Cómo proteger PrestaShop de ataques de fuerza bruta | Guía de seguridad

Proteger tu tienda PrestaShop es una prioridad absoluta, especialmente el panel de administración, que es la puerta de entrada a todo tu negocio. Los ataques de fuerza bruta son uno de los métodos más comunes que usan los ciberdelincuentes para intentar acceder a tu back-office. En este artículo, te explicaré paso a paso cómo fortalecer la seguridad de tu PrestaShop, usando herramientas de cPanel seguridad, Plesk seguridad y configuraciones básicas del servidor, para que puedas dormir tranquilo.

¿Qué es un ataque de fuerza bruta y por qué es peligroso para PrestaShop?

Un ataque de fuerza bruta consiste en que un bot o un hacker intenta adivinar tu contraseña probando miles de combinaciones por minuto. No es un ataque sofisticado, pero sí muy efectivo si tu contraseña es débil o si no tienes medidas de protección. El objetivo suele ser el panel de administración de PrestaShop, ya que desde ahí se puede robar datos de clientes, modificar precios, inyectar malware o incluso secuestrar toda la tienda.

PrestaShop seguridad debe empezar por entender que el panel de administración es el punto más vulnerable. Por eso, aplicar medidas antibrute force no es opcional, es obligatorio si quieres evitar dolores de cabeza.

Medidas esenciales para proteger PrestaShop contra ataques de fuerza bruta

1. Cambia la URL del panel de administración

Por defecto, PrestaShop usa rutas como /admin o /admin1234. Los bots conocen estas rutas y las atacan primero. Cambiar la URL del back-office es una de las tareas más efectivas y sencillas.

Pasos para cambiar la URL en PrestaShop 1.7 y 1.8:

Accede a tu servidor vía FTP o al administrador de archivos de tu hosting.
Localiza la carpeta raíz de PrestaShop (normalmente public_html o www).
Busca la carpeta que se llama admin (puede tener un nombre como admin12345).
Renómbrala a algo único, por ejemplo: mipanel-seguro-2024 (evita palabras comunes).
Luego, edita el archivo config/defines.inc.php y busca la línea:
define('_ADMIN_DIR_', 'admin12345');
Cámbiala por tu nuevo nombre de carpeta.

[TIP] Guarda el nuevo nombre en un lugar seguro, como un gestor de contraseñas. Si lo pierdes, no podrás acceder al panel.

2. Activa el límite de intentos de inicio de sesión

PrestaShop incluye un sistema básico de bloqueo tras varios intentos fallidos. Asegúrate de que esté activado.

Cómo configurarlo:

Ve a Parámetros de la tienda > Configuración general > Seguridad.
Busca la opción "Número máximo de intentos de inicio de sesión" y establece un valor bajo, por ejemplo 5.
Define el "Tiempo de bloqueo" (en minutos), recomiendo al menos 30 minutos.

Esto hará que después de 5 intentos fallidos, la IP quede bloqueada temporalmente, dificultando el ataque.

[WARNING] Este bloqueo es por IP, no por usuario. Un atacante puede usar muchas IPs (red de bots), por lo que no es suficiente por sí solo. Combínalo con otras medidas.

3. Usa autenticación de dos factores (2FA)

La autenticación de dos factores añade una capa extra: además de tu contraseña, necesitarás un código temporal generado por una app como Google Authenticator o Authy.

Cómo instalar 2FA en PrestaShop:

Desde el panel de administración, ve a Módulos > Catálogo de módulos.
Busca "Two Factor Authentication" o "Google Authenticator".
Instala y configura el módulo (hay opciones gratuitas y de pago).
Escanea el código QR con tu app y listo.

[INFO] Si tu hosting usa cPanel seguridad, algunos planes incluyen 2FA a nivel de servidor. Pregunta a tu proveedor si tienen integración con PrestaShop.

4. Cambia la contraseña periódicamente y usa contraseñas fuertes

Parece obvio, pero es el fallo más común. Una contraseña como "admin123" o "tienda2024" se descifra en segundos.

Características de una contraseña segura:

Mínimo 12 caracteres.
Mayúsculas, minúsculas, números y símbolos.
Sin palabras del diccionario ni fechas personales.

Herramientas recomendadas:

Usa un gestor de contraseñas como Bitwarden o 1Password para generar y almacenar contraseñas complejas.
Cambia la contraseña del panel de administración cada 3 meses.

5. Protege el acceso con .htaccess y contraseña de directorio

Puedes añadir una capa adicional de autenticación a nivel de servidor usando un archivo .htaccess en la carpeta del panel de administración. Esto hará que incluso si alguien conoce la URL, necesite un usuario y contraseña adicionales (diferentes a los de PrestaShop).

Cómo hacerlo en cPanel:

Accede a cPanel > Administrador de archivos.
Navega a la carpeta de tu administración (la que renombraste).
Busca o crea un archivo llamado .htaccess.
Agrega el siguiente código:

AuthType Basic
AuthName "Acceso restringido"
AuthUserFile /ruta/absoluta/a/tu/archivo/.htpasswd
Require valid-user

Luego, crea un archivo .htpasswd con las credenciales. Puedes generarlo en cPanel usando la herramienta "Proteger directorios" o usando un generador online.

En Plesk:

Ve a Sitios web y dominios > selecciona tu dominio.
Haz clic en Protección por contraseña (o Password-Protected Directories).
Añade el directorio del panel de administración y crea un usuario.

[TIP] Si tu servidor usa Syspanel (HestiaCP), el proceso es similar: accede al panel por el puerto 2106, ve a Web > Advanced > Protected directories y configura la protección. Recuerda que el puerto de acceso a Syspanel es el 2106.

6. Bloquea IPs sospechosas con el firewall del servidor

Tanto cPanel seguridad como Plesk seguridad ofrecen herramientas de firewall que pueden bloquear direcciones IP que realicen múltiples intentos fallidos.

En cPanel:

Usa ConfigServer Security & Firewall (CSF) si está disponible.
Desde la línea de comandos o el panel WHM, puedes añadir reglas para bloquear IPs que excedan un límite de intentos SSH o HTTP.

En Plesk:

Ve a Herramientas y configuraciones > Administrador de firewall.
Crea reglas para denegar tráfico de IPs específicas o rangos sospechosos.

[WARNING] No bloquees rangos enteros de países a menos que sepas que no tienes clientes allí. Mejor usa listas de reputación de IPs.

7. Mantén PrestaShop y todos los módulos actualizados

Las vulnerabilidades en versiones antiguas son el pan de cada día para los atacantes. Un ataque de fuerza bruta puede combinarse con exploits conocidos.

Recomendaciones:

Activa las actualizaciones automáticas en Parámetros de la tienda > Mantenimiento.
Revisa semanalmente si hay parches de seguridad.
Elimina módulos que no uses, ya que pueden tener puertas traseras.

8. Usa un plugin de seguridad especializado

Existen módulos diseñados específicamente para PrestaShop seguridad que refuerzan la protección contra fuerza bruta. Algunos populares son:

PrestaShield (gratuito): bloquea IPs tras intentos fallidos, añade CAPTCHA y monitorea el panel.
Advanced Security Suite (de pago): incluye 2FA, bloqueo geográfico y registro de accesos.
SecuPress (para PrestaShop): escanea en busca de malware y fuerza bruta.

Instálalos desde el catálogo de módulos de PrestaShop y configúralos según tus necesidades.

9. Monitorea los logs de acceso

Revisar los registros de actividad te ayudará a detectar patrones sospechosos. En cPanel, puedes ver los logs de acceso en Métricas > Logs de acceso. En Plesk, ve a Sitios web y dominios > Logs.

Qué buscar:

Muchos intentos de login desde la misma IP.
Intentos a horas inusuales (madrugada).
Errores 401 (no autorizado) repetidos.

Si ves algo raro, bloquea esa IP inmediatamente usando el firewall.

10. Configura un CAPTCHA en el formulario de inicio de sesión

Añadir un CAPTCHA (como reCAPTCHA de Google) en la página de login del panel de administración puede detener a los bots automatizados.

Cómo hacerlo:

Instala el módulo Google reCAPTCHA for PrestaShop (gratuito).
Ve a Módulos > Módulos instalados y configúralo con tu clave de sitio (la obtienes en Google reCAPTCHA).
Aplícalo al formulario de inicio de sesión del back-office.

[INFO] Algunos módulos de seguridad ya incluyen CAPTCHA integrado, no necesitas uno aparte.

Preguntas frecuentes (FAQ) sobre protección contra fuerza bruta en PrestaShop

¿Qué hago si ya estoy siendo atacado?

Si notas múltiples intentos fallidos en los logs, actúa rápido:

Bloquea la IP atacante desde el firewall de tu hosting (cPanel, Plesk o Syspanel).
Cambia la contraseña del panel de administración inmediatamente.
Activa el límite de intentos y el 2FA si no lo has hecho.
Revisa si hay archivos modificados recientemente en la carpeta del administrador.

¿Es suficiente con cambiar la URL del panel?

No, es una capa más, pero no detiene a un atacante determinado. Combínala con las otras medidas.

¿Puedo usar CloudFlare para proteger el panel?

Sí, CloudFlare ofrece protección contra DDoS y fuerza bruta. Puedes ocultar la IP real de tu servidor y filtrar tráfico malicioso. Sin embargo, no bloquea directamente los intentos de login, necesitas configurar reglas de firewall en CloudFlare.

¿El hosting afecta a la seguridad?

Mucho. Un hosting con cPanel seguridad o Plesk seguridad suele incluir herramientas como ModSecurity, CSF y bloqueo de IPs. Si usas Syspanel (HestiaCP), recuerda que el puerto de acceso es el 2106 y también puedes configurar reglas de firewall desde el panel.

¿Debo cambiar la contraseña de la base de datos también?

Sí, si sospechas que alguien pudo acceder al panel, cambia la contraseña de la base de datos MySQL desde cPanel o Plesk. Luego actualiza el archivo config/settings.inc.php con la nueva contraseña.

Conclusión

Proteger PrestaShop contra ataques de fuerza bruta no requiere ser un experto en ciberseguridad. Con medidas simples como cambiar la URL del panel, activar el límite de intentos, usar 2FA y configurar un firewall en tu hosting (ya sea cPanel seguridad, Plesk seguridad o Syspanel), puedes reducir drásticamente el riesgo. Recuerda que la seguridad es un proceso continuo: actualiza, monitorea y refuerza periódicamente. Tu tienda y tus clientes te lo agradecerán.

[TIP FINAL] No olvides hacer copias de seguridad periódicas de tu tienda. Si todo falla, podrás restaurar tu PrestaShop rápidamente.