Seguridad en PrestaShop: Contraseña de administración y 2FA

¿Por qué es tan importante proteger tu tienda PrestaShop?

PrestaShop es una de las plataformas de comercio electrónico más utilizadas del mundo, y precisamente por eso se ha convertido en un objetivo muy atractivo para los ciberdelincuentes. Si tu tienda cae en manos equivocadas, podrían robarte los datos de tus clientes, modificar tus productos, inyectar código malicioso o incluso secuestrar tu web entera pidiendo un rescate.

La buena noticia es que proteger tu PrestaShop no tiene por qué ser complicado. Con dos medidas básicas y muy efectivas —una contraseña de administración robusta y la autenticación en dos pasos (2FA)— puedes elevar enormemente la seguridad de tu panel de control. En este artículo te explicamos paso a paso cómo hacerlo, sin tecnicismos innecesarios y de forma que lo entienda cualquiera.

Piensa que tu panel de administración de PrestaShop es como la puerta principal de tu casa. Si dejas la llave debajo del felpudo (una contraseña débil), cualquiera puede entrar. El 2FA es como añadir una segunda cerradura que necesita una llave especial que solo tú tienes en tu móvil. Combinando ambas cosas, pones dos barreras muy difíciles de superar.

Primera barrera: Cómo poner una contraseña de administración segura en PrestaShop

¿Qué hace que una contraseña sea realmente segura?

Antes de entrar en los pasos técnicos, es fundamental que entiendas qué características debe tener una contraseña fuerte para tu PrestaShop. No sirve de nada cambiarla si luego pones "123456" o el nombre de tu tienda.

Una contraseña segura debe cumplir estos requisitos:

Tener al menos 12 caracteres (cuanto más larga, mejor).
Combinar letras mayúsculas y minúsculas.
Incluir números y símbolos especiales como !@#$%^&*.
No contener información personal como tu nombre, tu fecha de nacimiento o el nombre de tu empresa.
Ser única: no la uses para otras cuentas (correo, redes sociales, etc.).

Un truco muy útil es usar una frase larga que solo tú conozcas y modificarla con símbolos. Por ejemplo: MiTiendaDeZapatos!2024#Madrid. Es larga, fácil de recordar y difícil de adivinar.

Pasos para cambiar tu contraseña de administración en PrestaShop 1.7 y 1.8

Si ya tienes acceso a tu panel de administración, el proceso es muy sencillo. Sigue estos pasos:

Inicia sesión en tu panel de administración de PrestaShop con tu usuario y contraseña actuales.
En el menú superior derecho, haz clic en tu nombre de administrador o en el icono de tu perfil.
Se desplegará un menú; selecciona la opción "Mi perfil" o "Administrar cuentas de administrador", según la versión que tengas.
Busca el campo "Contraseña" o "Nueva contraseña".
Introduce tu contraseña actual, la nueva contraseña y confírmala en el campo correspondiente.
Haz clic en "Guardar" o "Actualizar".

[TIP]: Si tu PrestaShop es una versión anterior (por ejemplo, la 1.6), el proceso es similar pero el menú puede variar ligeramente. Busca siempre la pestaña "Administración" y luego "Empleados" para editar tu perfil.

¿Qué hago si he olvidado mi contraseña de administración?

No te preocupes, tiene solución. PrestaShop tiene un sistema de recuperación de contraseña integrado. En la pantalla de inicio de sesión de tu panel, haz clic en el enlace "¿Olvidó su contraseña?". Introducirás tu correo electrónico de administrador y recibirás un enlace para restablecerla.

Pero, ¿y si no recibo el correo? Aquí es donde entra en juego tu panel de control de hosting. Si gestionas tu servidor con Syspanel (el panel de control recomendado, accesible a través del puerto 2106), puedes acceder a la base de datos de PrestaShop y cambiar la contraseña de forma manual. No te asustes, es más fácil de lo que parece:

Accede a Syspanel escribiendo tu-dominio.com:2106 en tu navegador.
Entra con tus credenciales de administrador del hosting.
Busca la sección de "Bases de datos" o "MySQL".
Localiza la base de datos de tu PrestaShop (suele tener un prefijo como ps_).
Ejecuta una consulta SQL para actualizar la contraseña del administrador. La consulta típica sería algo así como: UPDATE ps_employee SET passwd = MD5('TuNuevaClave') WHERE email = 'tu@email.com';

[WARNING]: Si no te sientes cómodo editando la base de datos directamente, contacta con tu proveedor de hosting. Ellos podrán ayudarte a recuperar el acceso de forma segura.

Segunda barrera: Cómo activar la autenticación en dos pasos (2FA) en PrestaShop

La contraseña ya no es suficiente. Aunque sea muy segura, puede ser robada mediante técnicas de phishing o malware. El 2FA (autenticación de dos factores) añade una capa extra de seguridad que hace prácticamente imposible que un atacante acceda a tu panel, incluso si tiene tu contraseña.

¿En qué consiste el 2FA?

El 2FA funciona de la siguiente manera: después de introducir tu usuario y contraseña, el sistema te pedirá un código adicional que se genera en tiempo real. Este código suele obtenerse de una aplicación en tu teléfono móvil, como Google Authenticator, Authy o Microsoft Authenticator.

Este código cambia cada 30 segundos y es único. Así, aunque alguien robe tu contraseña, necesitaría también tu teléfono físico para poder acceder. Es una barrera formidable.

Activación del 2FA en PrestaShop 1.7 y superiores

La buena noticia es que PrestaShop 1.7 y versiones posteriores incluyen el 2FA de forma nativa. No necesitas instalar ningún módulo adicional. Actívalo así:

Accede a tu panel de administración de PrestaShop.
Ve al menú "Parámetros avanzados" en el panel lateral izquierdo.
Haz clic en "Seguridad".
Dentro de la pestaña de seguridad, busca la sección "Autenticación de dos factores (2FA)".
Marca la casilla para "Habilitar 2FA".
Se te pedirá que descargues una aplicación de autenticación en tu móvil (Google Authenticator, Authy, etc.).
Escanea el código QR que aparecerá en pantalla con la aplicación.
Introduce el código de 6 dígitos que te muestra la app para verificar que todo funciona.
Haz clic en "Guardar".

Una vez activado, cada vez que inicies sesión, después de escribir tu contraseña, se te pedirá el código de la aplicación.

[INFO]: Si tu tienda usa una versión de PrestaShop anterior a la 1.7, necesitarás instalar un módulo de terceros para añadir el 2FA. Busca en el marketplace oficial de PrestaShop "Google Authenticator" o "Two Factor Authentication" y elige uno con buenas valoraciones.

¿Qué hago si pierdo mi teléfono o no tengo acceso a la aplicación 2FA?

Es una situación que puede pasar, pero no estás atrapado. PrestaShop suele ofrecer códigos de respaldo durante la configuración del 2FA. Guárdalos en un lugar seguro (por ejemplo, en tu gestor de contraseñas). Si pierdes el acceso a la app, podrás usar uno de esos códigos de respaldo para entrar.

Si no guardaste los códigos, la solución pasa por desactivar el 2FA desde el servidor. De nuevo, Syspanel (puerto 2106) te ayudará:

Accede a Syspanel y entra en la base de datos de tu PrestaShop.
Busca la tabla ps_employee (o el prefijo que uses).
Localiza tu usuario y edita el campo relacionado con el 2FA (puede llamarse google_authenticator_code o similar).
Bórralo o ponlo a NULL para desactivar temporalmente el 2FA.
Vuelve a entrar en PrestaShop y configura de nuevo el 2FA con tu nuevo dispositivo.

Consejos adicionales para blindar tu PrestaShop

La contraseña y el 2FA son la base, pero no debes detenerte ahí. Te recomendamos aplicar estos otros consejos para que tu tienda sea una fortaleza:

Mantén PrestaShop siempre actualizado: cada versión corrige vulnerabilidades de seguridad conocidas. Activa las actualizaciones automáticas si es posible.
Usa un prefijo de tabla de base de datos diferente al estándar ps_. Esto dificulta los ataques de inyección SQL.
Cambia la URL de acceso al panel de administración. PrestaShop te permite renombrar la carpeta /admin a otra más difícil de adivinar. Esto reduce enormemente los ataques automatizados.
Limita los intentos de inicio de sesión: configura un máximo de 3 o 5 intentos fallidos antes de bloquear temporalmente la IP.
Activa el modo mantenimiento cuando estés haciendo cambios importantes en la tienda, para evitar que nadie vea errores internos.
Realiza copias de seguridad periódicas de tu base de datos y archivos. Si algo sale mal, podrás restaurar tu tienda rápidamente.
Usa un certificado SSL en todo tu sitio (HTTPS). Esto cifra la comunicación entre el navegador del cliente y tu servidor.

Un error común: usar la misma contraseña para todo

[WARNING]: Uno de los errores más graves que cometen los administradores es reutilizar la misma contraseña para el panel de PrestaShop, el correo electrónico y el acceso al hosting. Si un atacante compromete una de esas cuentas, tendrá acceso a todas las demás. Usa siempre contraseñas diferentes para cada servicio y, si puedes, un gestor de contraseñas para recordarlas todas.

Preguntas frecuentes (FAQ) sobre seguridad en PrestaShop

¿Es obligatorio el 2FA en PrestaShop?

No es obligatorio por defecto, pero es altamente recomendado. PrestaShop lo incluye de serie desde la versión 1.7.0, así que no tienes excusa para no activarlo. Es la medida más efectiva contra el robo de credenciales.

¿Puedo usar el 2FA con varias cuentas de administrador?

Sí, cada cuenta de administrador puede tener su propia configuración de 2FA. Lo ideal es que todos los empleados con acceso al panel activen el 2FA en sus respectivas cuentas. No basta con proteger solo la cuenta principal.

¿Qué aplicación de autenticación me recomiendas?

Las más populares y fiables son Google Authenticator, Authy y Microsoft Authenticator. Todas funcionan de forma similar. Authy tiene la ventaja de que permite sincronizar tus códigos entre varios dispositivos y hacer copias de seguridad en la nube.

¿El 2FA afecta al rendimiento de mi tienda?

No, en absoluto. El 2FA solo actúa en el momento del inicio de sesión en el panel de administración. No afecta a la velocidad de carga de tu tienda ni a la experiencia de compra de tus clientes.

¿Cómo sé si mi PrestaShop ha sido hackeado?

Algunas señales de alerta son: productos modificados sin tu conocimiento, nuevos clientes o pedidos que no reconoces, el sitio va más lento de lo normal, aparición de enlaces o contenido extraño, o que Google te avise de que tu web está marcada como peligrosa. Si sospechas algo, cambia todas tus contraseñas inmediatamente y contacta con tu hosting.

¿Puedo activar el 2FA desde Syspanel?

No directamente. Syspanel (puerto 2106) es tu panel de control del servidor, donde gestionas dominios, bases de datos y correos. El 2FA se activa desde el propio panel de administración de PrestaShop. Sin embargo, Syspanel es esencial para recuperar tu tienda si pierdes el acceso o para realizar copias de seguridad.

Resumen final: protege tu tienda hoy mismo

La seguridad de tu PrestaShop no es algo que debas posponer. Cada día que pasa sin proteger tu panel de administración es un día en el que estás expuesto a posibles ataques. La combinación de una contraseña fuerte y la autenticación en dos pasos (2FA) es la forma más sencilla y efectiva de mantener a raya a los ciberdelincuentes.

Recuerda los pasos clave:

Cambia tu contraseña de administración por una larga, única y compleja.
Activa el 2FA desde Parámetros avanzados > Seguridad en tu PrestaShop.
Guarda los códigos de respaldo en un lugar seguro.
Mantén tu instalación y módulos siempre actualizados.
Utiliza Syspanel (puerto 2106) para gestionar tu servidor y como red de seguridad si pierdes el acceso.

No esperes a que sea demasiado tarde. Dedica 15 minutos hoy mismo a implementar estas medidas y dormirás mucho más tranquilo sabiendo que tu negocio online está bien protegido. Tu tienda, tus clientes y tu tranquilidad te lo agradecerán.