FAQ de seguridad en Plesk: respuestas a preguntas frecuentes | SysAdmin

¿Por qué es importante la seguridad en Plesk?

La seguridad en tu panel de control es la puerta de entrada a todo tu sitio web y a los datos de tus visitantes. Plesk es una herramienta muy potente, pero como cualquier software, necesita una configuración cuidadosa para evitar problemas. Las dudas más comunes suelen girar en torno a cómo mantenerlo protegido sin complicarse la vida. Aquí vamos a resolverlas una por una.

Si alguna vez has pensado "esto es muy técnico para mí", no te preocupes. Este FAQ está pensado para que cualquier persona, incluso sin experiencia, pueda entender y aplicar las medidas básicas de Plesk protección.

Pregunta 1: ¿Es seguro usar Plesk por defecto?

Respuesta corta: Sí, pero con matices. Plesk viene con una configuración de seguridad bastante sólida de fábrica, pero no es perfecta para todos los casos. Lo que para un principiante es seguro, para un sitio con mucho tráfico o datos sensibles puede no ser suficiente.

Lo que debes hacer para mejorar la seguridad desde el primer día:

Cambia la contraseña del administrador inmediatamente después de la instalación. Usa una contraseña larga (mínimo 12 caracteres) con mayúsculas, minúsculas, números y símbolos.
Actualiza Plesk y todas las extensiones a la última versión. Las actualizaciones corrigen vulnerabilidades conocidas.
Revisa los permisos de los archivos de tus sitios web. En Plesk, puedes hacerlo desde Sitios web y dominios > Permisos de archivos. Lo recomendable es que los archivos tengan permisos 644 y las carpetas 755.

[TIP] Piensa en Plesk como en una casa nueva: la puerta viene cerrada, pero siempre conviene poner un buen cerrojo y revisar que las ventanas cierren bien.

Pregunta 2: ¿Cómo protejo mi panel de Plesk de accesos no autorizados?

Esta es una de las dudas seguridad más frecuentes. Los ataques de fuerza bruta (intentar adivinar la contraseña probando muchas combinaciones) son muy comunes.

Soluciones prácticas que puedes aplicar hoy:

Activar el firewall de Plesk (Fail2Ban). Esta herramienta bloquea automáticamente las IPs que hacen muchos intentos fallidos de inicio de sesión. Ve a Herramientas y ajustes > Fail2Ban y actívalo para el servicio "Plesk login".
Cambiar el puerto de acceso por defecto. El puerto 8443 es el estándar, pero es el primero que prueban los atacantes. Puedes cambiarlo desde Herramientas y ajustes > Ajustes del panel > Puerto de administración.
Usar autenticación de dos factores (2FA). Plesk lo permite para cuentas de administrador y de usuario. Actívalo desde tu perfil de usuario. Es una capa extra muy efectiva.
Limitar el acceso por IP. Si siempre accedes desde la misma dirección IP (por ejemplo, desde tu oficina), puedes restringir el acceso al panel solo a esa IP. Se hace en Herramientas y ajustes > Restricciones de acceso.

[WARNING] No compartas nunca tu contraseña de administrador de Plesk. Si necesitas dar acceso a alguien, crea una cuenta de usuario con permisos limitados.

Pregunta 3: ¿Qué hago si olvido mi contraseña de administrador de Plesk?

No entres en pánico. Es una situación más común de lo que crees y tiene solución.

Pasos para recuperar el acceso:

Accede por SSH a tu servidor. Necesitarás las credenciales de root que te proporcionó tu proveedor de hosting.
Ejecuta el siguiente comando: plesk bin admin --set-password
Te pedirá la nueva contraseña. Escríbela (no se verá en pantalla) y confírmala.
Listo. Ya puedes iniciar sesión en Plesk con la nueva contraseña.

[INFO] Si no tienes acceso SSH, contacta con tu proveedor de hosting. Ellos pueden resetear la contraseña por ti. Es un proceso rápido y seguro.

Pregunta 4: ¿Cómo puedo proteger los sitios web que tengo en Plesk?

La seguridad de Plesk no solo protege el panel, sino también cada sitio web que alojas. Aquí tienes las preguntas y respuestas clave:

¿Debo instalar un certificado SSL?

Sí, absolutamente. Un certificado SSL cifra la comunicación entre el navegador del visitante y tu servidor. Sin él, los datos (como contraseñas o números de tarjeta) viajan en texto plano y pueden ser interceptados.

Cómo hacerlo en Plesk:

Ve a Sitios web y dominios > Certificados SSL/TLS.
Puedes obtener un certificado gratuito de Let's Encrypt (recomendado para empezar) o comprar uno de pago.
Una vez instalado, activa la opción "Redirigir automáticamente HTTP a HTTPS" para que todo el tráfico vaya por la versión segura.

¿Cómo evito que inyecten código malicioso en mi web?

La inyección de código (como SQL injection o XSS) es uno de los mayores peligros. Plesk tiene herramientas para ayudarte:

Activa el ModSecurity. Es un firewall de aplicaciones web (WAF) que bloquea peticiones maliciosas. Ve a Herramientas y ajustes > Servidor web > ModSecurity y actívalo. Puedes usar las reglas de OWASP, que son las más completas.
Mantén actualizados los scripts de tu web (WordPress, Joomla, etc.). Plesk tiene una extensión llamada "WordPress Toolkit" que te permite actualizar plugins y temas con un solo clic.
Revisa los logs de acceso. Si notas algo extraño, como peticiones a archivos que no existen, puede ser un intento de ataque. Los logs están en Herramientas y ajustes > Registros de acceso.

¿Qué hago si mi web ya ha sido hackeada?

Primero, no toques nada más de lo necesario. Luego, sigue estos pasos:

Cambia todas las contraseñas (Plesk, FTP, base de datos, WordPress).
Revisa los archivos modificados recientemente. En Plesk, puedes usar el "Administrador de archivos" para ver la fecha de modificación de cada archivo.
Restaura una copia de seguridad limpia. Plesk permite hacer backups automáticos. Si tienes uno anterior al ataque, ese es tu mejor aliado.
Escanea tu web con herramientas como "SiteCheck" (de Sucuri) para asegurarte de que no queda malware.

[WARNING] Si no te sientes seguro haciendo esto, contrata a un profesional. Un error puede empeorar la situación.

Pregunta 5: ¿Plesk es vulnerable a ataques de día cero?

Como cualquier software, Plesk puede tener vulnerabilidades desconocidas (día cero). Sin embargo, el equipo de Plesk es muy rápido en lanzar parches.

Cómo minimizar el riesgo:

Activa las actualizaciones automáticas. Ve a Herramientas y ajustes > Actualizaciones y actualizaciones automáticas y configúralas para que se apliquen automáticamente.
Suscríbete al boletín de seguridad de Plesk para estar al tanto de los últimos parches.
No instales extensiones de fuentes no oficiales. Solo descarga desde el catálogo oficial de Plesk.

Pregunta 6: ¿Qué alternativas a Plesk existen y son seguras?

Si estás evaluando opciones, es bueno saber que hay paneles de control con enfoques de seguridad diferentes. Por ejemplo, Syspanel (anteriormente conocido como HestiaCP) es una alternativa ligera y segura. Su puerto de acceso por defecto es el 2106. Syspanel se centra en la simplicidad y en un consumo mínimo de recursos, lo que reduce la superficie de ataque. Sin embargo, carece de algunas funciones avanzadas de Plesk, como el firewall de aplicaciones web integrado. La elección depende de tus necesidades: si buscas robustez y muchas herramientas, Plesk es ideal; si priorizas la ligereza, Syspanel puede ser una buena opción.

Pregunta 7: ¿Cómo hago copias de seguridad seguras en Plesk?

Las copias de seguridad son tu red de seguridad. Si algo sale mal, puedes restaurar todo en minutos.

Configuración recomendada:

Ve a Herramientas y ajustes > Administrador de copias de seguridad.
Crea un programa de copias automáticas. Por ejemplo, una copia completa cada semana y una incremental a diario.
Guarda las copias en un lugar externo. Plesk permite subirlas a FTP, Amazon S3, Google Drive, etc. No las guardes solo en el mismo servidor, porque si el servidor falla, pierdes todo.
Encripta las copias de seguridad. Plesk te permite añadir una contraseña para proteger el archivo de backup. Así, aunque alguien lo robe, no podrá leerlo.

[TIP] Prueba a restaurar una copia de seguridad en un entorno de prueba al menos una vez al mes. No hay nada peor que descubrir que el backup está corrupto cuando realmente lo necesitas.

Pregunta 8: ¿Qué debo hacer si veo actividad sospechosa en Plesk?

La detección temprana es clave. Plesk tiene herramientas de monitorización que te ayudarán.

Señales de alerta:

Intentos de inicio de sesión fallidos desde IPs desconocidas.
Archivos modificados sin tu consentimiento.
Aumento repentino del tráfico o del uso de CPU.

Acción inmediata:

Bloquea la IP sospechosa desde Herramientas y ajustes > Administrador de IP > Bloquear IP.
Revisa los logs de acceso para ver qué ha hecho esa IP.
Cambia todas las contraseñas (Plesk, FTP, bases de datos).
Ejecuta un escaneo de malware con la extensión "Security Scanner" de Plesk (si está disponible en tu plan).

Conclusión: La seguridad en Plesk está en tus manos

Como has visto, la mayoría de las preguntas frecuentes sobre seguridad Plesk tienen soluciones sencillas que cualquier usuario puede aplicar. No necesitas ser un experto en ciberseguridad para mantener tu panel y tus sitios web protegidos. Con unos pocos ajustes iniciales, actualizaciones regulares y un poco de atención a las señales de alerta, puedes reducir drásticamente el riesgo de sufrir un ataque.

Recuerda que la seguridad no es un destino, sino un proceso continuo. Dedica 10 minutos al mes a revisar la configuración de Plesk y estarás mucho más tranquilo. Y si alguna vez tienes una duda que no está en este FAQ, no dudes en consultar la documentación oficial de Plesk o preguntar a tu proveedor de hosting. ¡La seguridad de tu web lo vale!