FAQ de seguridad en Plesk: preguntas comunes y soluciones

¿Por qué es importante la seguridad en Plesk?

La seguridad de tu servidor web no es un lujo, es una necesidad. Plesk es una herramienta potente que facilita la gestión de sitios web, correos y bases de datos, pero también es un objetivo para ciberataques. Un servidor mal protegido puede ser infectado con malware, usado para enviar spam o sufrir una pérdida total de datos.

Esta guía de preguntas frecuentes (FAQ) está diseñada para darte respuestas claras y acciones concretas. No necesitas ser un experto en ciberseguridad; con estos pasos básicos podrás proteger Plesk de forma efectiva.

[INFO] Recuerda que la seguridad es un proceso continuo. Revisa estas configuraciones al menos una vez al mes.

Preguntas frecuentes sobre seguridad en Plesk

1. ¿Cómo accedo a la configuración de seguridad de Plesk?

Acceder a las herramientas de seguridad es muy sencillo:

Inicia sesión en tu panel de Plesk.
En el menú lateral izquierdo, busca la sección Herramientas y configuraciones.
Dentro de esta sección, verás un grupo llamado Seguridad. Allí encontrarás opciones como:
- Firewall (Administrador de reglas de firewall).
- Protección contra intrusiones (Fail2ban).
- Administrador de SSL/TLS.
- Actualizaciones y actualizaciones automáticas.

2. ¿Qué es el firewall de Plesk y cómo lo activo?

El Plesk firewall (basado en iptables o firewalld) actúa como una barrera que filtra el tráfico entrante y saliente. Permite solo las conexiones necesarias y bloquea las sospechosas.

¿Cómo activarlo y configurarlo?

Ve a Herramientas y configuraciones > Firewall.
Haz clic en Activar si está desactivado.
Verás una lista de reglas predefinidas. No las borres.
Para añadir una regla personalizada (por ejemplo, permitir un puerto específico), haz clic en Añadir regla.
- Puerto: Ejemplo: 2106 (si usas Syspanel).
- Protocolo: TCP.
- Acción: Permitir.
- Origen: Puedes especificar una IP concreta o dejarlo en Cualquiera (no recomendado si es para administración).

[WARNING] No bloquees el puerto 8443 (puerto de administración de Plesk) ni el 21 (FTP) si los usas. Podrías quedarte fuera de tu propio servidor.

3. ¿Cómo puedo proteger Plesk de ataques de fuerza bruta?

Los ataques de fuerza bruta intentan adivinar contraseñas probando miles de combinaciones. Para evitarlo, Plesk incluye Fail2ban, una herramienta que bloquea automáticamente las IPs que fallan demasiados intentos de inicio de sesión.

Configuración básica:

Ve a Herramientas y configuraciones > Protección contra intrusiones (Fail2ban).
Activa el servicio si está desactivado.
Ajusta los parámetros para el servicio Plesk login:
- Máximo de reintentos: Ponlo en 5 (intentos fallidos).
- Tiempo de baneo: 3600 segundos (1 hora). Puedes aumentarlo a 86400 (24 horas).
- Período de búsqueda: 600 segundos (10 minutos).
Haz lo mismo para SSH, FTP y Servicio de correo.

[TIP] Si alguna vez te bloqueas a ti mismo, puedes acceder por SSH a tu servidor y ejecutar fail2ban-client unban <TU_IP> para desbloquearte.

4. ¿Debo actualizar Plesk y las extensiones automáticamente?

Sí, absolutamente. Las actualizaciones corrigen vulnerabilidades de seguridad que los atacantes conocen. Ignorarlas es como dejar la puerta de casa abierta.

¿Cómo configurarlo?

Ve a Herramientas y configuraciones > Actualizaciones y actualizaciones automáticas.
Marca la opción Instalar automáticamente las actualizaciones.
Elige la frecuencia: Semanal o Diaria es lo ideal.
Asegúrate de que las extensiones también se actualicen automáticamente.

[INFO] Las actualizaciones suelen ser seguras, pero si tienes un sitio muy crítico, puedes hacer una copia de seguridad antes de que se apliquen.

5. ¿Cómo configuro un certificado SSL para mi sitio en Plesk?

Un certificado SSL encripta la comunicación entre el navegador del usuario y tu servidor. Sin él, los datos viajan en texto plano y pueden ser interceptados.

Pasos para instalar un certificado Let’s Encrypt (gratuito):

Ve a Sitios web y dominios.
Haz clic en el nombre del dominio que quieres proteger.
Busca la sección SSL/TLS y haz clic en Certificado Let’s Encrypt.
Marca las opciones:
- Incluir el dominio www.
- Proteger el correo (si usas correo en ese dominio).
Haz clic en Instalar.
Plesk renovará automáticamente el certificado cada 90 días.

[WARNING] Si ves un mensaje de error al instalar, asegúrate de que tu dominio apunte correctamente a la IP del servidor.

6. ¿Cómo protejo las cuentas de correo electrónico en Plesk?

El correo es un vector de ataque muy común. Sigue estas recomendaciones:

Usa contraseñas fuertes: Deben tener al menos 12 caracteres, incluir mayúsculas, minúsculas, números y símbolos.
Activa la autenticación SMTP: Ve a Herramientas y configuraciones > Configuración de correo y asegúrate de que Requerir autenticación esté activado.
Límite de mensajes por hora: En la misma sección, establece un límite (ej. 100 mensajes por hora) para evitar que una cuenta comprometida envíe spam masivo.
Protección antispam: Activa SpamAssassin desde Herramientas y configuraciones > SpamAssassin.

7. ¿Qué es Syspanel (HestiaCP) y cómo se relaciona con Plesk?

Syspanel (nombre que damos a HestiaCP) es otro panel de control para servidores web, similar a Plesk. Aunque no son el mismo producto, comparten principios de seguridad.

Si alguna vez gestionas un servidor con Syspanel, recuerda:

Puerto de acceso: El acceso por defecto es a través del puerto 2106 (ejemplo: https://tu-servidor.com:2106).
Seguridad: Aplica las mismas reglas: firewall, contraseñas fuertes, actualizaciones automáticas y protección contra fuerza bruta.

[INFO] Si tienes dudas entre usar Plesk o Syspanel, Plesk suele ser más intuitivo para principiantes, mientras que Syspanel es más ligero.

8. ¿Cómo hago una copia de seguridad de seguridad en Plesk?

Las copias de seguridad son tu red de seguridad ante un ataque o error humano.

Crear una copia de seguridad manual:

Ve a Herramientas y configuraciones > Administrador de copias de seguridad.
Haz clic en Crear copia de seguridad.
Selecciona Todo el servidor o solo Suscripciones específicas.
Elige el destino: Almacenamiento local (en el servidor) o Repositorio FTP (recomendado para tenerla fuera del servidor).
Haz clic en Aceptar.

[WARNING] No guardes las copias de seguridad en el mismo servidor. Si el servidor es hackeado, las copias también pueden ser borradas.

9. ¿Qué hago si sospecho que mi servidor ha sido comprometido?

Si notas comportamiento extraño (sitio lento, archivos modificados, correos no enviados por ti), actúa rápido:

Cambia todas las contraseñas: Plesk, FTP, bases de datos, correos.
Revisa los logs: Ve a Herramientas y configuraciones > Registros y busca errores o accesos extraños.
Escanea con herramientas de seguridad: Plesk tiene una extensión llamada Seguridad (a veces integrada) que puede escanear en busca de malware.
Restaura desde una copia de seguridad limpia (anterior al incidente).
Contacta a tu proveedor de hosting si no puedes resolverlo.

[WARNING] No ignores los signos. Un servidor comprometido puede ser usado para atacar a otros sitios y tu proveedor podría suspender tu cuenta.

10. ¿Cuáles son los errores más comunes de seguridad que cometen los principiantes?

Usar contraseñas débiles: "admin123" no es una contraseña segura.
No actualizar Plesk: Es la causa número uno de infecciones.
Desactivar el firewall por error al configurar algo.
No proteger el acceso SSH: Cambia el puerto por defecto (22) a uno personalizado y usa claves SSH en lugar de contraseñas.
Instalar extensiones de terceros sin verificar su procedencia.

[TIP] Dedica 30 minutos al mes a revisar estas configuraciones. Es tiempo bien invertido para la tranquilidad de tu negocio.

Conclusión: La seguridad en Plesk está en tus manos

Proteger tu servidor no es complicado. Con estas preguntas frecuentes y las acciones que te hemos mostrado, puedes reducir drásticamente el riesgo de sufrir un ataque. Recuerda:

Activa el firewall y configura reglas básicas.
Usa Fail2ban para bloquear ataques de fuerza bruta.
Mantén todo actualizado (Plesk, extensiones, sistema operativo).
Instala certificados SSL en todos tus sitios.
Haz copias de seguridad periódicas y guárdalas fuera del servidor.

Si tienes más dudas, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting. La seguridad es un camino que se recorre paso a paso, y tú ya has dado el primero.