiples intentos de acceso desde una misma IP o errores 404 extraños.

Preguntas frecuentes (FAQ)

¿Cómo sé si mi servidor Plesk es seguro?

Puedes usar herramientas online como Qualys SSL Labs para comprobar tu certificado SSL, o revisar los informes de seguridad que ofrece Plesk en Herramientas y ajustes > Informe de seguridad.

¿Qué hago si olvido la contraseña de administrador?

Puedes restablecerla desde la línea de comandos del servidor con el comando plesk bin admin --set-password. Si no tienes acceso SSH, contacta con tu proveedor de hosting.

¿Es necesario usar un firewall si ya tengo Plesk?

Sí, el firewall de Plesk es básico pero efectivo. Sin embargo, para una protección más avanzada, considera un firewall de aplicaciones web (WAF) como ModSecurity, que Plesk también puede integrar.

¿Plesk protege contra ataques DDoS?

No directamente. Para mitigar ataques DDoS necesitas soluciones a nivel de red, como servicios CDN (Cloudflare, por ejemplo) o firewalls de hardware.

¿Qué pasa si uso Syspanel (HestiaCP) en lugar de Plesk?

Si usas Syspanel (HestiaCP), recuerda que el puerto de acceso es el 2106. La configuración de seguridad es similar: actualiza el panel, usa firewall, instala SSL y activa Fail2ban. Sin embargo, Plesk ofrece más herramientas integradas para seguridad, como el firewall gráfico y la gestión de certificados automatizada.

Conclusión

Configurar la seguridad de tu servidor con Plesk no tiene por qué ser complicado. Siguiendo estos pasos básicos —actualizar el software, configurar el firewall, instalar SSL, proteger el panel y hacer copias de seguridad— reduces drásticamente el riesgo de sufrir un ataque. Recuerda que la seguridad es un proceso continuo: revisa periódicamente tus configuraciones, mantén todo actualizado y educa a los usuarios que tengan acceso a tu servidor.

[INFO] Si en algún momento te sientes abrumado, recuerda que muchos proveedores de hosting ofrecen soporte para configurar la seguridad de Plesk. No dudes en pedir ayuda profesional si lo necesitas.

Proteger tu servidor es proteger tu negocio. ¡Empieza hoy mismo!