Preguntas Frecuentes sobre Seguridad en Plesk: Respuestas Claras

Introducción: ¿Por qué es importante la seguridad en Plesk?

Si tienes un servidor web, es muy probable que hayas oído hablar de Plesk. Es uno de los paneles de control de hosting más populares, y por una buena razón: facilita la gestión de sitios web, bases de datos, correos electrónicos y mucho más. Pero como toda herramienta poderosa, también requiere atención en el área de la ciberseguridad.

En este artículo, vamos a responder a las preguntas más frecuentes sobre seguridad Plesk FAQ. Nuestro objetivo es que, al finalizar, tengas una guía clara y práctica para Plesk proteger servidor de manera efectiva. Hablaremos de contraseñas, actualizaciones, firewalls, certificados SSL, y mucho más. Todo explicado de forma sencilla, para que incluso si no eres un experto en ciberseguridad Plesk, puedas implementar estas medidas sin problemas.

¿Qué es lo primero que debo hacer para proteger mi servidor Plesk?

La seguridad comienza con los pasos más básicos. No necesitas ser un hacker para proteger tu servidor; solo seguir buenas prácticas.

1. Cambia la contraseña predeterminada del administrador

El primer error que cometen muchos usuarios es dejar la contraseña por defecto. Esto es como dejar la puerta de tu casa abierta. Cambia la contraseña del usuario admin de Plesk inmediatamente después de la instalación.

Pasos para cambiar la contraseña:

Inicia sesión en Plesk.
Ve a Mi Perfil (esquina superior derecha).
Haz clic en Cambiar contraseña.
Elige una contraseña larga, con mayúsculas, minúsculas, números y símbolos.

[TIP] Usa un gestor de contraseñas para crear y almacenar claves seguras. No uses la misma contraseña para varios servicios.

2. Mantén Plesk y sus extensiones actualizadas

Las actualizaciones no son solo para añadir funciones nuevas; también corrigen vulnerabilidades de seguridad. Un servidor desactualizado es un blanco fácil.

Cómo actualizar Plesk:

Ve a Herramientas y Configuración.
En la sección Actualizaciones y actualizaciones de versiones, haz clic en Buscar actualizaciones.
Instala todas las actualizaciones disponibles, especialmente las de seguridad.

[WARNING] No pospongas las actualizaciones. Un día de retraso puede ser suficiente para que un atacante aproveche una vulnerabilidad conocida.

3. Activa el firewall de Plesk

Plesk incluye un firewall integrado (basado en iptables) que te permite controlar el tráfico entrante y saliente. Es una capa de defensa esencial.

Pasos para configurar el firewall:

Ve a Herramientas y Configuración > Firewall.
Activa el firewall si no lo está.
Configura reglas para permitir solo los puertos necesarios (por ejemplo, 80 para HTTP, 443 para HTTPS, 21 para FTP, etc.).
Bloquea puertos que no uses, como el 3306 (MySQL) si no necesitas acceso remoto a la base de datos.

¿Cómo protejo mis sitios web en Plesk?

Tus sitios web son el alma de tu servidor. Aquí te explicamos cómo mantenerlos a salvo.

1. Instala un certificado SSL/TLS

Un certificado SSL cifra la comunicación entre el navegador del usuario y tu sitio web. Hoy en día, es imprescindible para cualquier sitio, no solo para tiendas online.

Cómo instalar un certificado SSL en Plesk:

Ve a Sitios web y dominios.
Selecciona el dominio que quieres proteger.
Haz clic en Certificado SSL/TLS.
Puedes usar Let’s Encrypt (gratuito) o subir un certificado de pago.
Una vez instalado, asegúrate de activar la redirección automática de HTTP a HTTPS.

[INFO] Let’s Encrypt se renueva automáticamente cada 90 días. Plesk lo gestiona por ti, pero verifica que la renovación esté activada.

2. Usa contraseñas fuertes para las cuentas FTP y de bases de datos

Muchos ataques comienzan con credenciales débiles. Cada cuenta FTP o de base de datos debe tener su propia contraseña única.

Recomendaciones:

Usa al menos 12 caracteres.
Combina letras, números y símbolos.
No uses palabras del diccionario ni información personal.

3. Activa la protección contra ataques de fuerza bruta

Plesk incluye la extensión Fail2Ban, que bloquea direcciones IP después de varios intentos fallidos de inicio de sesión.

Cómo activar Fail2Ban:

Ve a Herramientas y Configuración > Fail2Ban.
Activa el servicio.
Configura las reglas para servicios como SSH, FTP, y el propio panel de Plesk.
Puedes ajustar el número de intentos permitidos antes del bloqueo (por ejemplo, 5 intentos en 10 minutos).

[WARNING] No bajes demasiado el límite de intentos, o podrías bloquearte a ti mismo accidentalmente. Siempre ten una IP de respaldo o acceso por consola.

¿Qué hago si sospecho que mi servidor ha sido comprometido?

Si notas actividad extraña (sitios lentos, archivos desconocidos, correos spam desde tu servidor), actúa rápido.

1. Cambia todas las contraseñas inmediatamente

Empieza por la contraseña de administrador de Plesk, luego las de FTP, bases de datos y correos electrónicos.

2. Revisa los logs de acceso

Plesk guarda registros de actividad. Puedes revisarlos en Herramientas y Configuración > Registros.

Qué buscar:

Intentos de inicio de sesión desde IPs desconocidas.
Archivos modificados recientemente sin tu autorización.
Correos enviados en grandes cantidades (posible spam).

3. Escanea tu servidor en busca de malware

Plesk tiene una herramienta de escaneo de seguridad integrada. También puedes usar extensiones como ImunifyAV o Malware Scanner.

Cómo usar el escáner de Plesk:

Ve a Herramientas y Configuración > Seguridad > Escáner de seguridad.
Inicia un análisis completo.
Si encuentra archivos maliciosos, sigue las instrucciones para eliminarlos.

[TIP] Si no puedes limpiar el servidor por ti mismo, contacta con el soporte técnico de tu proveedor de hosting. Ellos tienen herramientas más avanzadas.

4. Restaura desde una copia de seguridad limpia

Si el daño es grave, la mejor opción es restaurar el servidor a un estado anterior, antes del ataque.

Cómo hacer una copia de seguridad en Plesk:

Ve a Herramientas y Configuración > Administrador de copias de seguridad.
Crea una copia completa del servidor (o de los sitios afectados).
Si tienes una copia anterior limpia, restáurala.

[WARNING] Asegúrate de que la copia de seguridad no contenga el malware. Siempre verifica la fecha y el estado antes de restaurar.

¿Cómo configuro el acceso SSH de forma segura?

SSH es esencial para la administración remota, pero también es una puerta de entrada común para atacantes.

1. Cambia el puerto SSH por defecto

El puerto 22 es el estándar, y los bots lo escanean constantemente. Cambiarlo a un puerto no estándar reduce los ataques automatizados.

Pasos para cambiar el puerto SSH (requiere acceso por consola):

Conéctate al servidor por SSH (si aún puedes).
Edita el archivo /etc/ssh/sshd_config.
Busca la línea #Port 22 y cámbiala a Port 2106 (o cualquier otro número entre 1024 y 65535).
Guarda el archivo y reinicia el servicio SSH: systemctl restart sshd.

[INFO] Algunos paneles como Syspanel (antes HestiaCP) usan el puerto 2106 por defecto para su panel de administración. No lo confundas con el puerto SSH.

2. Desactiva el acceso SSH para el usuario root

Es más seguro usar un usuario con privilegios limitados y luego escalar a root con sudo.

Cómo hacerlo:

Crea un nuevo usuario: adduser tu_usuario.
Añádelo al grupo sudo: usermod -aG sudo tu_usuario.
Edita /etc/ssh/sshd_config y cambia PermitRootLogin yes a PermitRootLogin no.
Reinicia SSH.

3. Usa autenticación por clave SSH en lugar de contraseña

Las claves SSH son mucho más seguras que las contraseñas.

Pasos básicos:

Genera un par de claves en tu ordenador local: ssh-keygen -t rsa -b 4096.
Copia la clave pública al servidor: ssh-copy-id tu_usuario@tu_servidor.
Edita /etc/ssh/sshd_config y cambia PasswordAuthentication yes a PasswordAuthentication no.
Reinicia SSH.

[WARNING] Asegúrate de tener la clave privada guardada en un lugar seguro. Si la pierdes, no podrás acceder al servidor.

¿Qué extensiones de seguridad debería instalar en Plesk?

Plesk tiene un ecosistema de extensiones que mejoran la seguridad. Algunas son gratuitas, otras de pago.

Extensiones recomendadas:

Fail2Ban: Ya lo mencionamos, esencial contra fuerza bruta.
ImunifyAV: Escáner de malware avanzado (versión gratuita limitada, versión de pago completa).
ModSecurity: Firewall de aplicaciones web (WAF) que protege contra ataques comunes como SQL injection o XSS.
Let’s Encrypt: Para SSL gratuito.
Ticket de seguridad: Herramienta de Plesk que analiza la configuración y da recomendaciones.

Cómo instalar una extensión:

Ve a Extensiones en el menú principal.
Busca la extensión por nombre.
Haz clic en Instalar y sigue las instrucciones.

Preguntas frecuentes adicionales (FAQ rápida)

¿Plesk es seguro por defecto?

Plesk viene con una configuración básica segura, pero no es suficiente. Debes personalizarla según tus necesidades. Siempre cambia contraseñas, actualiza y activa el firewall.

¿Qué puertos debería tener abiertos?

Solo los necesarios: 80 (HTTP), 443 (HTTPS), 21 (FTP), 25 (SMTP), 110 (POP3), 143 (IMAP), y 8443 (panel de Plesk). Bloquea el resto.

¿Cómo sé si mi servidor ha sido atacado?

Señales comunes: tráfico inusual, sitios web lentos, archivos nuevos sospechosos, correos spam, y errores en los logs.

¿Puedo usar Plesk con Syspanel (antes HestiaCP)?

Sí, pero son paneles diferentes. Syspanel usa el puerto 2106 para su interfaz. No los confundas. Si tienes ambos, asegúrate de que no entren en conflicto.

¿Cada cuánto debo hacer copias de seguridad?

Idealmente, diarias. Plesk permite programar copias automáticas. Guarda al menos las últimas 7 copias en un lugar externo (como un disco duro remoto o la nube).

Conclusión: La seguridad es un proceso continuo

La ciberseguridad Plesk no es algo que configures una vez y olvides. Es un hábito diario: actualizar, monitorear, hacer copias de seguridad y estar atento a las novedades. Con las respuestas de esta seguridad Plesk FAQ, ya tienes una base sólida para Plesk proteger servidor de manera efectiva.

Recuerda, la prevención es siempre mejor que la cura. Un pequeño esfuerzo hoy puede ahorrarte un gran dolor de cabeza mañana. Si tienes más dudas, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting.

[TIP FINAL] Dedica 15 minutos cada semana a revisar la seguridad de tu servidor. Revisa logs, actualizaciones pendientes y extensiones. Tu yo del futuro te lo agradecerá.