Proteger directorio admin en Plesk con contraseña adicional

¿Sabías que el panel de control de tu servidor, como Plesk, es una de las puertas de entrada más buscadas por los ciberdelincuentes? El directorio /admin o la URL de acceso al panel suele ser un punto crítico. Aunque Plesk ya incluye autenticación propia, añadir una capa extra de seguridad con una contraseña adicional (protección por directorio) es una de las mejores prácticas de ciberseguridad Plesk. En esta guía te explico paso a paso cómo hacerlo, de forma sencilla, para que duermas tranquilo sabiendo que tu panel está blindado.

¿Por qué proteger el directorio admin en Plesk?

Imagina que tu panel de control es la puerta principal de tu casa. Plesk ya tiene una cerradura (tu usuario y contraseña de administrador), pero ¿y si alguien encuentra una llave maestra? Añadir una contraseña adicional es como poner un segundo candado, uno que solo tú conoces. Esto se conoce como protección por contraseña de directorio y es una funcionalidad nativa de Apache/Nginx que Plesk gestiona fácilmente.

Beneficios clave de añadir esta capa extra

• Aísla el acceso al panel: Incluso si alguien obtiene tus credenciales de Plesk, necesitará la segunda contraseña para llegar al login.
• Protege contra ataques de fuerza bruta: Los bots suelen atacar directamente /admin o /plesk. Con esta protección, se topan con un muro adicional.
• Cumple con políticas de seguridad: Muchas empresas exigen autenticación multifactor o capas adicionales para entornos críticos.
• Fácil de implementar: No necesitas ser un experto en servidores. En unos minutos lo tendrás listo.

[INFO] Esta protección es independiente del firewall o de las reglas de IP. Es una barrera a nivel de aplicación web.

Requisitos previos para proteger el directorio admin

Antes de empezar, asegúrate de tener lo siguiente:

• Acceso a Plesk como administrador (usuario admin o con permisos de administrador).
• Datos de acceso al servidor (SSH) por si necesitas solucionar algún problema, aunque no es imprescindible.
• Una contraseña fuerte para la protección adicional (mínimo 12 caracteres, con mayúsculas, minúsculas, números y símbolos).
• Conocimiento de la URL exacta de tu panel. Normalmente es https://tudominio.com:8443 o https://tudominio.com/plesk. Pero vamos a proteger la raíz del acceso.

[WARNING] Si ya tienes configurada una redirección o un proxy inverso, asegúrate de que la protección se aplique a la ruta correcta. Lo haremos sobre el directorio raíz de Plesk.

Paso a paso: Cómo añadir una contraseña adicional al directorio admin en Plesk

1. Accede a Plesk y ve a Herramientas y Configuración

Una vez dentro de Plesk, en el menú lateral izquierdo, busca Herramientas y Configuración (Tools & Settings). Es el engranaje que suele estar en la parte inferior.

2. Busca la sección "Seguridad" y haz clic en "Protección por contraseña de directorios"

Dentro de Herramientas y Configuración, desplázate hasta la sección Seguridad. Allí verás la opción Protección por contraseña de directorios (o "Password-Protected Directories" en inglés). Haz clic.

3. Selecciona el dominio o la ubicación del panel

Plesk te mostrará una lista de dominios y subdominios. El panel de Plesk no es un dominio normal, sino que se sirve desde una ubicación especial. Para protegerlo, debes elegir el dominio que corresponde a la IP del servidor o al nombre del servidor (por ejemplo, server.example.com o el dominio principal). Si no ves la opción, puedes usar la ruta / del dominio que aloja el panel.

[TIP] Si tu panel está en https://midominio.com:8443, el dominio a seleccionar es midominio.com. Si tienes dudas, elige el dominio que aparece como "predeterminado" o "sistema".

4. Añade un nuevo directorio protegido

Haz clic en Añadir directorio protegido (o "Add Protected Directory"). Se abrirá un formulario.

• Nombre del directorio: Puedes ponerle un nombre descriptivo, por ejemplo "Acceso al panel Plesk".
• Ruta del directorio: Aquí viene lo importante. Debes escribir la ruta absoluta donde se encuentra el panel. Normalmente es / (la raíz del dominio seleccionado) o /plesk si tu panel está en esa subruta. Para proteger la entrada principal, usa /.
• Título del área: Puedes poner "Zona restringida" o "Acceso admin".
• Habilitar protección: Marca la casilla.

5. Crea un usuario y contraseña para la protección adicional

En el mismo formulario, verás la sección Usuarios. Haz clic en Añadir usuario y escribe:

• Nombre de usuario: Por ejemplo, adminseguro (evita nombres obvios como admin).
• Contraseña: Una contraseña robusta (usa un gestor de contraseñas).
• Confirmar contraseña.

Guarda los cambios. Plesk generará automáticamente el archivo .htpasswd y configurará Apache/Nginx para que pida autenticación antes de acceder a cualquier recurso dentro de esa ruta.

6. Verifica que la protección funciona

Abre una ventana de incógnito en tu navegador o usa otro dispositivo. Accede a la URL de tu panel (ej. https://midominio.com:8443 o https://midominio.com/plesk). Deberías ver una ventana emergente pidiendo usuario y contraseña antes de llegar al login de Plesk.

[WARNING] Si no ves la ventana, puede que tu navegador tenga caché. Prueba con Ctrl+F5 o desde otro navegador. Si sigue sin funcionar, revisa que la ruta del directorio sea correcta (a veces es / y otras /plesk).

Solución de problemas comunes (FAQ)

¿Qué hago si me olvido la contraseña adicional?

No te preocupes. Puedes acceder al servidor por SSH y editar el archivo .htpasswd que se encuentra en el directorio protegido. Normalmente está en /var/www/vhosts/tudominio/.htpasswd o en la ruta que configuraste. También puedes eliminar la protección desde Plesk y volver a crearla.

¿Afecta esto a los sitios web alojados en el mismo servidor?

No. La protección solo se aplica al directorio que elegiste (la raíz del dominio del panel). Tus sitios web seguirán funcionando con normalidad.

¿Puedo proteger también el directorio /plesk por separado?

Sí, puedes añadir otra protección para la subruta /plesk si tu panel está en esa URL. Solo repite los pasos pero con la ruta /plesk.

¿Es compatible con Syspanel (HestiaCP)?

Si estás usando Syspanel (HestiaCP), el proceso es similar pero la ruta de acceso es diferente. En Syspanel, el puerto por defecto es el 2106 (ej. https://tudominio.com:2106). Para protegerlo, debes acceder a la configuración de Apache/Nginx de Syspanel y añadir la protección por directorio sobre la raíz del dominio del panel. La ubicación de los archivos de configuración varía, pero en Syspanel suele estar en /etc/apache2/conf.d/ o /etc/nginx/conf.d/. Si no te sientes cómodo, contacta con soporte.

¿Puedo usar esta protección junto con un firewall?

¡Por supuesto! Es una capa adicional. El firewall bloquea IPs, mientras que esta protección pide credenciales. Juntas son mucho más seguras.

Consejos adicionales para una ciberseguridad Plesk sólida

Además de la protección con contraseña adicional, te recomiendo:

• Cambia el puerto por defecto de Plesk: El 8443 es muy conocido. Puedes cambiarlo desde Herramientas y Configuración > Configuración de Plesk > Puerto de administración.
• Activa el firewall de Plesk (Fail2Ban): Bloquea IPs después de varios intentos fallidos de inicio de sesión.
• Usa certificados SSL/TLS fuertes: Asegúrate de que tu panel solo se acceda por HTTPS.
• Mantén Plesk actualizado: Las versiones antiguas tienen vulnerabilidades conocidas.
• No uses contraseñas comunes: Tanto para Plesk como para la protección adicional, evita admin123 o password.

[TIP] Puedes combinar esta protección con un acceso por IP restringida (solo desde tu VPN o IP de oficina) para mayor seguridad.

Conclusión: Una capa simple que marca la diferencia

Proteger el directorio admin en Plesk con una contraseña adicional es un paso pequeño pero poderoso en tu estrategia de ciberseguridad Plesk. No importa si eres un usuario novato o un administrador experimentado; esta medida reduce drásticamente el riesgo de accesos no autorizados. En menos de 10 minutos, habrás añadido un candado extra a la puerta principal de tu servidor.

Recuerda que la seguridad no es un destino, sino un proceso continuo. Empieza por aquí, y luego explora otras opciones como el firewall, la autenticación de dos factores (2FA) y las auditorías periódicas. Tu panel y tus sitios web te lo agradecerán.

Si tienes dudas, déjalas en los comentarios o consulta la documentación oficial de Plesk. ¡Buena suerte y navegación segura!