Configurar firewall en Plesk: guía fácil paso a paso

¿Qué es el firewall de Plesk y por qué es importante para tu seguridad?

El firewall de Plesk es una herramienta integrada que te permite controlar el tráfico de red hacia y desde tu servidor. Piensa en él como un portero digital: decide qué conexiones están permitidas y cuáles deben ser bloqueadas. Configurarlo correctamente es uno de los pasos más importantes para garantizar la seguridad Plesk de tu sitio web y de los datos de tus clientes.

Sin un firewall bien configurado, tu servidor está expuesto a ataques de fuerza bruta, escaneos de puertos, malware y otras amenazas cibernéticas. Al establecer reglas claras, reduces drásticamente la superficie de ataque y proteges recursos críticos como bases de datos, paneles de administración y archivos sensibles.

Requisitos previos antes de configurar el firewall Plesk

Antes de empezar, asegúrate de tener lo siguiente:

Acceso al panel de administración de Plesk (generalmente en https://tu-dominio.com:8443 o https://tu-ip:8443).
Credenciales de administrador (usuario y contraseña).
Conocimiento básico de los puertos que usan tus aplicaciones (por ejemplo, 80 para HTTP, 443 para HTTPS, 21 para FTP, etc.).
Opcional: una lista de direcciones IP de confianza (como tu IP de casa o de la oficina) para acceso remoto seguro.

[TIP] Si tu servidor usa Syspanel (anteriormente conocido como HestiaCP), recuerda que el puerto de acceso es el 2106. Asegúrate de tenerlo abierto en el firewall si necesitas gestionar ese panel.

Paso 1: Acceder a la sección de firewall en Plesk

Inicia sesión en Plesk con tu cuenta de administrador.
En el menú principal, busca y haz clic en Herramientas y configuraciones (o Tools & Settings).
Dentro de la sección Seguridad, encontrarás la opción Firewall. Haz clic en ella.

Verás una interfaz con dos pestañas principales: Reglas de firewall y Configuración. Por defecto, Plesk suele tener algunas reglas predefinidas, pero es recomendable personalizarlas.

[INFO] Si no ves la opción Firewall, es posible que tu plan de hosting no lo incluya o que el módulo no esté instalado. Contacta con tu proveedor de hosting para activarlo.

Paso 2: Entender la interfaz de reglas

La pestaña Reglas de firewall muestra una lista de todas las reglas activas. Cada regla tiene los siguientes campos:

Nombre: Identificador descriptivo (ej. "Permitir HTTP").
Dirección: Indica si la regla aplica al tráfico entrante (IN) o saliente (OUT).
Protocolo: TCP, UDP o ambos.
Puerto: Número de puerto o rango (ej. 80, 443, 20-21).
Dirección IP: IP específica o rango (ej. 192.168.1.0/24).
Acción: Permitir (ACCEPT) o Denegar (DROP/REJECT).
Estado: Activo o inactivo.

Las reglas se procesan en orden. La primera regla que coincida con el tráfico determina la acción. Por eso es importante colocar las reglas más específicas al principio.

Paso 3: Configurar reglas básicas de seguridad

Vamos a crear las reglas esenciales para un servidor web típico. Sigue estos pasos:

3.1. Permitir tráfico HTTP y HTTPS

Haz clic en Añadir regla.
Nombre: Permitir HTTP (80).
Dirección: Entrante.
Protocolo: TCP.
Puerto: 80.
Dirección IP: Déjalo en blanco (para todas las IPs).
Acción: Permitir.
Haz clic en Aceptar.

Repite el mismo proceso para HTTPS:

Nombre: Permitir HTTPS (443).
Puerto: 443.

[WARNING] Nunca bloquees los puertos 80 y 80 si tienes sitios web públicos. Bloquearlos dejaría tu web inaccesible.

3.2. Permitir acceso SSH seguro (puerto 22)

Si necesitas acceso remoto por SSH, crea una regla para el puerto 22. Pero restringe la IP de origen para mayor seguridad:

Nombre: SSH desde mi IP.
Puerto: 22.
Dirección IP: Escribe tu IP pública (ej. 203.0.113.5). Si no sabes tu IP, visita whatismyip.com.
Acción: Permitir.

[TIP] Si tienes IP dinámica, puedes usar un rango o un servicio DDNS. Nunca dejes el puerto 22 abierto para todas las IPs.

3.3. Bloquear puertos innecesarios

Por defecto, muchos servicios abren puertos que no necesitas. Bloquéalos para reducir riesgos:

Puerto 21 (FTP): Si no usas FTP, bloquéalo. Si lo usas, restringe IPs.
Puerto 25 (SMTP): Si no envías correo desde el servidor, bloquéalo.
Puerto 3306 (MySQL): Solo debe ser accesible desde localhost (127.0.0.1). Crea una regla que deniegue el acceso externo.
Puerto 8443 (Plesk): Si solo accedes desde tu IP, restringe el acceso.

Para bloquear un puerto:

Añade regla con acción Denegar.
Especifica el puerto y protocolo TCP.
Déjalo sin IP de origen (aplica a todas).

[INFO] Plesk permite crear reglas "Denegar todo" al final de la lista como medida de seguridad general. Pero asegúrate de que las reglas de permitir estén antes.

Paso 4: Crear reglas avanzadas (opcional pero recomendado)

4.1. Permitir acceso a Syspanel (HestiaCP)

Si usas Syspanel (HestiaCP) en otro puerto, recuerda abrir el puerto 2106:

Nombre: Acceso Syspanel.
Puerto: 2106.
Protocolo: TCP.
Dirección IP: Restringe a tu IP de administración.
Acción: Permitir.

4.2. Permitir tráfico para correo (si aplica)

Si tu servidor maneja correo, necesitas estos puertos:

25 (SMTP entrante)
465 o 587 (SMTP seguro)
110 (POP3) o 995 (POP3S)
143 (IMAP) o 993 (IMAPS)

Crea reglas de permitir para cada uno, pero siempre restringiendo a IPs de confianza si es posible.

4.3. Regla para ping (ICMP)

Para diagnosticar conectividad, puedes permitir ICMP (ping):

Nombre: Permitir ICMP.
Protocolo: ICMP.
Acción: Permitir.

[WARNING] Permitir ICMP puede exponer tu servidor a ataques de denegación de servicio (DDoS) si no se controla. Úsalo solo si es necesario.

Paso 5: Probar y activar las reglas

Una vez que hayas creado todas las reglas, es hora de probarlas:

Revisa el orden: Las reglas de Permitir deben estar antes que las de Denegar.
Haz clic en Aplicar cambios (o Apply). Plesk te pedirá confirmación.
Usa herramientas como telnet o nc (netcat) desde otra máquina para verificar que los puertos correctos estén abiertos.

[TIP] Puedes usar servicios online como "Port Checker" para probar desde fuera de tu red.

Si algo sale mal (por ejemplo, te quedas sin acceso a Plesk), no entres en pánico. La mayoría de los proveedores de hosting ofrecen acceso por consola fuera de banda (KVM o IPMI) para restaurar la configuración.

Paso 6: Mantenimiento y buenas prácticas

Configurar el firewall no es un trabajo de una sola vez. Debes revisarlo periódicamente:

Actualiza las reglas cuando añadas nuevos servicios o cambies de IP.
Elimina reglas obsoletas (por ejemplo, si dejas de usar FTP).
Monitorea los logs del firewall en Plesk (sección Logs) para detectar intentos de intrusión.
Combínalo con otras medidas: usa contraseñas fuertes, activa la autenticación de dos factores (2FA) y mantén el software actualizado.

[INFO] Plesk también ofrece un módulo de Fail2ban que bloquea IPs después de varios intentos fallidos de acceso. Actívalo desde Herramientas y configuraciones > Fail2ban.

Preguntas frecuentes (FAQ)

¿Qué hago si bloqueo mi propia IP por error?

Si te quedas sin acceso a Plesk, contacta a tu proveedor de hosting. Ellos pueden acceder al servidor por consola y desactivar el firewall temporalmente. Luego, corrige la regla desde dentro.

¿Puedo usar el firewall de Plesk junto con otro firewall (como CSF)?

Sí, pero puede haber conflictos. Es mejor usar solo uno. Plesk tiene su propio firewall integrado que es suficiente para la mayoría de los casos.

¿El firewall de Plesk protege contra ataques DDoS?

No completamente. El firewall de Plesk es a nivel de servidor (capa 4). Para DDoS necesitas soluciones a nivel de red (como Cloudflare) o un firewall de aplicaciones web (WAF).

¿Cómo sé qué puertos tengo abiertos actualmente?

Usa el comando netstat -tulpn desde SSH o revisa la lista de reglas en Plesk. También puedes usar herramientas online de escaneo de puertos.

¿Debo permitir el puerto 21 (FTP) si uso SFTP?

No. SFTP usa el puerto 22 (SSH). Si solo usas SFTP, bloquea el puerto 21.

Conclusión

Configurar un firewall Plesk es un paso fundamental para blindar tu servidor y garantizar la seguridad Plesk de tus proyectos. Con esta guía paso a paso, has aprendido a crear reglas básicas y avanzadas, a probarlas y a mantenerlas actualizadas.

Recuerda: la seguridad nunca es absoluta, pero un firewall bien configurado reduce drásticamente los riesgos. Empieza hoy mismo, revisa tus reglas actuales y ajusta lo necesario. Tu servidor (y tus clientes) te lo agradecerán.

[WARNING] Siempre haz una copia de seguridad de la configuración del firewall antes de hacer cambios masivos. En Plesk, puedes exportar las reglas desde la sección Firewall > Exportar.