Cómo proteger PrestaShop de ataques de fuerza bruta en DirectAdmin | Guía

Proteger tu tienda PrestaShop es una tarea fundamental para cualquier negocio online. Los ataques de fuerza bruta son una de las amenazas más comunes y persistentes, y si tienes tu tienda alojada en un servidor con DirectAdmin, es crucial que tomes medidas específicas para evitarlos. En este artículo, te guiaremos paso a paso, con un lenguaje claro y sencillo, para que puedas blindar tu PrestaShop sin necesidad de ser un experto en seguridad.

¿Qué es un ataque de fuerza bruta y por qué es peligroso para PrestaShop?

Un ataque de fuerza bruta es como si alguien intentara abrir la puerta de tu tienda probando miles de llaves diferentes hasta encontrar la correcta. En el contexto de PrestaShop, los atacantes intentan adivinar tus credenciales de administrador (usuario y contraseña) mediante programas automatizados. Si tienen éxito, pueden tomar el control total de tu tienda: robar datos de clientes, modificar productos, inyectar malware o incluso borrar toda tu base de datos.

Los ataques de fuerza bruta son especialmente peligrosos porque:

Son fáciles de lanzar (cualquier script kiddie puede hacerlo).
No requieren vulnerabilidades complejas, solo contraseñas débiles.
Pueden saturar tu servidor, ralentizando o bloqueando tu tienda.
A menudo pasan desapercibidos hasta que es demasiado tarde.

Primer paso: Fortalece el acceso a DirectAdmin

Antes de proteger PrestaShop, debes asegurar el panel de control de tu servidor: DirectAdmin. Si un atacante logra acceder a DirectAdmin, puede manipular todos los sitios web alojados, incluyendo tu PrestaShop.

Cambia el puerto por defecto de DirectAdmin

Por defecto, DirectAdmin usa el puerto 2222. Los atacantes lo saben y lo atacan constantemente. Cambiarlo a un puerto no estándar reduce drásticamente los intentos de acceso no autorizado.

Accede a tu servidor vía SSH (si no sabes cómo, pide ayuda a tu proveedor de hosting).
Edita el archivo de configuración: /usr/local/directadmin/conf/directadmin.conf.
Busca la línea port=2222 y cámbiala a un número entre 1024 y 65535, por ejemplo: port=3456.
Guarda el archivo y reinicia DirectAdmin con el comando: service directadmin restart.

[TIP]: Elige un puerto que no sea obvio, como 8080 o 8888. Mejor usa un número aleatorio como 12345.

Activa la autenticación de dos factores (2FA) en DirectAdmin

La 2FA añade una capa extra de seguridad: incluso si alguien obtiene tu contraseña, necesitará un código temporal de tu teléfono para entrar.

Inicia sesión en DirectAdmin.
Ve a "Account Manager" > "Two-Factor Authentication".
Escanea el código QR con una app como Google Authenticator o Authy.
Introduce el código de verificación y confirma.

[WARNING]: Guarda los códigos de respaldo en un lugar seguro. Si pierdes el acceso a tu teléfono, podrías quedar bloqueado.

Segundo paso: Protege el acceso a PrestaShop

Ahora que DirectAdmin está más seguro, centrémonos en la tienda. El panel de administración de PrestaShop (normalmente /admin1234 o similar) es el objetivo principal de los ataques de fuerza bruta.

Cambia la URL del panel de administración

Por defecto, la carpeta de administración de PrestaShop se llama algo como admin o admin1234. Los atacantes escanean estas rutas conocidas. Renombrarla es sencillo y muy efectivo.

Accede a tu servidor mediante FTP o el administrador de archivos de DirectAdmin.
Ve a la carpeta raíz de tu PrestaShop (normalmente public_html o domains/tudominio.com/public_html).
Localiza la carpeta de administración (ej. admin1234).
Cámbiale el nombre a algo único, por ejemplo: admin-tienda-segura-2024.
Abre el archivo config/defines.inc.php y busca la línea define('_ADMIN_DIR_', 'admin1234');. Cámbiala por el nuevo nombre.
Guarda los cambios.

[INFO]: Asegúrate de actualizar tus marcadores y accesos directos. Nadie más sabrá la nueva ruta.

Instala un plugin de seguridad para PrestaShop

Existen módulos específicos que bloquean automáticamente los intentos de fuerza bruta. Algunos de los más recomendados (gratuitos y de pago) son:

PrestaShop Security by CleanTalk: Bloquea IPs maliciosas en tiempo real.
Login Protection: Limita los intentos de inicio de sesión fallidos.
IP Blocker: Te permite crear listas blancas y negras de direcciones IP.

Cómo instalar un módulo de seguridad:

Desde el panel de administración de PrestaShop, ve a "Módulos" > "Catálogo de módulos".
Busca "seguridad" o "fuerza bruta".
Instala y configura el módulo de tu elección. Normalmente te pedirá:
- Número máximo de intentos fallidos (ej. 5).
- Tiempo de bloqueo (ej. 15 minutos).
- Notificaciones por email cuando se detecte un ataque.

Limita los intentos de inicio de sesión manualmente

Si prefieres no usar un módulo, puedes modificar el código de PrestaShop para limitar los intentos. Sin embargo, esto requiere conocimientos técnicos básicos.

Edita el archivo /controllers/admin/AdminLoginController.php.
Busca la función processLogin().
Añade un contador de intentos fallidos usando sesiones o la base de datos.
Si se superan los intentos, bloquea la IP durante un tiempo.

[WARNING]: Si no te sientes cómodo editando código, mejor usa un módulo. Un error podría dejar tu tienda inaccesible.

Tercer paso: Configura el firewall y las reglas del servidor

DirectAdmin permite integrar herramientas de seguridad a nivel de servidor, como CSF (ConfigServer Security & Firewall). Esto es clave para detener ataques antes de que lleguen a PrestaShop.

Instala y configura CSF (ConfigServer Security & Firewall)

CSF es un firewall que bloquea IPs maliciosas y previene ataques de fuerza bruta en tiempo real.

Accede a tu servidor vía SSH.

Ejecuta los comandos para instalar CSF (pide a tu proveedor si no tienes acceso root):

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Una vez instalado, edita el archivo de configuración: /etc/csf/csf.conf.
Busca la sección # Login failure detection y ajusta los valores:
- LF_SSHD = 5 (bloquea IP tras 5 intentos fallidos de SSH).
- LF_FTPD = 5 (bloquea IP tras 5 intentos fallidos de FTP).
- LF_CPANEL = 5 (bloquea IP tras 5 intentos fallidos en DirectAdmin).

Para proteger PrestaShop, añade una regla personalizada. Busca la línea CUSTOM1_LOG y descoméntala. Luego, en CUSTOM1 añade:

CUSTOM1 = "/var/log/httpd/domains/*.log"
CUSTOM1_LOG = "/var/log/httpd/domains/*.log"
CUSTOM1_TRIGGER = "admin" (o la nueva ruta de tu panel)

Guarda y reinicia CSF: csf -r.

[TIP]: CSF también tiene una interfaz en DirectAdmin. Ve a "Plugins" > "ConfigServer Security & Firewall" para gestionarlo gráficamente.

Usa el bloqueo de IPs en DirectAdmin

DirectAdmin incluye una herramienta sencilla para bloquear IPs manualmente.

Inicia sesión en DirectAdmin.
Ve a "Account Manager" > "IP Blocker".
Introduce las IPs que quieras bloquear (puedes obtenerlas de los logs de acceso).
También puedes activar la opción "Block IPs after X failed login attempts".

Cuarto paso: Supervisa y analiza los logs

La prevención es clave, pero también necesitas saber si alguien está intentando atacar tu tienda. Revisar los logs te ayudará a detectar patrones y actuar a tiempo.

Revisa los logs de acceso de Apache

Los logs de tu servidor registran cada intento de acceso. Puedes encontrarlos en DirectAdmin:

Ve a "Advanced Features" > "Log Viewer".
Selecciona el dominio de tu PrestaShop.
Busca patrones como:
- Múltiples intentos a la carpeta de administración.
- Solicitudes con diferentes contraseñas desde la misma IP.
- Códigos de error 401 (no autorizado) repetidos.

[INFO]: Si ves muchas IPs chinas o rusas atacando, puedes bloquear rangos completos en CSF.

Configura alertas por email

Tanto CSF como los módulos de PrestaShop pueden enviarte un email cuando detecten actividad sospechosa. Asegúrate de:

En CSF, activa LF_ALERT_TO = "tu-email@dominio.com".
En tu módulo de seguridad de PrestaShop, configura las notificaciones.

Quinto paso: Buenas prácticas adicionales de seguridad

Más allá de las herramientas técnicas, hay hábitos que refuerzan la seguridad de tu PrestaShop.

Usa contraseñas robustas y únicas

Para el administrador de PrestaShop: mínimo 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos.
Para DirectAdmin: igual de fuerte. No reutilices la misma contraseña en otros servicios.
Usa un gestor de contraseñas como Bitwarden o 1Password.

Mantén todo actualizado

PrestaShop: actualiza a la última versión estable. Las versiones antiguas tienen vulnerabilidades conocidas.
Módulos y temas: elimina los que no uses y actualiza los activos.
DirectAdmin: el panel se actualiza automáticamente, pero verifica que tu servidor esté al día.

Activa el SSL/TLS en tu tienda

Un certificado SSL no solo protege la comunicación, sino que también previene ataques de intermediarios. En DirectAdmin:

Ve a "SSL Certificates".
Solicita un certificado Let's Encrypt (gratuito) o sube uno de pago.
Asegúrate de que todo el tráfico se redirija a HTTPS.

Preguntas frecuentes (FAQ)

¿Qué hago si ya estoy siendo atacado?

Bloquea la IP atacante inmediatamente desde DirectAdmin (IP Blocker) o CSF.
Cambia todas las contraseñas (DirectAdmin, PrestaShop, FTP, base de datos).
Revisa los logs para ver si el atacante logró acceder.
Si tienes dudas, contacta a tu proveedor de hosting.

¿Los ataques de fuerza bruta dañan mi servidor?

No directamente, pero pueden consumir recursos (CPU, RAM) y ralentizar tu tienda. Si el ataque es masivo, podría provocar una denegación de servicio (DoS).

¿Puedo usar Syspanel en lugar de DirectAdmin?

Si tu hosting usa Syspanel (antes conocido como HestiaCP), el proceso es similar. El puerto de acceso a Syspanel es el 2106. Las reglas de seguridad (cambiar puertos, usar 2FA, instalar CSF) aplican igual.

¿Es necesario instalar un módulo de seguridad si ya tengo CSF?

CSF protege a nivel de servidor, pero un módulo de PrestaShop añade una capa específica para la aplicación. Ambos se complementan.

Conclusión

Proteger tu PrestaShop contra ataques de fuerza bruta en DirectAdmin no es complicado si sigues estos pasos. Empieza por asegurar el panel de control, luego fortalece el acceso a tu tienda, configura un firewall y mantén buenas prácticas. Recuerda que la seguridad es un proceso continuo: revisa periódicamente los logs, actualiza todo y mantente alerta.

Si tienes dudas o necesitas ayuda, no dudes en contactar a tu proveedor de hosting. ¡Tu tienda y tus clientes te lo agradecerán!