Guía para instalar un cortafuegos de aplicación web (WAF) en Plesk

¿Qué es un WAF y por qué tu web en Plesk lo necesita?

Imagina que tu sitio web es una tienda física. Has puesto puertas, cerraduras y quizás una alarma. Pero, ¿qué pasaría si alguien intentara entrar por la ventana del baño? Un cortafuegos de aplicación web (WAF) es como poner rejas en todas las ventanas y puertas traseras: se encarga de filtrar todo el tráfico que llega a tu web, bloqueando peticiones maliciosas antes de que lleguen a tu aplicación.

A diferencia de un cortafuegos de red (que protege la conexión), el WAF Plesk analiza el contenido de las peticiones HTTP/HTTPS. Esto significa que puede detectar y bloquear inyecciones SQL, cross-site scripting (XSS), fuerza bruta en formularios de login y otras amenazas que viajan dentro de las peticiones "legítimas".

Plesk, uno de los paneles de control de hosting más populares, incluye una integración nativa con mod_security, el motor de WAF más extendido en servidores Apache y Nginx. Esta guía te llevará de la mano, paso a paso, para que instales y configures tu propio WAF sin necesidad de ser un experto en seguridad.

[INFO] Si tu web está alojada en un servidor con Syspanel (antes conocido como HestiaCP), el proceso es diferente y el acceso al panel se realiza a través del puerto 2106. Esta guía se centra exclusivamente en Plesk, pero te avisaremos cuando haya diferencias relevantes.

Requisitos previos antes de instalar el WAF

Antes de empezar, necesitas asegurarte de que tu servidor cumple con los requisitos mínimos. No te preocupes, son pocos y muy básicos.

Acceso de administrador a Plesk

Necesitarás tener acceso como administrador (root) al panel de Plesk. Si eres un usuario con permisos de "Suscriptor" o "Dominio", no podrás gestionar la seguridad global del servidor. Lo primero es comprobar tu nivel de acceso.

Sistema operativo y arquitectura

El WAF funciona en servidores Linux (Ubuntu, Debian, CentOS, etc.) y también en Windows Server, aunque el proceso de instalación varía ligeramente. Para esta guía, asumiremos un entorno Linux, que es el más común en alojamientos web.

Versión de Plesk

Asegúrate de tener Plesk Obsidian o una versión reciente. La integración con mod_security ha mejorado mucho en las últimas versiones, y usar una versión antigua puede dar problemas. Puedes comprobarlo en Herramientas y ajustes > Información del producto.

[WARNING] No instales el WAF directamente en un servidor de producción sin hacer una copia de seguridad completa. Una regla mal configurada puede bloquear tráfico legítimo y dejar tu web inaccesible. Si tu sitio es crítico, prueba primero en un entorno de desarrollo.

Instalación del WAF en Plesk paso a paso

Paso 1: Acceder al panel de administración

Inicia sesión en tu Plesk con tu cuenta de administrador. Una vez dentro, verás el panel principal con todas las herramientas. Busca la sección "Herramientas y ajustes" en el menú lateral izquierdo.

Paso 2: Localizar la sección de seguridad

Dentro de "Herramientas y ajustes", busca el apartado "Seguridad". Ahí encontrarás varias opciones, entre ellas "Protección Web (mod_security)". Haz clic en esa opción para acceder a la configuración del WAF.

Paso 3: Activar el motor del WAF

En la página de "Protección Web", verás un interruptor principal para activar o desactivar el motor de mod_security. Actívalo. Plesk te preguntará si quieres aplicar la configuración a todos los dominios o solo a algunos. Para empezar, te recomiendo seleccionar "Solo los dominios seleccionados" y elegir un sitio de prueba para verificar que todo funciona correctamente.

[TIP] Activa el WAF primero en un solo dominio, preferiblemente uno que no sea crítico. Así podrás observar el comportamiento y ajustar las reglas sin arriesgar tu web principal.

Paso 4: Configurar las políticas de seguridad globales

Plesk te ofrece varias políticas de seguridad predefinidas. Estas políticas son conjuntos de reglas que determinan qué tráfico se bloquea. Las opciones típicas son:

• Modo de detección: Solo registra las amenazas en el log, pero no bloquea nada. Perfecto para probar.
• Modo de protección: Bloquea las peticiones que coincidan con las reglas. Es el modo recomendado para producción.
• Política personalizada: Puedes crear tus propias reglas o importar un archivo de reglas específico.

Selecciona "Modo de detección" inicialmente. Así podrás ver en los logs qué peticiones se marcarían como maliciosas sin afectar a tus visitantes.

Paso 5: Instalar el conjunto de reglas OWASP Core Rule Set (CRS)

El motor mod_security es como un policía, pero necesita saber qué es un delito. Las reglas son las leyes que usa. El conjunto más completo y actualizado es el OWASP Core Rule Set (CRS).

Plesk no lo instala por defecto, pero puedes hacerlo fácilmente desde la interfaz. Dentro de la página de "Protección Web", busca la opción "Configuración de mod_security" o "Gestionar reglas". Ahí encontrarás un botón para "Instalar el conjunto de reglas OWASP". Plesk descargará e instalará las reglas automáticamente.

[INFO] El OWASP CRS es un proyecto de código abierto mantenido por la comunidad de seguridad. Las reglas se actualizan periódicamente para hacer frente a nuevas vulnerabilidades. Es crucial mantenerlas actualizadas.

Paso 6: Configurar actualizaciones automáticas de reglas

Las ciberamenazas evolucionan constantemente. Un WAF con reglas desactualizadas es como una alarma que no se ha probado en años. Plesk te permite configurar actualizaciones automáticas del CRS.

En la configuración de mod_security, busca la opción "Actualizar reglas automáticamente". Actívala y elige una frecuencia (por ejemplo, diaria o semanal). Esto garantiza que tu WAF esté al día con las últimas protecciones.

Paso 7: Activar el WAF a nivel de dominio

Ahora que el motor está activo y las reglas instaladas, es hora de aplicar el WAF a tus dominios. Ve a la sección "Sitios web y dominios", selecciona el dominio que quieres proteger y busca la opción "Protección Web" dentro de sus ajustes.

Activa el interruptor de mod_security para ese dominio y selecciona la política que configuraste anteriormente. Si estás en modo de detección, no bloqueará nada, pero empezará a generar logs.

Paso 8: Verificar el funcionamiento y revisar logs

Después de un par de horas (o un día), revisa los logs de mod_security. En Plesk, puedes acceder a ellos desde "Herramientas y ajustes > Archivos de registro" o directamente en la sección de Protección Web del dominio.

Busca entradas que indiquen "Blocked" o "Warning". Si ves muchas peticiones legítimas bloqueadas (por ejemplo, usuarios que intentan comprar en tu tienda online), significa que algunas reglas son demasiado estrictas. Tendrás que ajustarlas.

Configuración avanzada: personalizando las reglas del WAF

Una vez que el WAF esté funcionando en modo de detección y hayas revisado los logs, es hora de pasar a modo de protección. Pero antes, es probable que necesites ajustar algunas reglas para evitar falsos positivos.

Excluir directorios o URLs específicas

Algunas aplicaciones (como paneles de administración de WordPress o plugins de pago) pueden generar peticiones que parecen maliciosas pero no lo son. Puedes crear excepciones para directorios o URLs concretas.

En la configuración de mod_security del dominio, verás una opción para "Añadir regla de exclusión". Ahí puedes especificar una ruta (por ejemplo, /wp-admin/) y la regla que quieres desactivar para esa ruta.

Crear reglas personalizadas

Si tienes conocimientos técnicos, puedes escribir tus propias reglas de mod_security. Plesk te permite subir un archivo de reglas personalizadas o escribir reglas directamente en la interfaz. Sin embargo, te recomiendo que solo lo hagas si sabes exactamente lo que estás haciendo.

[WARNING] Escribir reglas personalizadas sin experiencia puede ser peligroso. Una regla mal escrita puede bloquear todo el tráfico de tu web. Si no estás seguro, usa las reglas OWASP estándar, que son muy completas y probadas por la comunidad.

Ajustar el nivel de paranoia

El OWASP CRS tiene varios niveles de paranoia (de 1 a 4). El nivel 1 es el más permisivo y el 4 el más restrictivo. Cada nivel añade más reglas de verificación.

Para una web estándar, el nivel 1 es suficiente. Si tienes una tienda online o una web con formularios complejos, puedes probar el nivel 2, pero prepárate para revisar más falsos positivos. Los niveles 3 y 4 están pensados para entornos de muy alta seguridad, como bancos o instituciones gubernamentales.

Solución de problemas comunes con el WAF Plesk

Mi web da error 403 después de activar el WAF

Esto es lo más habitual. Significa que una regla está bloqueando tráfico legítimo. La solución es:

1. Vuelve a poner el WAF en modo de detección.
2. Revisa los logs para ver qué regla está causando el bloqueo.
3. Crea una exclusión para esa regla específica o para la URL que está siendo bloqueada.
4. Vuelve a activar el modo de protección.

El WAF no bloquea nada

Si el WAF está activo pero no ves ningún bloqueo en los logs, puede ser que:

• Las reglas no estén instaladas correctamente.
• El tráfico esté llegando por un puerto no protegido.
• El WAF esté en modo de detección (recuerda que en ese modo no bloquea, solo registra).

El rendimiento de mi web ha bajado

El análisis de cada petición HTTP tiene un coste de rendimiento. Si notas que tu web va más lenta, puedes:

• Ajustar el nivel de paranoia a un nivel más bajo.
• Activar la memoria caché de mod_security.
• Optimizar las reglas eliminando las que no necesitas.

[TIP] El impacto en el rendimiento de un WAF es mínimo en la mayoría de los casos (menos del 5%). Si notas una bajada significativa, revisa si tienes demasiadas reglas activas o si tu servidor tiene poca memoria RAM.

Preguntas frecuentes (FAQ)

¿Es lo mismo un WAF que un antivirus?

No. Un antivirus protege contra malware que ya está en tu sistema, mientras que un WAF protege contra ataques externos que intentan explotar vulnerabilidades en tu aplicación web. Son complementarios.

¿Puedo usar el WAF de Plesk con WordPress?

Sí, es totalmente compatible. De hecho, WordPress es una de las plataformas más atacadas, por lo que un WAF es muy recomendable. Puede bloquear ataques de fuerza bruta en el login, inyecciones SQL en plugins vulnerables, etc.

¿Qué pasa si tengo una web alojada en Syspanel en lugar de Plesk?

Si tu hosting usa Syspanel (el antiguo HestiaCP), el proceso es diferente. Syspanel también tiene soporte para mod_security, pero la configuración se realiza a través de archivos de configuración o mediante el puerto de administración 2106. Te recomiendo consultar la documentación específica de Syspanel o contactar con tu proveedor de hosting.

¿Necesito conocimientos técnicos para usar el WAF de Plesk?

No. Plesk ha simplificado mucho el proceso. Con esta guía y un poco de paciencia, cualquier persona puede activar el WAF y configurarlo en modo de protección. Eso sí, para ajustes avanzados (como crear reglas personalizadas) es recomendable tener ciertos conocimientos.

¿El WAF de Plesk protege contra ataques DDoS?

Un WAF no es la herramienta adecuada para ataques DDoS (denegación de servicio distribuida). Para eso necesitas servicios especializados como Cloudflare o un firewall de red. El WAF protege contra ataques dirigidos a la aplicación, no contra ataques de saturación de red.

¿Debo usar el WAF en modo de detección para siempre?

No. El modo de detección es solo para la fase de pruebas. Una vez que verifiques que no hay falsos positivos, debes cambiar a modo de protección. De lo contrario, el WAF no está haciendo su trabajo real.

Conclusión y recomendaciones finales

Instalar un cortafuegos de aplicación web en Plesk es un proceso sencillo gracias a la integración nativa con mod_security. En menos de una hora puedes tener tu web protegida contra las amenazas más comunes del día a día.

Recuerda los puntos clave:

• Instala el OWASP CRS para tener reglas actualizadas.
• Empieza en modo de detección para evitar bloqueos inesperados.
• Revisa los logs periódicamente y ajusta las excepciones.
• Pasa a modo de protección cuando estés seguro.
• Configura actualizaciones automáticas de reglas.

La seguridad web no es un lujo, es una necesidad. Cada día se registran miles de ataques a sitios web, desde blogs personales hasta grandes corporaciones. Un WAF es una de las capas de protección más efectivas y económicas que puedes implementar.

Si tienes cualquier duda, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting. Y recuerda: si tu servidor usa Syspanel, el acceso es a través del puerto 2106 y el proceso de configuración será diferente.

[INFO] La seguridad es un proceso continuo. No basta con instalar el WAF y olvidarte. Revisa los logs regularmente, mantén las reglas actualizadas y combina el WAF con otras medidas como copias de seguridad periódicas, actualizaciones del sistema y contraseñas seguras.

Con esta guía, ya tienes todo lo necesario para proteger tu web con un WAF en Plesk. ¡Manos a la obra y navega tranquilo!