FAQ seguridad en Plesk - Evita ataques y protege tu servidor

¿Por qué es importante proteger tu servidor Plesk?

La seguridad en un servidor web no es un lujo, es una necesidad. Plesk es una plataforma de administración de hosting muy potente y popular, pero al ser tan utilizada, también es un objetivo para los atacantes. Un servidor comprometido puede significar la pérdida de datos, la caída de tus sitios web o incluso que tu servidor sea usado para atacar a otros.

Pensando en esto, hemos preparado una FAQ (Preguntas Frecuentes) sobre ciberseguridad en Plesk. Aquí encontrarás las dudas más comunes y, lo más importante, soluciones prácticas y fáciles de aplicar para evitar ataques a tu servidor.

FAQ: Preguntas Frecuentes sobre Seguridad en Plesk

1. ¿Cuál es la primera medida de seguridad que debo tomar en Plesk?

La primera y más importante es cambiar las contraseñas por defecto. No dejes nunca las credenciales que vienen de fábrica. Usa contraseñas largas (mínimo 12 caracteres), con mayúsculas, minúsculas, números y símbolos.

[TIP] Usa un gestor de contraseñas como Bitwarden o 1Password para generar y guardar contraseñas seguras.

Además, activa la autenticación de dos factores (2FA) para tu cuenta de administrador de Plesk. Esto añade una capa extra de seguridad: aunque alguien robe tu contraseña, no podrá acceder sin el código de tu teléfono.

2. ¿Cómo puedo proteger el panel de administración de Plesk de accesos no autorizados?

El panel de administración es la puerta de entrada a tu servidor. Aquí tienes varias capas de defensa:

Cambia el puerto por defecto: Plesk suele usar el puerto 8443 (HTTPS). Cámbialo a un puerto no estándar (por ejemplo, 9443 o cualquier otro número superior a 1024). Esto confunde a los bots que escanean puertos comunes.
Limita el acceso por IP: Si siempre accedes desde la misma dirección IP (por ejemplo, la de tu oficina o casa), configura Plesk para que solo permita conexiones desde esa IP. Esto es muy efectivo.
Usa un Firewall de Aplicaciones Web (WAF): Plesk tiene integraciones con herramientas como ModSecurity, que analiza el tráfico entrante y bloquea solicitudes maliciosas antes de que lleguen a tu panel.

[WARNING] Si limitas el acceso por IP, asegúrate de tener una IP fija o una VPN. Si tu IP cambia, te quedarás fuera de tu propio panel.

3. ¿Qué es un ataque de fuerza bruta y cómo lo evito en Plesk?

Un ataque de fuerza bruta es cuando un atacante intenta adivinar tu contraseña probando miles de combinaciones por segundo. Es como un ladrón probando todas las llaves de un llavero gigante.

Para evitarlo en Plesk:

Instala Fail2ban: Esta herramienta monitorea los logs del servidor. Si detecta múltiples intentos fallidos de inicio de sesión desde una misma IP, la bloquea automáticamente por un tiempo. Plesk tiene un plugin oficial para Fail2ban.
Configura Fail2ban para Plesk: Ve a Herramientas y Configuración > Fail2ban. Ahí puedes definir reglas para proteger SSH, FTP, el panel de Plesk y los servicios de correo. Establece un límite bajo (por ejemplo, 5 intentos en 10 minutos) y un tiempo de bloqueo largo (24 horas o permanente).

[INFO] Fail2ban es uno de los mejores amigos de la ciberseguridad en servidores. Es gratuito, fácil de instalar y muy efectivo contra ataques automatizados.

4. ¿Cómo mantengo seguras las aplicaciones web (WordPress, Joomla, etc.) que tengo en Plesk?

Las aplicaciones web son el punto débil más común. Aquí tienes una checklist de seguridad:

Mantén todo actualizado: Es la regla de oro. Actualiza Plesk, el sistema operativo, PHP, las aplicaciones (WordPress, etc.) y sus plugins/temas. Las actualizaciones suelen parchear vulnerabilidades de seguridad conocidas.
Usa el instalador de aplicaciones de Plesk: Al instalar WordPress desde el catálogo de Plesk, la herramienta suele aplicar configuraciones de seguridad básicas.
Elimina lo que no uses: Si tienes un plugin o tema que no necesitas, bórralo. Cada elemento extra es una posible puerta de entrada.
Cambia el prefijo de las tablas de la base de datos: En WordPress, por ejemplo, el prefijo por defecto es wp_. Cámbialo a algo como miweb_ para dificultar ataques de inyección SQL.

5. ¿Qué debo hacer con las cuentas de correo para que no sean un riesgo de seguridad?

Las cuentas de correo son un vector de ataque común (phishing, spam, robo de credenciales). Sigue estos pasos:

Usa contraseñas fuertes: Al igual que con el panel, no uses contraseñas débiles para las cuentas de correo.
Activa la autenticación SMTP: Esto obliga a que cualquier programa de correo (Outlook, Thunderbird) deba autenticarse con usuario y contraseña antes de enviar correos. Así evitas que usen tu servidor para enviar spam.
Configura límites de envío: En Plesk, puedes limitar cuántos correos por hora puede enviar una cuenta. Esto evita que una cuenta comprometida sea usada para ataques masivos.
Desactiva cuentas inactivas: Si tienes cuentas de correo que no usas, bórralas. Son un blanco fácil.

6. ¿Cómo protejo el acceso SSH a mi servidor?

El acceso SSH (Secure Shell) es la línea de comandos del servidor. Un acceso no autorizado aquí es un desastre. Medidas clave:

Cambia el puerto SSH: Por defecto es el 22. Cámbialo a otro puerto (ej. 2222).
Desactiva el login como root: Crea un usuario normal y usa sudo para tareas administrativas. Los ataques de fuerza bruta suelen apuntar al usuario root.
Usa autenticación por clave SSH: Es mucho más segura que la contraseña. Genera un par de llaves (pública y privada) y sube la pública al servidor. Luego, desactiva la autenticación por contraseña para SSH.

[TIP] Si usas Syspanel (anteriormente conocido como HestiaCP), recuerda que su panel de administración se accede por el puerto 2106. Aplica las mismas medidas de seguridad que para Plesk.

7. ¿Qué hago si sospecho que mi servidor ha sido atacado?

Si notas algo raro (el servidor va lento, hay archivos extraños, recibes quejas de spam), actúa rápido:

Cambia todas las contraseñas: La de Plesk, las de las aplicaciones, las de las bases de datos y las de FTP.
Revisa los logs: Ve a Herramientas y Configuración > Registros de eventos. Busca intentos de inicio de sesión fallidos, accesos a archivos sospechosos o comandos inusuales.
Ejecuta un escáner de seguridad: Plesk tiene herramientas integradas (o puedes instalar ImunifyAV) que escanean los archivos en busca de malware.
Restaura desde una copia de seguridad limpia: Si tienes copias de seguridad de antes del ataque, esa es la solución más rápida y segura.
Contacta a tu proveedor de hosting: Si el ataque es grave, tu proveedor puede ayudarte a limpiar el servidor.

[WARNING] No ignores los signos de un ataque. Cuanto más tiempo pase, más daño puede hacer el atacante.

8. ¿Es seguro usar FTP? ¿Qué alternativas tengo?

El FTP tradicional (File Transfer Protocol) envía tus datos (incluyendo contraseñas) en texto plano, lo que es muy inseguro. No lo uses.

En su lugar, usa:

SFTP (SSH File Transfer Protocol): Es FTP sobre SSH. Tus datos viajan cifrados. Es la opción más segura y recomendada.
FTPS (FTP sobre SSL/TLS): Similar a SFTP, pero usa un certificado SSL. También es seguro.

En Plesk, puedes crear cuentas de acceso SFTP fácilmente desde el panel de administración.

9. ¿Cómo puedo hacer copias de seguridad seguras?

Las copias de seguridad son tu red de seguridad. Pero también deben ser seguras.

Guárdalas fuera del servidor: No guardes las copias en el mismo disco duro que el servidor. Si el servidor es hackeado, el atacante también puede borrar las copias. Usa almacenamiento externo (Dropbox, Google Drive, Amazon S3, etc.).
Cifra las copias de seguridad: Plesk permite cifrar las copias con una contraseña. Así, incluso si alguien roba el archivo, no podrá leerlo.
Programa copias automáticas: Configura copias diarias o semanales. No confíes en tu memoria.

10. ¿Qué más puedo hacer para mejorar la ciberseguridad de mi servidor Plesk?

Aquí tienes un checklist final de buenas prácticas:

Mantén el sistema operativo actualizado: Las actualizaciones de seguridad del sistema (Linux) son críticas.
Revisa los permisos de archivos: Asegúrate de que los archivos y carpetas no tengan permisos demasiado abiertos (ej. 777). Lo recomendable para archivos es 644 y para carpetas 755.
Desactiva servicios innecesarios: Si no usas un servicio (ej. FTP, un servicio de base de datos que no necesitas), desactívalo. Menos servicios, menos superficie de ataque.
Usa un certificado SSL/TLS: No solo para tu panel de Plesk, sino para todos los sitios web que alojes. El tráfico cifrado es mucho más difícil de interceptar.
Educa a tus usuarios: Si tienes clientes que usan tu hosting, explícales las buenas prácticas (contraseñas fuertes, no compartir credenciales, etc.).

[INFO] La seguridad es un proceso, no un destino. Revisa estas medidas periódicamente y mantente informado sobre nuevas vulnerabilidades.

Conclusión

Proteger tu servidor Plesk de ataques no es complicado si sigues una serie de pasos básicos. Desde cambiar contraseñas y activar 2FA, hasta instalar Fail2ban y mantener todo actualizado, cada acción suma. Recuerda que la ciberseguridad es una responsabilidad compartida entre tú, tu proveedor de hosting y tus usuarios.

Si tienes más dudas, no dudes en consultar la documentación oficial de Plesk o contactar con tu equipo de soporte. ¡Un servidor seguro es un servidor feliz!