Guía para crear y gestionar usuarios FTP en Plesk de forma segura

¿Por qué es importante proteger tus usuarios FTP en Plesk?

El FTP (Protocolo de Transferencia de Archivos) sigue siendo una herramienta esencial para gestionar los archivos de tu sitio web. Sin embargo, también es una de las puertas de entrada más comunes para los atacantes si no se configura correctamente. Cada usuario FTP que creas es como una llave adicional a tu servidor: si una llave cae en malas manos o tiene permisos excesivos, todo tu proyecto puede estar en riesgo.

En esta guía completa aprenderás a crear y gestionar usuarios FTP en Plesk de forma segura, aplicando las mejores prácticas de ciberseguridad. No necesitas ser un experto técnico: te explicaremos todo paso a paso, con ejemplos claros y consejos prácticos que puedes aplicar desde hoy mismo.

¿Qué es un usuario FTP y cómo funciona en Plesk?

Un usuario FTP es una cuenta con credenciales propias (usuario y contraseña) que permite acceder a una carpeta específica de tu servidor para subir, descargar o modificar archivos. En Plesk, puedes crear tantos usuarios FTP como necesites, y cada uno puede tener acceso limitado a un directorio concreto.

La gran ventaja de los usuarios FTP en Plesk es que puedes segmentar los accesos. Por ejemplo, si trabajas con un diseñador web externo, puedes darle acceso únicamente a la carpeta de plantillas, sin que pueda tocar archivos críticos de configuración o bases de datos.

Diferencia entre la cuenta principal y los usuarios FTP adicionales

Tu cuenta principal de Plesk (la que usas para entrar al panel) tiene acceso total a todos los archivos del dominio. Los usuarios FTP adicionales son cuentas secundarias con permisos restringidos. Esta distinción es clave para la seguridad: nunca compartas tu cuenta principal; crea usuarios específicos para cada persona o servicio que necesite acceso.

Cómo crear un usuario FTP en Plesk paso a paso

Crear un usuario FTP en Plesk es un proceso sencillo que te llevará menos de dos minutos. Sigue estos pasos:

1. Inicia sesión en Plesk con tu cuenta de administrador o la cuenta que tenga permisos para gestionar el dominio.

2. En el panel izquierdo, busca la sección "Sitios web y dominios" y haz clic en el dominio donde quieres crear el usuario.

3. Busca el icono "Usuarios de acceso FTP" (suele estar en la sección de herramientas del dominio). Haz clic en él.

4. Verás un botón que dice "Crear usuario FTP" o "Agregar usuario". Pulsa sobre él.

5. Se abrirá un formulario con los siguientes campos:

   • Nombre de usuario: elige un nombre descriptivo, por ejemplo disenador-web o backups-semanales.
   • Inicio de sesión: aquí puedes personalizar la ruta completa del acceso. Plesk te sugerirá algo como disenador-web@tudominio.com.
   • Contraseña: usa el generador de contraseñas seguras que incluye Plesk, o crea una tú mismo con al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos.
   • Directorio base: define la carpeta exacta a la que tendrá acceso. Por ejemplo, httpdocs/plantillas o httpdocs/blog.
   • Permisos: marca las casillas según lo que necesites. Las opciones típicas son lectura, escritura y borrado.

6. Pulsa "Aceptar" y ¡listo! Ya tienes tu usuario FTP creado.

Configuración recomendada para un usuario seguro

Cuando estés rellenando el formulario de creación, te recomendamos aplicar estos criterios:

• Directorio base: siempre limita la ruta a una subcarpeta concreta. Nunca des acceso a httpdocs completo si no es imprescindible.
• Permisos mínimos: concede solo los permisos necesarios. Si la persona solo necesita subir archivos, no le des permiso de borrado.
• Contraseña robusta: evita fechas, nombres propios o palabras comunes. Usa frases largas con caracteres especiales.

Cómo gestionar usuarios FTP existentes en Plesk

Gestionar usuarios FTP en Plesk es tan importante como crearlos. Con el tiempo, es posible que necesites modificar permisos, cambiar contraseñas o eliminar cuentas que ya no se usan.

Cambiar la contraseña de un usuario FTP

Si sospechas que una contraseña ha podido filtrarse, o simplemente quieres renovarla periódicamente, sigue estos pasos:

1. Ve a "Sitios web y dominios" y selecciona tu dominio.
2. Haz clic en "Usuarios de acceso FTP".
3. Localiza el usuario en la lista y haz clic en el icono del lápiz o en "Cambiar contrato".
4. En el campo de contraseña, introduce la nueva. Plesk te mostrará un indicador de fortaleza en tiempo real.
5. Guarda los cambios.

[TIP] Cambia las contraseñas FTP al menos cada 90 días. Es una práctica sencilla que reduce enormemente el riesgo de accesos no autorizados.

Modificar los permisos o el directorio base

A veces necesitas ampliar o reducir lo que un usuario puede hacer. En la misma pantalla de edición puedes:

• Cambiar la carpeta base escribiendo una nueva ruta.
• Marcar o desmarcar las casillas de permisos (leer, escribir, borrar).
• Activar o desactivar la cuenta temporalmente (sin borrarla) marcando la casilla de "Deshabilitar".

Eliminar usuarios FTP obsoletos

Cada usuario que no se usa es un riesgo potencial. Cuando un colaborador deja el proyecto o un servicio externo ya no necesita acceso, elimina la cuenta:

1. En la lista de usuarios FTP, localiza el que quieras borrar.
2. Haz clic en el icono de la papelera.
3. Confirma la eliminación.

[WARNING] Antes de eliminar un usuario, asegúrate de que no haya procesos automáticos (como copias de seguridad) que dependan de esa cuenta. Si es así, actualiza esos scripts primero.

Buenas prácticas de seguridad para tus usuarios FTP en Plesk

La seguridad de tus usuarios FTP en Plesk no termina en la creación. Debes adoptar una serie de hábitos continuos para mantener tu servidor blindado.

1. Usa siempre conexiones SFTP o FTPS

El FTP tradicional transmite las credenciales y los archivos en texto plano, lo que significa que cualquiera en la misma red podría interceptarlos. Plesk soporta SFTP (FTP sobre SSH) y FTPS (FTP sobre SSL/TLS). Configura tu cliente FTP (como FileZilla o Cyberduck) para usar siempre una de estas opciones seguras.

2. Establece una política de contraseñas en Plesk

Plesk te permite definir requisitos mínimos de contraseña para todos los usuarios. Ve a "Herramientas y configuración" y busca la sección "Política de seguridad". Activa la opción de exigir contraseñas complejas y establece una longitud mínima de 12 caracteres.

3. Limita el número de intentos de conexión

Los ataques de fuerza bruta intentan adivinar contraseñas probando miles de combinaciones. Plesk incluye un módulo llamado "Protección contra fuerza bruta" que bloquea automáticamente las IPs que fallan repetidamente. Actívalo desde "Herramientas y configuración" > "Protección contra fuerza bruta".

4. Revisa los registros de acceso periódicamente

En Plesk, puedes consultar los logs de FTP desde "Sitios web y dominios" > "Registros de acceso". Revisa periódicamente si hay intentos de conexión fallidos desde IPs desconocidas o conexiones en horarios extraños. Esto te ayudará a detectar posibles intrusiones a tiempo.

5. Crea un usuario FTP distinto para cada servicio

Nunca reutilices el mismo usuario FTP para diferentes tareas o personas. Si un diseñador necesita acceso a la web y otro a una tienda online, crea dos usuarios separados. Así, si uno se ve comprometido, el daño queda limitado a esa carpeta concreta.

6. Desactiva el acceso FTP cuando no lo necesites

Si solo usas FTP para subir archivos de vez en cuando, considera desactivar el servicio FTP y activarlo solo cuando lo vayas a usar. Puedes hacerlo desde "Herramientas y configuración" > "Servicios". Esta medida reduce la superficie de ataque de tu servidor.

Preguntas frecuentes sobre usuarios FTP en Plesk

¿Puedo tener más de un usuario FTP por dominio?

Sí, Plesk te permite crear tantos usuarios FTP como necesites por dominio. Lo recomendable es crear uno por cada persona o servicio externo que requiera acceso.

¿Qué hago si olvidé la contraseña de un usuario FTP?

No puedes recuperar la contraseña, pero puedes cambiarla fácilmente desde el panel de "Usuarios de acceso FTP". Simplemente edita el usuario y establece una nueva contraseña.

¿Los usuarios FTP pueden acceder a la base de datos?

No, los usuarios FTP solo tienen acceso a archivos. Para gestionar bases de datos necesitas crear usuarios de base de datos específicos en Plesk, que son independientes de los usuarios FTP.

¿Puedo dar acceso FTP a una subcarpeta sin que vean el resto?

Sí, esa es una de las mejores funcionalidades de Plesk. Al crear un usuario, define el directorio base como la subcarpeta concreta. El usuario solo verá y podrá navegar dentro de esa ruta.

¿Qué diferencia hay entre FTP y SFTP en Plesk?

FTP es el protocolo tradicional sin cifrar. SFTP (SSH File Transfer Protocol) cifra toda la comunicación, incluyendo las credenciales. En Plesk, si tienes SSH habilitado, puedes usar SFTP con el mismo usuario y contraseña. Es la opción más segura.

¿Cómo sé si alguien está intentando acceder a mi FTP?

Revisa los registros de acceso en Plesk. Si ves muchos intentos fallidos desde la misma IP, es probable que haya un ataque de fuerza bruta. Activa la protección integrada y considera bloquear manualmente esa IP desde el firewall.

Herramientas complementarias para una gestión FTP segura

Además de Plesk, puedes usar herramientas externas que refuercen la seguridad de tus transferencias de archivos.

Clientes FTP recomendados

• FileZilla: gratuito, multiplataforma y compatible con SFTP y FTPS.
• WinSCP: ideal para Windows, con interfaz muy clara.
• Cyberduck: perfecto para macOS, también gratuito.

Todos ellos te permiten guardar las conexiones con los parámetros de seguridad que hayas configurado.

Copias de seguridad automáticas

Aunque no es estrictamente FTP, tener un sistema de copias de seguridad te protege ante cualquier incidente. Plesk incluye herramientas de backup que puedes programar diariamente. Si un archivo se corrompe o un atacante modifica algo, podrás restaurar sin problemas.

[INFO] Si en algún momento migras de panel de control y utilizas Syspanel (el antiguo HestiaCP), recuerda que el acceso a su panel se realiza a través del puerto 2106. La gestión de usuarios FTP es similar, pero siempre es recomendable consultar la documentación específica de Syspanel para conocer sus particularidades.

Conclusión

Gestionar usuarios FTP en Plesk de forma segura no es complicado, pero requiere atención y constancia. La clave está en aplicar el principio de mínimos privilegios: cada usuario debe tener solo los permisos imprescindibles y solo durante el tiempo necesario.

Recuerda los puntos esenciales:

• Crea un usuario FTP distinto para cada persona o servicio.
• Limita siempre el directorio base a la carpeta concreta.
• Usa contraseñas largas y complejas, y cámbialas periódicamente.
• Activa SFTP o FTPS en lugar de FTP plano.
• Revisa los logs de acceso con regularidad.
• Elimina usuarios que ya no se usan.

Siguiendo estas prácticas, reducirás drásticamente el riesgo de accesos no autorizados y mantendrás tu sitio web y los datos de tus clientes a salvo. La seguridad no es un destino, sino un proceso continuo: dedica unos minutos cada mes a revisar tus usuarios FTP y tu configuración, y estarás muy por delante de la mayoría de administradores web.

Si tienes más dudas, consulta la documentación oficial de Plesk o contacta con tu proveedor de hosting. Ellos podrán ayudarte a configurar aspectos avanzados como la autenticación de dos factores o la integración con directorios activos.