Cómo añadir contraseña a /admin de PrestaShop en Plesk

¿Por qué es importante proteger el directorio de administración de PrestaShop?

Si tienes una tienda online con PrestaShop, el panel de administración (/admin) es la puerta principal a tu negocio digital. Cualquier persona que acceda a él podría modificar precios, robar datos de clientes, instalar malware o incluso dejar tu tienda inservible.

Aunque PrestaShop ya incluye su propio sistema de login con usuario y contraseña, añadir una capa extra de protección a nivel de servidor es una de las mejores prácticas de seguridad. Esta capa adicional se configura directamente en Plesk (tu panel de control de hosting) y funciona como un "segundo candado" antes de llegar al login de PrestaShop.

Imagina que tu tienda es una casa: el login de PrestaShop es la puerta principal con su llave, pero proteger el directorio con contraseña en Plesk es como añadir una reja exterior. Aunque alguien consiguiera la llave de la puerta, todavía tendría que superar la reja.

¿Qué es la protección por contraseña de directorios en Plesk?

Plesk incluye una herramienta nativa llamada "Protección por contraseña" que te permite restringir el acceso a cualquier carpeta de tu sitio web. Cuando la activas, el servidor exige un usuario y una contraseña adicionales (distintos a los de PrestaShop) antes de mostrar cualquier archivo dentro de esa carpeta.

Esta protección funciona a nivel de servidor web (Apache o Nginx), por lo que es independiente de la aplicación. Es decir, no importa si PrestaShop tiene algún fallo de seguridad en su login: el atacante ni siquiera podrá ver la página de login de PrestaShop sin antes pasar por esta barrera.

Beneficios de esta doble autenticación

Protección contra ataques de fuerza bruta: los bots que intentan adivinar contraseñas de PrestaShop se encontrarán con una pared antes de llegar al formulario de acceso.
Bloqueo de exploits: si se descubre una vulnerabilidad en el login de PrestaShop, esta capa extra mitiga el riesgo.
Control de acceso: puedes crear usuarios específicos para que tus desarrolladores o colaboradores accedan al admin sin compartir las credenciales de Plesk.
Tranquilidad: sabrás que tu tienda tiene una defensa adicional sin necesidad de conocimientos avanzados.

Requisitos previos antes de empezar

Antes de configurar la protección, asegúrate de tener lo siguiente:

Acceso a Plesk con permisos de administrador o propietario del dominio.
Conocer la ruta exacta del directorio de administración de tu PrestaShop. Por defecto suele ser /admin o /admin123 (con números aleatorios), pero puede variar según la instalación.
Un usuario y contraseña que quieras usar para esta capa extra. Te recomiendo que sea diferente a tu usuario de PrestaShop y a tu usuario de Plesk.

[WARNING] Si no sabes cuál es la ruta de tu directorio admin, entra a tu panel de PrestaShop y fíjate en la URL del navegador. Por ejemplo: https://tutienda.com/admin123/index.php. La parte /admin123 es la que debes proteger.

Paso a paso: proteger el directorio admin de PrestaShop en Plesk

Paso 1: Accede al panel de Plesk

Abre tu navegador y entra a tu panel de Plesk. Normalmente es algo como https://tu-dominio.com:8443 o una URL que te proporcionó tu proveedor de hosting. Inicia sesión con tus credenciales de administrador.

Paso 2: Localiza tu dominio o sitio web

En el panel principal de Plesk, verás una lista de tus sitios web o dominios. Haz clic en el dominio donde está instalada tu tienda PrestaShop.

Paso 3: Encuentra la sección "Protección por contraseña"

Dentro del panel de tu dominio, busca en el menú lateral o en la sección de "Sitios web y dominios". Verás una serie de iconos y opciones. Busca el icono o enlace que dice "Protección por contraseña" (también puede aparecer como "Password Protected Directories").

[INFO] En algunas versiones de Plesk, esta opción puede estar dentro de "Apache y nginx" o "Configuración del servidor web". Si no la encuentras, usa el buscador del panel escribiendo "protección".

Paso 4: Añade un nuevo directorio protegido

Haz clic en el botón "Añadir" o "Agregar directorio protegido". Se abrirá un formulario con los siguientes campos:

Nombre del directorio: escribe la ruta relativa desde la raíz de tu sitio. Por ejemplo, si tu admin está en https://tutienda.com/admin123, escribe /admin123.
Título de la zona protegida: puedes poner algo como "Zona de administración" o el nombre que quieras. Este texto aparecerá en la ventana de acceso que muestra el navegador.
Archivo de usuarios: normalmente se deja el valor por defecto. Plesk creará un archivo .htpasswd automáticamente.

Una vez completado, haz clic en "Aceptar" o "OK".

Paso 5: Crea un usuario para acceder al directorio

Después de crear el directorio protegido, Plesk te mostrará una lista con los directorios protegidos. Haz clic en el que acabas de crear para gestionar sus usuarios.

Dentro de la configuración del directorio, busca la sección de "Usuarios" o "Acceso" y haz clic en "Añadir usuario". Ahí deberás indicar:

Nombre de usuario: elige algo fácil de recordar pero no demasiado obvio (evita "admin" o "administrador").
Contraseña: usa una contraseña robusta con al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos.
Confirmar contraseña: repite la contraseña.

Haz clic en "Aceptar" para guardar el usuario.

[TIP] Puedes crear varios usuarios si necesitas que varias personas accedan. Cada uno tendrá sus propias credenciales, lo que facilita la gestión y auditoría.

Paso 6: Verifica que la protección está activa

Ahora viene la prueba de fuego. Abre una ventana de incógnito en tu navegador (o un navegador diferente) y visita la URL de tu administración de PrestaShop. Por ejemplo: https://tutienda.com/admin123.

Deberías ver una ventana emergente del navegador pidiendo usuario y contraseña. Introduce las credenciales que acabas de crear en Plesk. Si todo funciona, verás la página de login de PrestaShop. A partir de ahí, introduce tus credenciales normales de PrestaShop.

[WARNING] Si no aparece la ventana de autenticación, puede que el navegador tenga caché o que la protección no se haya aplicado correctamente. Prueba a limpiar la caché del navegador o a reiniciar el servicio web desde Plesk.

Cómo proteger el acceso a PrestaShop desde el archivo .htaccess (método alternativo)

Aunque Plesk facilita mucho este proceso, algunos usuarios prefieren hacerlo manualmente con el archivo .htaccess. Este método es útil si tu hosting no tiene Plesk o si quieres un control más fino.

Crear el archivo .htpasswd

Primero, necesitas crear un archivo llamado .htpasswd que contendrá las credenciales cifradas. Puedes hacerlo desde el administrador de archivos de Plesk o mediante FTP.

Crea un archivo llamado .htpasswd y súbelo a una carpeta fuera del directorio público (por ejemplo, en /private o en el directorio raíz de tu usuario).
Genera un hash de la contraseña. Puedes usar herramientas online o ejecutar el comando htpasswd -c .htpasswd usuario en la terminal si tienes acceso SSH.
El contenido del archivo será algo así: usuario:$apr1$hashgenerado...

Modificar el .htaccess del directorio admin

Ahora, dentro del directorio de administración de PrestaShop (por ejemplo, /admin123), crea o edita el archivo .htaccess y añade lo siguiente:

AuthType Basic
AuthName "Acceso restringido a administración"
AuthUserFile /ruta/absoluta/al/archivo/.htpasswd
Require valid-user

[INFO] La ruta en AuthUserFile debe ser la ruta absoluta en el servidor, no la URL. Puedes encontrarla en Plesk en "Sitios web y dominios" > "Hosting" > "Ruta del documento".

Guarda los cambios y prueba a acceder. Esta alternativa es más técnica, pero igualmente efectiva.

Consejos adicionales de seguridad para PrestaShop

Proteger el directorio admin es solo una parte de la seguridad integral de tu tienda. Aquí tienes otras recomendaciones:

1. Cambia el nombre del directorio admin

Cuando instalas PrestaShop, el directorio admin tiene un nombre predecible. Cambiarlo a algo único y difícil de adivinar añade otra capa de seguridad. Puedes hacerlo desde la configuración de PrestaShop o manualmente renombrando la carpeta.

[WARNING] Si renombras la carpeta, actualiza la ruta en la tabla ps_configuration de la base de datos o usa el archivo parameters.php. Un error aquí puede dejarte sin acceso al panel.

2. Activa la autenticación de dos factores (2FA) en PrestaShop

PrestaShop 1.7 y versiones posteriores incluyen la opción de activar 2FA para el acceso al administrador. Esto añade un código temporal que se envía a tu teléfono o correo, haciendo casi imposible el acceso no autorizado.

3. Mantén PrestaShop actualizado

Las actualizaciones corrigen vulnerabilidades conocidas. Configura tu tienda para que te avise cuando haya nuevas versiones y aplícalas cuanto antes.

4. Limita los intentos de acceso

PrestaShop permite configurar un número máximo de intentos de login fallidos. Activa esta opción para bloquear temporalmente la cuenta después de varios intentos.

5. Usa certificados SSL en todo el sitio

Asegúrate de que tu tienda usa HTTPS en todas las páginas. Esto cifra la comunicación entre el navegador y el servidor, protegiendo las credenciales en tránsito.

Preguntas frecuentes sobre la protección de directorios

¿Puedo proteger cualquier carpeta de mi sitio con este método?

Sí, Plesk te permite proteger cualquier directorio de tu sitio web. Puedes usar la misma técnica para proteger carpetas con archivos sensibles, como backups o configuraciones.

¿La protección por contraseña afecta al rendimiento de mi tienda?

El impacto es mínimo. El servidor solo realiza una comprobación adicional cuando alguien intenta acceder a esa carpeta. Para el resto de visitantes de tu tienda, no hay ninguna diferencia.

¿Qué pasa si olvido la contraseña de la protección?

Puedes entrar a Plesk y eliminar el usuario o restablecer su contraseña desde la sección "Protección por contraseña". No perderás el acceso a tu tienda, solo tendrás que configurar una nueva contraseña.

¿Esta protección reemplaza al login de PrestaShop?

No, es complementaria. Necesitarás tanto las credenciales de la protección de directorio como las de PrestaShop para acceder al panel de administración.

¿Puedo usar la misma contraseña para la protección y para PrestaShop?

Técnicamente puedes, pero no es recomendable. Si un atacante descifra una, tendrá acceso a ambas. Usa contraseñas diferentes y robustas para cada capa.

Resumen final

Proteger el directorio de administración de PrestaShop con contraseña en Plesk es un proceso sencillo que puedes hacer en menos de 10 minutos y que aumenta significativamente la seguridad de tu tienda online. La doble capa de autenticación disuade a los atacantes y te da tranquilidad sabiendo que tu negocio está mejor protegido.

Recuerda que la seguridad no es un evento único, sino un proceso continuo. Revisa periódicamente tus configuraciones, mantén todo actualizado y considera implementar todas las medidas adicionales que hemos mencionado. Tu tienda y tus clientes te lo agradecerán.

[INFO] Si en algún momento necesitas ayuda adicional, no dudes en contactar con el soporte de tu proveedor de hosting. Ellos conocen su infraestructura y pueden orientarte sobre las mejores prácticas específicas para tu entorno.