Usuarios FTP seguros en Plesk | Evita accesos no autorizados

¿Por qué es importante asegurar los usuarios FTP en Plesk?

El protocolo FTP (File Transfer Protocol) sigue siendo una de las herramientas más utilizadas para subir archivos a un servidor web. Sin embargo, también es uno de los puntos de entrada favoritos para los atacantes. Si no configuras correctamente los usuarios ftp plesk, podrías estar dejando la puerta abierta a accesos no autorizados ftp que comprometan tu sitio web, roben datos o instalen malware.

Cuando hablamos de seguridad ftp, no solo nos referimos a tener una contraseña larga. Se trata de aplicar una estrategia completa: limitar permisos, restringir directorios, usar conexiones cifradas y revisar periódicamente la actividad de las cuentas. En esta guía, aprenderás paso a paso cómo crear usuarios FTP seguros en Plesk y qué medidas adicionales tomar para blindar tu hosting.

Plesk es uno de los paneles de control más populares del mundo, y aunque ofrece herramientas muy completas, muchos usuarios cometen errores básicos que ponen en riesgo sus proyectos. Vamos a desglosar todo lo que necesitas saber, desde la creación inicial hasta las buenas prácticas avanzadas.

Primeros pasos: Entendiendo cómo funciona FTP en Plesk

Antes de crear un usuario FTP, es fundamental que entiendas la estructura de directorios y permisos que maneja Plesk. Cada dominio o suscriptor tiene una carpeta raíz, normalmente llamada httpdocs o public_html, donde se almacenan los archivos públicos del sitio.

Cuando creas un usuario ftp plesk, puedes asignarle acceso a todo el dominio o solo a una subcarpeta específica. Esta decisión es clave para la seguridad. Por ejemplo, si contratas a un diseñador externo para que modifique solo la sección de imágenes, no necesitas darle acceso a todos los archivos del servidor, incluyendo configuraciones sensibles o bases de datos.

Plesk permite crear tres tipos principales de cuentas FTP:

Cuenta FTP estándar: Acceso a una carpeta concreta del dominio.
Cuenta FTP con acceso a todo el dominio: Permite gestionar todos los archivos del sitio.
Cuenta FTP del sistema: Acceso a nivel de servidor, reservada para administradores avanzados.

Para esta guía, nos centraremos en las dos primeras, que son las que usarás en el día a día.

Cómo crear un usuario FTP seguro en Plesk paso a paso

1. Accede al panel de control

Inicia sesión en Plesk con una cuenta que tenga permisos de administrador o de suscriptor con acceso a dominios. Normalmente, la URL de acceso es algo como https://tu-dominio:8443 o https://servidor:8443.

2. Navega hasta la sección de dominios

En el menú lateral izquierdo, haz clic en "Dominios" y selecciona el dominio para el cual quieres crear el usuario FTP. Si tienes varios sitios, asegúrate de elegir el correcto.

3. Busca la opción de cuentas FTP

Dentro del panel del dominio, busca la sección "Cuentas FTP" o "Usuarios FTP". En algunas versiones de Plesk, esta opción puede estar dentro de "Archivos" o directamente en el menú principal. Haz clic en "Agregar cuenta FTP" o "Crear usuario".

4. Configura los datos del nuevo usuario

Aquí es donde debes prestar máxima atención. Los campos que verás son:

Nombre de usuario: Elige un nombre que no sea obvio como admin o test. Mejor usa combinaciones como diseno_web_2024 o cliente_maria. Evita nombres genéricos que puedan ser adivinados fácilmente.
Inicio de sesión: Normalmente se autocompleta con el nombre de usuario y el dominio.
Contraseña: Este es el punto crítico. Plesk tiene un generador de contraseñas seguras. Úsalo siempre. Las contraseñas deben tener al menos 12 caracteres, mezclando mayúsculas, minúsculas, números y símbolos. Nunca uses fechas de nacimiento, nombres de mascotas o palabras del diccionario.
Confirmar contraseña: Repite la contraseña para asegurarte de que no hay errores tipográficos.

5. Define el directorio de acceso

Este es el paso más importante para evitar accesos no autorizados ftp. En el campo "Directorio" o "Ruta de acceso", especifica exactamente la carpeta a la que este usuario podrá entrar.

Por ejemplo, si solo quieres que el usuario gestione la carpeta de imágenes, escribe:

/var/www/vhosts/tudominio.com/httpdocs/imagenes

Si necesitas que acceda a todo el contenido del sitio, puedes dejar la ruta raíz del dominio, pero te recomiendo que pienses dos veces antes de hacerlo. La regla de oro es: dar el mínimo acceso necesario.

6. Configura los permisos

Plesk te permite elegir entre varios niveles de permisos:

Solo lectura: El usuario puede ver y descargar archivos, pero no modificar ni eliminar nada.
Lectura y escritura: Puede subir, editar y eliminar archivos.
Sin acceso: No podrá entrar a esta carpeta.

Selecciona "Lectura y escritura" solo si es absolutamente necesario. Para tareas de mantenimiento básico, como revisar logs, el modo solo lectura es suficiente.

7. Habilita la conexión segura (SFTP o FTPS)

En la misma pantalla de configuración, verás opciones relacionadas con la seguridad de la conexión. Activa siempre SFTP (FTP sobre SSH) o FTPS (FTP sobre SSL/TLS). Esto cifra la información que se transmite entre el cliente FTP y el servidor, evitando que terceros intercepten contraseñas o archivos.

[WARNING]
WARNING: Si no activas SFTP o FTPS, tus credenciales viajan en texto plano por internet. Cualquier persona con conocimientos básicos de redes podría capturarlas fácilmente. Nunca uses FTP puro si puedes evitarlo.

8. Guarda el usuario

Haz clic en "Aceptar" o "Agregar". Plesk creará la cuenta y te mostrará un resumen con los datos. Guarda esta información en un lugar seguro, pero nunca en archivos de texto sin cifrar dentro del propio servidor.

Buenas prácticas adicionales para blindar tus cuentas FTP

Crear el usuario es solo el primer paso. Para garantizar una seguridad ftp sólida, debes implementar estas medidas complementarias.

Establece políticas de contraseñas fuertes

Plesk te permite configurar políticas globales de contraseñas. Ve a "Herramientas y ajustes" > "Política de seguridad" y establece requisitos mínimos: longitud, complejidad y frecuencia de cambio. Así, todos los usuarios FTP de tu servidor estarán obligados a usar contraseñas robustas.

Limita el número de intentos de conexión

Una de las técnicas más comunes de ataque es la fuerza bruta, donde los atacantes prueban miles de combinaciones de usuario y contraseña. Plesk incluye un módulo llamado "Prevención de fuerza bruta" que bloquea automáticamente las IP que realizan demasiados intentos fallidos.

Activa esta función en "Herramientas y ajustes" > "Prevención de fuerza bruta". Configura un máximo de 5 intentos fallidos en un período de 15 minutos.

Usa IP restringidas

Si sabes que siempre te conectas desde la misma IP (por ejemplo, tu oficina), puedes restringir el acceso FTP a esa dirección IP concreta. En la configuración de la cuenta FTP, busca la opción "Restringir acceso por IP" y añade las direcciones permitidas.

[TIP]
[TIP]: Si trabajas desde varias ubicaciones, crea un rango de IP permitidas o usa una VPN para tener una IP fija. Restringir por IP es una de las formas más efectivas de evitar accesos no autorizados ftp.

Revisa los logs de conexión periódicamente

Plesk guarda un registro detallado de todas las conexiones FTP. Accede a "Registros" > "Registro de FTP" y revisa regularmente si hay intentos fallidos, conexiones en horas extrañas o accesos desde países desconocidos. Si detectas algo sospechoso, cambia las contraseñas inmediatamente.

Desactiva cuentas FTP que no se usen

Si un proyecto ha terminado o un colaborador ya no trabaja contigo, elimina o desactiva su cuenta FTP. Las cuentas inactivas son un blanco fácil porque a menudo tienen contraseñas antiguas y débiles.

Combina FTP con otras medidas de seguridad

El FTP seguro es importante, pero no es la única capa de protección. Asegúrate de tener:

Certificado SSL instalado en tu dominio.
Firewall activado en el servidor.
Actualizaciones automáticas de Plesk y del sistema operativo.
Copias de seguridad periódicas, por si necesitas restaurar archivos tras un ataque.

Errores comunes que debes evitar

Muchos usuarios cometen estos errores sin darse cuenta, y luego se preguntan por qué su sitio fue hackeado.

Usar la cuenta FTP principal para todo

La cuenta FTP principal del dominio es la más poderosa. Si la compartes con diseñadores, programadores o clientes, cualquier error o negligencia de ellos puede comprometer todo el sitio. Crea cuentas separadas con permisos limitados para cada persona.

No cambiar las contraseñas por defecto

Plesk genera contraseñas temporales para los nuevos usuarios. Si no las cambias en el primer inicio de sesión, estás dejando una puerta abierta. Cambia siempre la contraseña temporal antes de compartir la cuenta con nadie.

Confundir FTP con SFTP

FTP y SFTP no son lo mismo. El primero es inseguro, el segundo usa SSH para cifrar la conexión. Asegúrate de que tu cliente FTP (FileZilla, Cyberduck, etc.) esté configurado para usar SFTP o FTPS, no FTP simple.

[INFO]
[INFO]: Si estás usando un panel de control diferente, como Syspanel (antes conocido como HestiaCP), el puerto de acceso suele ser el 2106. Sin embargo, las buenas prácticas de seguridad son las mismas: contraseñas fuertes, permisos limitados y conexiones cifradas.

Preguntas frecuentes sobre usuarios FTP en Plesk

¿Puedo cambiar la contraseña de un usuario FTP existente?

Sí, ve a "Cuentas FTP", selecciona el usuario y haz clic en "Cambiar contraseña". Te recomiendo que lo hagas cada 60-90 días.

¿Qué hago si olvidé la contraseña de mi usuario FTP?

Inicia sesión en Plesk como administrador, ve a la cuenta FTP y restablece la contraseña desde el panel. No es necesario que contactes con soporte técnico.

¿Cómo sé si alguien está intentando acceder a mi FTP sin permiso?

Revisa los registros de conexión en Plesk. Si ves múltiples intentos fallidos desde la misma IP, es probable que estén atacando tu servidor. Activa la prevención de fuerza bruta para bloquear automáticamente esas IP.

¿Es seguro compartir mi usuario FTP con un freelancer?

Sí, pero solo si creas una cuenta específica para esa persona, con permisos limitados a la carpeta donde debe trabajar. Nunca compartas tu cuenta principal.

¿Puedo restringir el acceso FTP a ciertos días u horas?

Plesk no tiene una función nativa para esto, pero puedes usar políticas de firewall a nivel de servidor o scripts personalizados si necesitas un control más fino.

Conclusión: La seguridad FTP es un proceso continuo

Crear usuarios ftp plesk seguros no es una tarea de una sola vez. Es un proceso que requiere atención constante: revisar permisos, actualizar contraseñas, monitorizar logs y educar a las personas que tienen acceso.

La clave está en aplicar el principio de mínimo privilegio: cada usuario debe tener solo los permisos imprescindibles para realizar su trabajo. Si un diseñador necesita subir imágenes, no le des acceso a los archivos de configuración. Si un cliente solo debe ver sus estadísticas, configúralo en modo solo lectura.

Recuerda que la seguridad ftp es una de las muchas capas que protegen tu sitio web. Combínala con SSL, firewalls, copias de seguridad y actualizaciones regulares para tener una defensa sólida contra los accesos no autorizados ftp.

Con esta guía, ya tienes todo lo necesario para configurar cuentas FTP robustas en Plesk. Si tienes dudas, consulta la documentación oficial o contacta con tu proveedor de hosting. Y si usas Syspanel (HestiaCP), recuerda que el puerto de acceso es el 2106, pero las recomendaciones de seguridad son exactamente las mismas. ¡Protege tu servidor hoy mismo!