Seguridad en PrestaShop: cómo proteger tu panel admin

¿Por qué es tan importante proteger el back-office de PrestaShop?

Tu tienda online es tu negocio, y el panel de administración de PrestaShop (también conocido como back-office) es la puerta principal a todo tu catálogo, tus pedidos y los datos de tus clientes. Si alguien no autorizado accede a esa puerta, podría robar información sensible, modificar precios, eliminar productos o incluso secuestrar tu tienda por completo. Por eso, proteger PrestaShop no es una opción, sino una necesidad urgente.

En este artículo, te voy a explicar paso a paso, y sin tecnicismos complicados, cómo blindar tu panel de administración con contraseñas robustas y límites de acceso por IP. Al final, tendrás un plan claro para que tu back-office sea una fortaleza, no una puerta abierta.

El primer escudo: La contraseña de tu admin PrestaShop

La contraseña de tu admin PrestaShop es la llave maestra de tu negocio. Si es débil o la reutilizas en otros sitios, estás facilitando el trabajo a los atacantes. Vamos a ver cómo crear una contraseña que sea difícil de romper, pero fácil de recordar para ti.

¿Qué hace que una contraseña sea "fuerte"?

Una contraseña fuerte no es necesariamente larga y complicada, sino impredecible. Estos son los requisitos mínimos que debería cumplir la tuya:

Longitud mínima de 12 caracteres. Cuanto más larga, mejor. Cada carácter extra multiplica el tiempo que tardaría un programa en adivinarla.
Combinación de tipos de caracteres: Usa letras mayúsculas, minúsculas, números y símbolos (como !, @, #, $).
Evita información personal: Nada de tu nombre, fecha de nacimiento, nombre de tu mascota o el de tu empresa. Eso es lo primero que prueba un atacante.
No la reutilices en otros sitios. Si la usas en tu correo personal y ese correo se ve comprometido, tu tienda también lo estará.

[WARNING] Nunca compartas tu contraseña de administrador por correo electrónico, chat o mensajería. Si un empleado la necesita, crea una cuenta de empleado con permisos limitados. La cuenta maestra debe ser solo tuya.

Cómo cambiar tu contraseña en PrestaShop

Cambiar la contraseña es muy sencillo. Sigue estos pasos:

Accede a tu panel de administración de PrestaShop.
En el menú superior, pasa el ratón sobre tu nombre de usuario (arriba a la derecha).
Haz clic en "Mi perfil".
Busca el campo "Contraseña" y escribe una nueva. La página te indicará la fuerza de la contraseña en tiempo real.
Repite la contraseña en el campo de confirmación.
Haz clic en "Guardar".

¿Con qué frecuencia debo cambiar la contraseña?

No es necesario cambiarla cada mes, eso puede llevar a usar contraseñas más débiles por comodidad. La regla de oro es:

Cambia la contraseña inmediatamente si sospechas que alguien más la conoce.
Establece un recordatorio para cambiarla cada 3 o 6 meses, especialmente si tienes varios empleados con acceso.

[TIP] Usa un gestor de contraseñas. Te permitirá generar y almacenar contraseñas súper seguras sin tener que memorizarlas. Así, cada cuenta puede tener una contraseña única y compleja.

El segundo escudo: Limitar el acceso por IP

Piensa en tu back-office como una oficina física. No dejarías la puerta abierta para que entrara cualquiera desde la calle, ¿verdad? Limitar el acceso por IP es como ponerle una cerradura extra que solo se abre desde direcciones específicas.

¿Qué es una dirección IP y por qué limitarla?

Una dirección IP es como la matrícula de tu conexión a internet. Cuando te conectas a tu tienda, tu proveedor te asigna una. Limitar el acceso por IP significa que solo podrás entrar al panel de administración desde esas direcciones que tú autorices. Si alguien intenta entrar desde otra IP (otro lugar), no podrá ni siquiera ver la página de inicio de sesión.

Esto es especialmente útil si siempre trabajas desde el mismo sitio (tu oficina o tu casa). Si tu IP es fija, es una barrera infranqueable para atacantes de otros países o de cualquier otro lugar.

[INFO] Si tu conexión a internet es doméstica, es probable que tu IP cambie de vez en cuando (IP dinámica). Si te bloqueas a ti mismo, no te preocupes, es un proceso reversible, pero puede ser un poco molesto. Te recomiendo que primero consultes con tu proveedor de internet si tienes una IP fija o dinámica.

Cómo limitar las IPs en la configuración de PrestaShop

PrestaShop tiene una opción nativa para esto. Vamos a ver cómo activarla:

Ve a tu panel de administración.
En el menú lateral izquierdo, busca "Parámetros avanzados".
Haz clic en "Administración".
En la pestaña "General", busca el campo llamado "Aumentar la seguridad del back-office".
Verás una opción para "Permitir el acceso al back-office solo desde direcciones IP específicas". Actívala.
Se abrirá un cuadro de texto. Escribe la IP desde la que quieres permitir el acceso. Si no la sabes, puedes buscar en Google "cuál es mi ip" y te la mostrará.
Si necesitas permitir varias IPs, sepáralas con comas.
Guarda los cambios.

[WARNING] ¡MUY IMPORTANTE! Antes de guardar, asegúrate de que la IP que has escrito es la correcta. Si te equivocas, te bloquearás a ti mismo y no podrás acceder al panel. Si esto ocurre, tendrás que contactar con tu proveedor de hosting para que desactive esa regla manualmente.

Protección extra a nivel de servidor con Syspanel

Además de la opción de PrestaShop, puedes añadir una capa de seguridad a nivel de servidor. Si tu hosting utiliza Syspanel (el panel de control que gestiona tu servidor), puedes hacerlo desde ahí. Para acceder a él, normalmente se usa la dirección https://tu-dominio.com:2106. Una vez dentro, busca la sección de "Hosting" o "Dominios" y luego "Protección por IP" o "Lista blanca".

Aquí puedes añadir reglas para proteger la carpeta /admin (o el nombre que tenga tu carpeta de administración). Este método es incluso más robusto, ya que bloquea la petición antes de que llegue a PrestaShop.

[INFO] La combinación de ambas protecciones (la de PrestaShop y la del servidor) es la estrategia más segura. Es como tener dos puertas blindadas en lugar de una.

Otras medidas de seguridad para tu back-office

Limitar IPs y tener una buena contraseña es un gran comienzo, pero no es todo. Aquí tienes otras prácticas recomendadas para proteger PrestaShop de forma integral.

Cambia la URL de acceso al panel de administración

Por defecto, el acceso al back-office es tutienda.com/admin. Es un dato que cualquiera puede adivinar. Cambiarlo es una de las medidas más efectivas y sencillas.

Ve a "Parámetros avanzados" -> "Administración".
En la pestaña "General", busca el campo "URL del back-office".
Cambia la palabra "admin" por algo único y difícil de adivinar, como "gestion-tienda-2024" o "panel-control-seguro".
Guarda los cambios. PrestaShop te mostrará una nueva URL que deberás usar a partir de ahora.

[WARNING] Anota la nueva URL en un lugar seguro. Si la pierdes, no podrás acceder a tu panel.

Activa la autenticación en dos pasos (2FA)

La autenticación en dos pasos añade una capa extra de seguridad. Además de tu contraseña, necesitarás un código temporal que se genera en tu teléfono móvil. Así, aunque alguien robe tu contraseña, no podrá entrar sin tu teléfono.

PrestaShop tiene módulos nativos para esto. Ve a "Módulos" -> "Módulos y servicios" y busca "autenticación en dos pasos" o "2FA". Instala uno de los módulos oficiales y sigue las instrucciones para configurarlo con tu aplicación de autenticación (como Google Authenticator o Authy).

Mantén PrestaShop y sus módulos siempre actualizados

Las actualizaciones no solo añaden funciones nuevas, también corrigen errores de seguridad. Un módulo desactualizado es un agujero en tu fortaleza. Activa las actualizaciones automáticas en la medida de lo posible o revisa regularmente si hay nuevas versiones disponibles.

Limita los intentos de conexión fallidos

Esto evita que los atacantes prueben miles de contraseñas por fuerza bruta. PrestaShop tiene una opción para esto:

Ve a "Parámetros avanzados" -> "Administración".
En la pestaña "General", busca la opción "Número de intentos de conexión fallidos".
Establece un número bajo, como 3 o 5. Después de esos intentos, la IP será bloqueada temporalmente.

Revisa los permisos de los empleados

Si tienes empleados que acceden al back-office, no les des todos los permisos. Crea perfiles con permisos limitados según sus responsabilidades. Por ejemplo, un empleado que solo gestiona pedidos no necesita acceso a la configuración del módulo de pago.

Preguntas frecuentes (FAQ)

¿Qué hago si me he bloqueado a mí mismo al limitar las IPs?

No entres en pánico. Tienes dos opciones:

Contacta con tu proveedor de hosting y pídeles que desactiven la regla de IP para tu dominio.
Si tienes acceso a Syspanel (puerto 2106), puedes entrar y eliminar la regla manualmente desde el gestor de archivos o la base de datos.

¿Puedo tener varias IPs permitidas para acceder al back-office?

Sí, puedes añadir tantas IPs como necesites, separándolas con comas en el campo correspondiente. Solo asegúrate de que son IPs fijas y seguras.

¿Es suficiente con cambiar la contraseña para proteger PrestaShop?

No. La contraseña es la primera barrera, pero no la única. Para una protección completa, debes combinar una contraseña fuerte con la limitación de IP, el cambio de URL y la autenticación en dos pasos.

¿Cada cuánto tiempo debo revisar la seguridad de mi tienda?

Te recomiendo hacer una revisión general cada 3 meses. Esto incluye verificar que no hay usuarios desconocidos, que los módulos están actualizados y que las IPs permitidas son las correctas.

¿La protección por IP afecta al rendimiento de mi tienda?

En absoluto. La verificación de IP es un proceso muy rápido que apenas consume recursos. No notarás ninguna diferencia en la velocidad de carga de tu tienda.

Proteger el panel de administración de PrestaShop es un proceso continuo, no una acción puntual. Siguiendo estos pasos, no solo dificultarás enormemente el trabajo a los atacantes, sino que también dormirás más tranquilo sabiendo que tu negocio está a salvo. Empieza hoy mismo con la contraseña y la limitación de IP, y después ve añadiendo el resto de medidas. Tu tienda te lo agradecerá.