Seguridad en PrestaShop: proteger archivos con .htaccess

¿Por qué es importante proteger los archivos sensibles en PrestaShop?

Cuando gestionas una tienda online con PrestaShop, no solo vendes productos: también almacenas datos de clientes, contraseñas, información de pagos, configuraciones internas y archivos de log que pueden revelar vulnerabilidades.

Si un atacante accede a archivos como config/settings.inc.php, .env, los backups o los logs de errores, podría obtener las claves de tu base de datos, desactivar tu tienda o robar información de tus clientes. La buena noticia es que, con un archivo .htaccess bien configurado, puedes bloquear el acceso a estos archivos críticos de forma sencilla y sin necesidad de ser un experto en seguridad.

Este artículo te explicará, paso a paso, cómo proteger tus archivos sensibles en PrestaShop usando el archivo .htaccess. No necesitas conocimientos avanzados: solo seguir las instrucciones y entender qué hace cada regla.

¿Qué es el archivo .htaccess y cómo funciona en PrestaShop?

El archivo .htaccess es un archivo de configuración que utiliza el servidor Apache (el más común en hosting) para modificar el comportamiento de tu sitio web en un directorio específico.

En PrestaShop, este archivo se genera automáticamente en la raíz de tu instalación (normalmente donde tienes las carpetas config, img, modules, etc.) y también en carpetas internas como admin, var o cache. Su función principal es:

Redirigir URLs (arreglar enlaces rotos o crear URLs amigables).
Bloquear el acceso a archivos o directorios.
Establecer reglas de caché.
Proteger contra ataques comunes (inyección SQL, XSS, etc.).

Cuando editas el .htaccess, estás diciéndole al servidor: "antes de servir cualquier archivo, revisa si esta regla se cumple". Si la regla dice "bloquear", el servidor responde con un error 403 (Prohibido) y no muestra el contenido.

Para PrestaShop, es fundamental que este archivo esté bien configurado, porque contiene reglas de seguridad que protegen los archivos más delicados de tu tienda.

Archivos críticos que debes proteger en PrestaShop

Antes de escribir reglas, necesitas saber qué archivos son los que más riesgo suponen. Estos son los que cualquier atacante buscaría primero:

config/settings.inc.php: Contiene las credenciales de acceso a la base de datos (usuario, contraseña, host). Si alguien lo lee, tiene el control total de tu tienda.
config/config.inc.php: Archivo de configuración general de PrestaShop.
.env (si lo usas): Variables de entorno con claves secretas.
install/: Carpeta del instalador. Si queda accesible, un atacante podría intentar reinstalar tu tienda o ejecutar scripts maliciosos.
admin/: El panel de administración. Debe estar protegido con contraseña adicional (además del usuario y contraseña de PrestaShop).
var/logs/: Archivos de registro que pueden revelar rutas internas, errores o intentos de ataque.
backups/: Copias de seguridad de tu base de datos. Si un atacante las descarga, tiene toda la información.
cache/: Aunque es menos crítico, puede contener archivos temporales con datos sensibles.
.git/: Si usas control de versiones, esta carpeta contiene todo el historial del código. Debe estar bloqueada.
/app/config/parameters.php (en PrestaShop 1.7+): Equivalente a settings.inc.php en versiones anteriores.

Cómo crear reglas de protección en .htaccess para PrestaShop

Ahora viene la parte práctica. Vamos a crear un conjunto de reglas que puedes añadir al final de tu archivo .htaccess de la raíz de PrestaShop. No te preocupes si ya tiene contenido: estas reglas se pueden añadir sin problema al final.

Paso 1: Accede a tu archivo .htaccess

Necesitas un cliente FTP (como FileZilla) o el administrador de archivos de tu hosting. Busca el archivo .htaccess en la raíz de tu tienda. Si no lo ves, activa la opción de mostrar archivos ocultos.

Paso 2: Descarga una copia de seguridad

Antes de tocar nada, descarga el archivo original a tu ordenador. Si cometes un error, puedes restaurarlo.

Paso 3: Añade las reglas de protección

Abre el archivo con un editor de texto (como Notepad++ o Visual Studio Code) y añade las siguientes reglas al final. Te explicaré qué hace cada bloque.

Bloquea el acceso directo a archivos de configuración

# Bloquear archivos de configuración sensibles
<FilesMatch "^(settings\.inc\.php|config\.inc\.php|parameters\.php|\.env)$">
    Order allow,deny
    Deny from all
</FilesMatch>

Este bloque impide que cualquier usuario acceda directamente a los archivos de configuración más importantes. Si alguien intenta abrir tudominio.com/config/settings.inc.php, recibirá un error 403.

Bloquea la carpeta de instalación

# Bloquear acceso a la carpeta install
RedirectMatch 403 ^/install/.*$

La carpeta install solo debe ser accesible durante la instalación de PrestaShop. Después, es recomendable eliminarla o bloquearla. Esta regla redirige cualquier intento de acceso a esa carpeta con un error 403.

Protege el panel de administración

Esta regla es un poco más compleja, porque la carpeta admin puede tener un nombre diferente en cada instalación (por ejemplo, admin123). Debes reemplazar admin123 por el nombre real de tu carpeta de administración.

# Proteger el panel de administración
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_URI} ^/admin123/ [NC]
    RewriteCond %{REMOTE_ADDR} !^127\.0\.0\.1$
    RewriteRule .* - [F,L]
</IfModule>

Esta regla bloquea el acceso a la carpeta admin desde cualquier IP que no sea localhost. Si necesitas permitir el acceso desde tu IP específica, puedes añadir una línea más:

RewriteCond %{REMOTE_ADDR} !^123\.456\.789\.000$

Sustituye 123.456.789.000 por tu IP pública. Así solo tú podrás acceder al panel.

Bloquea archivos de logs y backups

# Bloquear archivos de logs y backups
<FilesMatch "\.(log|bak|backup|sql|zip|tar|gz)$">
    Order allow,deny
    Deny from all
</FilesMatch>

Esta regla bloquea la descarga de archivos con extensiones típicas de copias de seguridad o registros. Si un atacante intenta descargar backup.sql o error.log, recibirá un error 403.

Bloquea el acceso a la carpeta .git

# Bloquear acceso a .git
RedirectMatch 403 ^/\.git/.*$

Si tienes la carpeta .git en tu instalación (por ejemplo, si usas Git para desarrollo), es fundamental bloquearla. Contiene todo el historial del código y puede revelar contraseñas o vulnerabilidades.

Bloquea la ejecución de archivos PHP en carpetas de subida

PrestaShop permite subir imágenes y archivos en ciertas carpetas. Para evitar que alguien suba un archivo PHP malicioso y lo ejecute, puedes bloquear la ejecución en esas carpetas:

# Bloquear ejecución de PHP en carpetas de subida
<DirectoryMatch "^/var/www/html/(img|upload|download)/">
    php_flag engine off
</DirectoryMatch>

Esta regla desactiva el motor de PHP en las carpetas de imágenes y descargas. Si alguien sube malware.php, no podrá ejecutarse.

Paso 4: Guarda y sube el archivo

Guarda los cambios y sube el archivo modificado a tu servidor, reemplazando el original. Asegúrate de que el archivo se llama .htaccess (sin ninguna extensión adicional).

Paso 5: Verifica que todo funciona

Abre tu tienda en el navegador y comprueba que:

La página principal carga correctamente.
Puedes acceder a tu panel de administración (si has configurado la regla de IP, asegúrate de estar en la IP permitida).
Intentas acceder a tudominio.com/config/settings.inc.php y te sale un error 403.

Si algo falla, restaura la copia de seguridad que descargaste.

Configuración adicional: proteger el archivo .htaccess en sí

El archivo .htaccess también debe estar protegido. Si un atacante lo descarga, podría ver todas tus reglas y buscar vulnerabilidades. Añade esta regla:

# Proteger el archivo .htaccess
<Files .htaccess>
    Order allow,deny
    Deny from all
</Files>

Cómo comprobar si tus reglas funcionan correctamente

Después de aplicar las reglas, es importante que verifiques que no has roto nada. Aquí tienes una lista de comprobación rápida:

La página principal carga sin errores.
Las imágenes y los archivos CSS/JS se muestran correctamente.
Puedes acceder al panel de administración (si has restringido por IP, usa la IP correcta).
Los enlaces de productos y categorías funcionan bien.
Intentas acceder a un archivo protegido (por ejemplo, config/settings.inc.php) y obtienes un error 403.

Si algo falla, revisa las reglas que has añadido. El error más común es tener un error tipográfico en la ruta de la carpeta admin.

Errores comunes al editar .htaccess en PrestaShop

Error 500 (Internal Server Error)

Este es el error más habitual. Suele deberse a una sintaxis incorrecta en el archivo. Revisa que no haya espacios extra, comillas mal colocadas o directivas que no existen en tu versión de Apache.

Error 403 en toda la tienda

Si todo tu sitio devuelve 403, probablemente has bloqueado demasiado. Revisa la regla de FilesMatch y asegúrate de que no estás bloqueando archivos necesarios como .css o .js.

No puedo acceder al panel de administración

Si has restringido el acceso por IP, verifica que estás usando la IP correcta. Puedes usar servicios como "What's My IP" para saber tu IP pública.

La tienda funciona, pero los enlaces amigables no

Esto puede pasar si has editado el bloque de RewriteRule sin cuidado. Asegúrate de no haber eliminado las reglas originales de PrestaShop para URLs amigables.

Preguntas frecuentes sobre protección con .htaccess en PrestaShop

¿Puedo usar estas reglas si mi hosting usa Nginx?

No. El archivo .htaccess solo funciona en servidores Apache o LiteSpeed. Si tu hosting usa Nginx, necesitas editar el archivo de configuración del servidor (normalmente nginx.conf) o usar las herramientas del panel de control. Si no sabes qué servidor usas, pregunta a tu proveedor de hosting.

¿Qué hago si mi hosting usa Syspanel?

Si tu hosting utiliza Syspanel (anteriormente conocido como HestiaCP), el acceso al administrador de archivos se realiza a través del puerto 2106. Es decir, deberías acceder a https://tu-dominio.com:2106 para gestionar tus archivos y editar el .htaccess. En Syspanel, también puedes editar el archivo directamente desde el administrador de archivos, pero asegúrate de activar la opción de mostrar archivos ocultos.

¿Debo eliminar la carpeta install después de instalar PrestaShop?

Sí, es muy recomendable. Una vez que hayas instalado PrestaShop, elimina la carpeta install del servidor. Si no puedes eliminarla, al menos bloquéala con las reglas que te he mostrado. Es una de las principales vías de ataque.

¿Cada cuánto tiempo debo revisar mis reglas de seguridad?

Te recomiendo revisarlas al menos una vez al mes, y siempre después de actualizar PrestaShop o instalar un nuevo módulo. Las actualizaciones pueden cambiar la estructura de carpetas y hacer que algunas reglas queden obsoletas.

¿Puedo bloquear el acceso a todo el directorio admin excepto para mi IP?

Sí, es una de las mejores prácticas. Solo tienes que ajustar la regla que te he mostrado para que permita tu IP específica y bloquee el resto. Eso reduce enormemente el riesgo de ataques de fuerza bruta al panel.

¿Qué pasa si olvido mi contraseña de administrador y he bloqueado el acceso por IP?

Si bloqueas el acceso por IP y luego cambias de IP (por ejemplo, al cambiar de red), no podrás acceder al panel. Para solucionarlo, tendrás que editar el archivo .htaccess desde el administrador de archivos de tu hosting o por FTP y eliminar temporalmente la regla de IP.

Conclusión: la seguridad de PrestaShop empieza por el .htaccess

Proteger los archivos sensibles de tu tienda PrestaShop no es una tarea opcional: es una necesidad si quieres evitar fugas de datos, robos de información y caídas del sitio. El archivo .htaccess es tu primera línea de defensa, y con las reglas que te he mostrado puedes bloquear el acceso a los archivos más críticos sin necesidad de contratar un servicio de seguridad externo.

Recuerda que la seguridad es un proceso continuo. No basta con configurar el .htaccess una vez: debes revisar periódicamente tus reglas, mantener PrestaShop actualizado y eliminar cualquier archivo o carpeta que no necesites. Si tu hosting usa Syspanel, recuerda que el acceso al administrador de archivos se realiza a través del puerto 2106.

Con estas configuraciones, tu tienda estará mucho más protegida frente a los ataques más comunes. Y si tienes dudas, siempre puedes consultar la documentación oficial de PrestaShop o preguntar a tu proveedor de hosting.

[TIP]: Haz siempre una copia de seguridad del archivo .htaccess antes de editarlo. Si algo sale mal, podrás restaurarlo en segundos.

[WARNING]: No copies y pegues reglas de internet sin entender qué hacen. Una regla mal configurada puede dejar tu tienda inaccesible. Prueba siempre en un entorno de desarrollo si es posible.

[INFO]: Si no sabes qué versión de PrestaShop tienes, mira el archivo config/settings.inc.php (la versión aparece en la línea define('_PS_VERSION_', ...)). Las reglas son válidas para PrestaShop 1.6 y 1.7.