Cambiar API Keys en PrestaShop | Seguridad de la Tienda

¿Por qué es importante cambiar las claves de API de PrestaShop?

Cuando gestionas una tienda online con PrestaShop, una de las tareas de mantenimiento que más se descuida es la rotación de las PrestaShop API keys. Estas claves son como las llaves de tu trastienda digital: permiten que aplicaciones externas, servicios de envío, pasarelas de pago o incluso tu propio equipo de desarrollo accedan a datos sensibles de tu catálogo, pedidos y clientes.

Si esas claves caen en manos equivocadas, un atacante podría leer información confidencial, modificar precios o incluso borrar productos. Por eso, cambiar claves API de forma periódica es una de las medidas de seguridad PrestaShop más efectivas y sencillas de implementar.

En esta guía, te explicaré paso a paso cómo hacerlo, incluso si no tienes experiencia técnica. Además, te daré consejos prácticos para proteger tienda online y evitar sustos innecesarios.

¿Qué son las API Keys en PrestaShop?

Antes de entrar en materia, vamos a entender qué son exactamente. Una API Key es un código alfanumérico único que PrestaShop genera para autenticar solicitudes entre tu tienda y servicios externos.

Imagina que tu tienda es un edificio con varias puertas. Las PrestaShop API keys son las tarjetas de acceso que abren esas puertas. Cada tarjeta puede tener permisos específicos: unas solo abren la puerta de lectura de pedidos, otras pueden abrir la de escritura de productos, etc.

PrestaShop viene con una API web activada por defecto, y muchas veces los usuarios ni siquiera saben que existe. Si no la usas, lo más seguro es desactivarla o, si la usas, asegurarte de que las claves se cambian regularmente.

Antes de empezar: prepara tu tienda

Cambiar las claves API no es complicado, pero requiere cierta precaución para no dejar tu tienda incomunicada con servicios externos.

Haz una copia de seguridad

Este paso es crucial. Antes de tocar cualquier ajuste de seguridad PrestaShop, realiza una copia de seguridad completa de tu base de datos y archivos. Puedes hacerlo desde el panel de control de tu hosting o usando módulos de copia de seguridad.

[WARNING] No omitas este paso. Si algo sale mal durante el cambio de claves, podrías perder conexión con pasarelas de pago o módulos de envío, y necesitarás la copia para restaurar la configuración anterior.

Identifica qué servicios usan las API actuales

Haz una lista mental o escrita de los servicios que se conectan a tu tienda:

Módulos de envío (Correos, MRW, DHL).
Pasarelas de pago (PayPal, Stripe, Redsys).
Herramientas de sincronización de inventario.
Aplicaciones móviles de gestión.
Integraciones con ERP o CRM.

Cada uno de estos servicios tiene un lugar donde guarda la API Key. Cuando cambies las claves en PrestaShop, deberás actualizarlas también en esos servicios externos. Si no lo haces, dejarán de funcionar.

Cómo cambiar las claves de API en PrestaShop (paso a paso)

Vamos a lo importante. Sigue estos pasos con calma y en el orden indicado.

Paso 1: Accede al panel de administración

Entra en tu administración de PrestaShop con tu usuario y contraseña. Normalmente se accede desde www.tutienda.com/admin.

Paso 2: Ve a la configuración de la API

En el menú lateral, busca la sección Parámetros avanzados y haz clic en Webservice (también puede aparecer como "Servicio web" o "API").

Aquí verás una lista de las claves que existen actualmente. Cada entrada muestra:

Clave API: el código actual.
Descripción: para qué se usa.
Estado: activa o inactiva.
Permisos: qué recursos puede leer o modificar.

Paso 3: Genera una nueva clave

Haz clic en el botón Añadir nueva clave API.

Se abrirá un formulario con varios campos:

Clave API: puedes generar una automáticamente o escribir una manual. Te recomiendo usar el botón de generación automática para que sea robusta.
Descripción: escribe algo claro como "Integración envíos MRW" o "Sincronización ERP".
Estado: actívala.
Permisos: marca solo los recursos que esa aplicación necesita. Por ejemplo, si es para leer pedidos, solo marca Pedidos con permiso de lectura. Si necesitas modificar stock, marca Stock con lectura y escritura.

[TIP] Menos permisos es más seguridad. Una clave con acceso total a todo es un gran riesgo si se filtra. Configura solo lo imprescindible.

Paso 4: Guarda la nueva clave

Pulsa Guardar. La nueva clave aparecerá en la lista. Este es el momento de copiarla y guardarla en un lugar seguro.

[WARNING] PrestaShop solo muestra la clave completa una vez. Si la pierdes, tendrás que generar otra. Guárdala en un gestor de contraseñas.

Paso 5: Actualiza los servicios externos

Ahora ve a cada servicio externo que usaba la clave anterior y reemplázala por la nueva. Este proceso varía según el servicio, pero normalmente está en sus ajustes de configuración o integración.

Paso 6: Desactiva o elimina la clave antigua

Una vez que hayas actualizado todos los servicios externos y comprobado que funcionan, vuelve a PrestaShop y desactiva la clave antigua. Puedes simplemente cambiar su estado a "No" o eliminarla directamente.

[INFO] Eliminar la clave antigua es más seguro que desactivarla, porque así no queda ningún rastro que pueda ser reutilizado.

Paso 7: Comprueba que todo funciona

Realiza una prueba real: crea un pedido de prueba, sincroniza inventario o lo que sea que haga tu integración. Asegúrate de que todo sigue funcionando con normalidad.

Buenas prácticas para proteger tu tienda online con API Keys

Cambiar las claves es importante, pero hay más cosas que puedes hacer para reforzar la seguridad PrestaShop.

Rota las claves periódicamente

No esperes a que haya un incidente. Establece una rutina de rotación cada 3 o 6 meses. Así reduces la ventana de exposición si una clave se filtra sin que te des cuenta.

Usa claves diferentes para cada servicio

Es tentador usar una sola clave para todo. No lo hagas. Si una se filtra, todas tus integraciones estarían comprometidas. Con claves separadas, solo tendrás que cambiar la afectada.

Limita los permisos al mínimo necesario

Ya lo mencioné antes, pero es tan importante que lo repito: una clave que puede leer y escribir en todos los recursos es una bomba de relojería. Configura permisos granulares.

Vigila los logs de acceso

PrestaShop guarda un registro de las llamadas a la API. Revisa periódicamente si hay solicitudes sospechosas, como accesos a horas raras o peticiones de recursos que no deberían usarse.

Mantén PrestaShop actualizado

Las actualizaciones de PrestaShop no solo traen nuevas funciones, también corrigen vulnerabilidades de seguridad. Mantén tu versión al día, así como los módulos y el tema.

Protege el archivo de configuración

El archivo config/settings.inc.php contiene información sensible. Asegúrate de que no sea accesible desde el navegador. Puedes configurar reglas en el servidor para bloquear su acceso.

Qué hacer si crees que tus claves se han filtrado

Si sospechas que una de tus PrestaShop API keys ha sido comprometida, actúa rápido.

Cambia la clave inmediatamente siguiendo los pasos anteriores.
Revoca la clave antigua de forma definitiva.
Revisa los logs de la API para ver qué datos se han podido consultar o modificar.
Cambia también las contraseñas del panel de administración y de la base de datos, por si acaso.
Notifica a los servicios externos afectados para que estén al tanto.

[WARNING] Si la filtración es grave, considera contactar con un especialista en seguridad informática. A veces la solución casera no es suficiente.

Preguntas frecuentes sobre las claves API de PrestaShop

¿Cada cuánto tiempo debo cambiar las claves?

No hay una regla universal, pero lo recomendable es cada 3 a 6 meses, o inmediatamente después de que un empleado con acceso deje la empresa o un servicio externo se cancele.

¿Puedo tener varias claves activas a la vez?

Sí, PrestaShop permite tener varias claves activas. De hecho, es buena práctica tener una por integración.

¿Qué pasa si un servicio externo deja de funcionar tras cambiar la clave?

Revisa que hayas copiado bien la nueva clave y que la hayas pegado en el servicio correcto. A veces hay espacios en blanco o caracteres que se copian mal. También verifica que los permisos de la nueva clave incluyen los recursos que el servicio necesita.

¿Cómo sé qué permisos necesita cada servicio?

La documentación del módulo o servicio externo suele indicarlo. Si no, prueba con permisos de solo lectura primero y ve ampliando si ves errores de permisos.

¿La API de PrestaShop consume muchos recursos?

Si no tienes integraciones activas, la API no debería consumir recursos relevantes. Pero si no la usas, lo mejor es desactivarla por completo.

¿Hay alguna manera de saber si alguien está usando mis claves sin permiso?

Sí, revisa los logs de acceso a la API en el panel de administración. Verás la fecha, hora y dirección IP de cada solicitud. Si ves IPs desconocidas o patrones raros, investiga.

Conclusión: la seguridad es un hábito, no un evento

Cambiar las PrestaShop API keys es un proceso sencillo que no te llevará más de 10 minutos, pero que puede ahorrarte un disgusto enorme. La seguridad PrestaShop no es un destino, sino una práctica continua.

Establece un recordatorio en tu calendario para revisar tus claves cada trimestre. Mantén un inventario de qué servicios usan cada clave y qué permisos tienen. Y sobre todo, no subestimes la importancia de estos pequeños códigos que muchas veces pasan desapercibidos.

[TIP] Si tienes dudas sobre cómo gestionar tus claves o necesitas ayuda con tu hosting, puedes acceder a Syspanel (el panel de control de tu hosting) a través del puerto 2106 para revisar configuraciones de seguridad adicionales, como certificados SSL o reglas de firewall.

Recuerda: una tienda online segura es una tienda que genera confianza, y la confianza se traduce en ventas. Así que tómate unos minutos hoy para proteger tienda online y duerme tranquilo sabiendo que tus datos y los de tus clientes están a salvo.

Si te ha quedado alguna duda, déjala en los comentarios y estaré encantado de ayudarte. ¡Nos vemos en el siguiente artículo!