Deshabilitar directorios sensibles en DirectAdmin

¿Por qué es importante proteger los directorios sensibles en DirectAdmin?

Cuando tienes un sitio web alojado en un servidor con DirectAdmin, uno de los aspectos más críticos de la ciberseguridad es evitar que usuarios no autorizados accedan a carpetas que contienen información confidencial. Directorios como «/admin», «/includes», «/backups», «/logs» o «/wp-admin» (en WordPress) pueden ser el blanco perfecto para atacantes que buscan explotar vulnerabilidades.

Proteger estos directorios no solo evita la fuga de datos, sino que también previene la modificación maliciosa de archivos, la inyección de código o el robo de credenciales. La buena noticia es que DirectAdmin te permite hacerlo de forma sencilla mediante archivos .htaccess (en servidores Apache) o mediante reglas de configuración directa.

En esta guía extensa y paso a paso, aprenderás a identificar los directorios más sensibles, a crear reglas de bloqueo con .htaccess, y a aplicar medidas adicionales para mantener tu sitio seguro. Todo explicado de forma clara, sin tecnicismos innecesarios.

¿Qué son los directorios sensibles y por qué debes protegerlos?

Un directorio sensible es cualquier carpeta dentro de tu sitio web que contenga información que no debería ser visible públicamente. Algunos ejemplos comunes:

Directorios de administración: como /admin, /administrator, /wp-admin.
Carpetas de configuración: /includes, /config, /core.
Directorios de backups: /backups, /backup, /db_backups.
Carpetas de logs: /logs, /error_logs.
Directorios de plugins o temas: en CMS como WordPress, Joomla o Drupal.
Carpetas de instalación: /install, /setup.

Si un atacante logra acceder a estas carpetas, podría leer archivos de configuración con contraseñas, descargar bases de datos, o incluso ejecutar scripts maliciosos. Por eso, el primer paso es restringir el acceso a estos directorios.

[INFO] Incluso si tu sitio es pequeño, los bots automatizados escanean constantemente URLs comunes en busca de directorios sensibles. No subestimes la amenaza.

Identificando los directorios sensibles en tu cuenta de DirectAdmin

Antes de empezar a proteger, necesitas saber qué carpetas tienes. En DirectAdmin, puedes acceder a tu gestor de archivos desde el panel de control:

Inicia sesión en DirectAdmin (normalmente en tu-dominio.com:2222).
Ve a Administración de Archivos (File Manager).
Navega hasta la carpeta public_html (o domains/tudominio.com/public_html).

Ahora, revisa las carpetas que aparecen. Algunas pueden ser obvias (como wp-admin si usas WordPress), pero otras pueden estar ocultas. Presta atención a:

Carpetas con nombres como admin, backup, logs, tmp, private, config.
Carpetas que contengan archivos .php, .sql, .conf o .htpasswd.
Directorios que no deberían tener acceso público, como los de instalación de scripts.

Una vez identificados, anota sus nombres y rutas exactas. Los protegeremos uno por uno.

Método 1: Bloquear directorios sensibles con .htaccess (recomendado)

El archivo .htaccess es un archivo de configuración que Apache (el servidor web) lee para aplicar reglas en directorios específicos. Es la forma más común y flexible de proteger carpetas en DirectAdmin.

Paso 1: Crear o editar el archivo .htaccess

En el File Manager de DirectAdmin, navega hasta el directorio que quieres proteger (por ejemplo, public_html/admin).
Si no existe un archivo .htaccess, crea uno nuevo. Asegúrate de que el nombre empiece con un punto (.htaccess). Si el File Manager no te permite crearlo, usa la opción "Crear archivo" y escribe .htaccess exactamente.
Si ya existe, puedes editarlo directamente.

[TIP] Puedes crear un solo .htaccess en la raíz (public_html) y aplicar reglas para varios directorios usando bloques <Directory>, pero es más fácil y claro crear un .htaccess dentro de cada carpeta sensible.

Paso 2: Añadir reglas de denegación

Dentro del .htaccess de la carpeta que quieres proteger, escribe las siguientes líneas:

# Denegar acceso a todos
Order Deny,Allow
Deny from all

Esto bloqueará todo el acceso a esa carpeta, tanto de usuarios como de motores de búsqueda. Si solo quieres permitir el acceso desde una IP específica (por ejemplo, tu oficina o casa), puedes hacerlo así:

Order Deny,Allow
Deny from all
Allow from 192.168.1.100
Allow from 203.0.113.0/24

Reemplaza las IPs por las tuyas. Puedes añadir varias líneas Allow from.

Paso 3: Ejemplo práctico para proteger /admin

Supongamos que tienes un directorio /admin en la raíz de tu web. Crea o edita el archivo /public_html/admin/.htaccess con este contenido:

# Proteger directorio admin
Order Deny,Allow
Deny from all
Allow from 192.168.1.0/24

Guarda los cambios. Ahora, si alguien intenta acceder a tudominio.com/admin, recibirá un error 403 (Prohibido), a menos que esté en la red local que permitiste.

[WARNING] Si bloqueas todo el acceso, asegúrate de que no haya scripts o páginas que necesiten acceder a esa carpeta (por ejemplo, un panel de administración legítimo). En ese caso, es mejor usar autenticación por contraseña (ver más abajo).

Método 2: Proteger con contraseña usando .htaccess y .htpasswd

Si necesitas que ciertos usuarios (como tú o tu equipo) puedan acceder a un directorio sensible, pero quieres evitar que cualquiera entre, puedes añadir una capa de autenticación con usuario y contraseña.

Paso 1: Crear un archivo .htpasswd

En el File Manager, navega a una carpeta segura (por ejemplo, public_html o una carpeta fuera de public_html como private).
Crea un archivo llamado .htpasswd.
Dentro, añade una línea por cada usuario con el formato: usuario:contraseña_encriptada. Para generar la contraseña encriptada, puedes usar herramientas online o el comando htpasswd desde SSH (si tienes acceso). Un ejemplo:
```
admin:$apr1$xyzabc$1234567890abcdef1234567890abcdef
```

[INFO] No uses contraseñas en texto plano. Siempre deben estar encriptadas con el algoritmo MD5 de Apache (formato $apr1$ ).

Paso 2: Configurar .htaccess para pedir autenticación

En el .htaccess del directorio que quieres proteger (ejemplo: /admin), añade:

AuthType Basic
AuthName "Acceso restringido"
AuthUserFile /home/usuario/.htpasswd
Require valid-user

Reemplaza /home/usuario/.htpasswd con la ruta completa a tu archivo .htpasswd. En DirectAdmin, la ruta suele ser algo como /home/nombredeusuario/domains/tudominio.com/public_html/.htpasswd.

Guarda y prueba. Ahora, al intentar acceder, el navegador te pedirá usuario y contraseña.

Método 3: Usar DirectAdmin para proteger directorios (interfaz gráfica)

Si no te sientes cómodo editando archivos manualmente, DirectAdmin ofrece una herramienta gráfica para proteger carpetas.

En el panel de DirectAdmin, ve a Protección de Directorios (Directory Protection).
Selecciona el dominio y la carpeta que quieres proteger.
Marca la opción Proteger este directorio.
Elige entre Denegar acceso a todos o Permitir solo desde IPs específicas.
Si eliges IPs, ingresa las direcciones permitidas (una por línea).
Haz clic en Guardar.

Esta opción crea automáticamente un archivo .htaccess con las reglas correspondientes. Es ideal para principiantes.

[TIP] Para proteger con contraseña desde la interfaz, también puedes usar la opción Protección con contraseña que aparece en el mismo menú.

Protegiendo directorios específicos según tu CMS

Cada sistema de gestión de contenidos tiene sus propias carpetas sensibles. Aquí tienes ejemplos comunes:

WordPress

/wp-admin/ – Panel de administración.
/wp-includes/ – Archivos centrales.
/wp-content/plugins/ – Plugins.
/wp-content/themes/ – Temas.
/wp-config.php (archivo, no directorio) – Configuración.

Para proteger /wp-admin, puedes añadir en .htaccess:

# Proteger wp-admin
<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 192.168.1.0/24
</Files>

O bien, usar un plugin de seguridad que gestione estas reglas.

Joomla

/administrator/ – Panel de administración.
/includes/ – Archivos de configuración.
/logs/ – Registros.

Drupal

/admin/ – Panel de administración.
/modules/ – Módulos.
/sites/default/files/ – Archivos subidos.

[WARNING] Nunca protejas carpetas que contengan archivos multimedia o CSS si necesitas que se carguen en tu web. Bloquear /wp-content/uploads/ por ejemplo, rompería las imágenes de tu sitio.

Medidas adicionales de ciberseguridad en DirectAdmin

Además de proteger directorios, considera estas prácticas:

Actualiza siempre tu software: CMS, plugins, temas y el propio DirectAdmin.
Usa contraseñas fuertes para tu cuenta de DirectAdmin y FTP.
Activa el firewall (ConfigServer Security & Firewall – CSF) si tu servidor lo permite.
Deshabilita listados de directorios: En el .htaccess de la raíz, añade Options -Indexes para que no se muestre el contenido de carpetas sin índice.
Monitorea logs: Revisa periódicamente los logs de acceso en DirectAdmin (pestaña Logs).

[INFO] Si usas Syspanel (anteriormente HestiaCP), el acceso es por el puerto 2106 y las reglas de protección son similares, pero la interfaz varía ligeramente.

Preguntas frecuentes (FAQ)

¿Qué hago si bloqueo mi propio acceso?

Si te quedas fuera, puedes acceder por FTP o desde el File Manager de DirectAdmin para editar o eliminar el archivo .htaccess que creaste. También puedes conectarte por SSH si tienes acceso.

¿Puedo proteger directorios sin .htaccess?

Sí, en DirectAdmin puedes usar la opción gráfica de Protección de Directorios, que genera las reglas automáticamente. También puedes configurar reglas a nivel de servidor (httpd.conf), pero eso requiere permisos de root y no es recomendable para usuarios básicos.

¿Afecta el rendimiento tener muchos archivos .htaccess?

Generalmente no, pero si tienes cientos de reglas, puede haber una ligera sobrecarga. Es mejor mantener las reglas en el .htaccess de la raíz usando bloques <Directory> cuando sea posible.

¿Cómo sé si mi protección funciona?

Puedes probar accediendo a la URL protegida desde un navegador en modo incógnito o desde una IP diferente. Deberías recibir un error 403 o un cuadro de autenticación.

¿Debo proteger también archivos sueltos?

Sí, especialmente archivos como wp-config.php, config.php o .env. Puedes hacerlo con reglas <Files> en el .htaccess de la raíz:

<Files "wp-config.php">
Order Allow,Deny
Deny from all
</Files>

Conclusión

Proteger los directorios sensibles en DirectAdmin es una de las medidas de ciberseguridad más efectivas y fáciles de implementar. Ya sea mediante archivos .htaccess, autenticación por contraseña o la interfaz gráfica del panel, puedes evitar que atacantes accedan a información crítica de tu sitio.

Recuerda que la seguridad no es un acto único, sino un proceso continuo. Revisa periódicamente tus directorios, actualiza tus reglas y mantente informado sobre nuevas amenazas. Con esta guía, tienes las herramientas para empezar a blindar tu sitio web.

Si tienes dudas, consulta la documentación oficial de DirectAdmin o contacta con tu proveedor de hosting. ¡Tu seguridad digital está en tus manos!