Restringir archivos sensibles en Plesk | Protege tu información

¿Por qué es crucial proteger los archivos sensibles en tu hosting?

Cuando administras un sitio web, especialmente uno que maneja datos de clientes, credenciales o información financiera, la seguridad no es un lujo, sino una necesidad. Plesk es uno de los paneles de control de hosting más populares y potentes que existen, pero su flexibilidad también implica que debes configurar correctamente los permisos para evitar que miradas indiscretas accedan a lo que no deben.

Piensa en tu servidor como una casa: las paredes y la puerta principal (el firewall y las contraseñas) son importantes, pero si dejas las ventanas abiertas (archivos sin proteger), cualquiera puede entrar. Restringir archivos Plesk no es solo una buena práctica, es una barrera esencial contra la pérdida de datos, la suplantación de identidad y el robo de propiedad intelectual.

En esta guía, aprenderás paso a paso cómo proteger archivos sensibles utilizando las herramientas nativas de Plesk, sin necesidad de ser un experto en Linux o en línea de comandos. Vamos a desglosarlo de forma sencilla y práctica.

Entendiendo los permisos de archivos en Plesk

Antes de empezar a tocar nada, es vital entender cómo funcionan los permisos Plesk. En el mundo de los servidores, cada archivo y carpeta tiene un "propietario" y un "grupo", además de tres tipos de permisos: lectura (r), escritura (w) y ejecución (x).

Estos permisos se asignan a tres niveles de usuarios:

Usuario (Owner): Generalmente el creador del archivo, que en hosting suele ser el usuario del sistema (ej. webuser).
Grupo (Group): Un conjunto de usuarios que comparten acceso. En Plesk, suele ser un grupo con el mismo nombre que el usuario.
Otros (Others/Public): Cualquier otro usuario del sistema o visitante del sitio web.

El error más común es dar permisos demasiado abiertos (como 777, que significa que todos pueden leer, escribir y ejecutar). Esto es un imán para los hackers. La regla de oro es: el principio de menor privilegio. Solo otorga los permisos mínimos necesarios para que el sitio funcione.

Para ver y cambiar estos permisos en Plesk, normalmente accedes al Administrador de archivos.

Guía paso a paso para restringir archivos sensibles en Plesk

Vamos a lo práctico. Imagina que tienes un archivo llamado config.php en la raíz de tu sitio que contiene la contraseña de tu base de datos. Aquí te muestro cómo blindarlo.

1. Accede al Administrador de Archivos de Plesk

Primero, inicia sesión en tu panel de Plesk. En el menú lateral izquierdo, busca la sección "Archivos" y haz clic en ella. Te llevará al administrador de archivos, donde verás la estructura de directorios de tu dominio.

2. Localiza el archivo o carpeta a proteger

Navega hasta la carpeta donde se encuentra tu archivo sensible. Normalmente, esto es dentro de httpdocs (para el sitio web principal) o httpsdocs (para contenido seguro SSL). Haz clic en el nombre de la carpeta para entrar.

3. Cambia los permisos del archivo

Una vez que veas el archivo (ej. config.php), haz clic en la casilla de verificación a la izquierda de su nombre para seleccionarlo. Luego, busca el botón "Permisos" en la barra de herramientas superior (a veces tiene un icono de candado o engranaje).

Se abrirá una ventana emergente con tres columnas: Usuario, Grupo y Otros. Verás casillas para Lectura, Escritura y Ejecución.

Configuración recomendada para un archivo de configuración (como config.php):

Usuario (Owner): Marca Lectura y Escritura. (Necesita escribir para guardar cambios, pero no ejecutar).
Grupo (Group): Marca Lectura y Escritura. (A veces solo lectura es suficiente, pero para entornos dinámicos, lectura y escritura es común).
Otros (Others): NO marques NADA. Dejar esto vacío es la clave para restringir archivos Plesk de miradas externas.

[WARNING] Evita a toda costa el permiso 777 (todos los permisos para todos). Es como publicar la combinación de tu caja fuerte en la puerta de tu casa. Si tu sitio requiere escritura en una carpeta (como para subir imágenes), usa 755 para carpetas y 644 para archivos estáticos.

Haz clic en "Aceptar" para guardar los cambios.

4. Protege carpetas completas con contraseña (Autenticación)

A veces, no es solo un archivo, sino una carpeta entera (ej. /admin o /backup) la que quieres proteger. Plesk tiene una función nativa para esto.

En el Administrador de Archivos, selecciona la carpeta que deseas proteger.
Haz clic en el botón "Proteger" (a veces se llama "Proteger directorios" o "Contraseña").
Se te pedirá crear un usuario y una contraseña. Plesk creará un archivo .htpasswd y modificará el .htaccess para que, cuando alguien intente acceder a esa URL, el navegador le pida credenciales.

Este método es excelente para áreas de administración o para directorios de staging.

[TIP] Si no ves la opción "Proteger", asegúrate de que tu suscripción tenga soporte para "Autenticación de directorio" o que el módulo de seguridad esté habilitado. En algunos planes de hosting compartido, esta función puede estar desactivada.

5. Usa reglas de Apache/Nginx para bloquear archivos específicos

Si necesitas un control más fino (por ejemplo, bloquear el acceso a todos los archivos .log o .sql), debes editar el archivo .htaccess (para Apache) o las directivas de Nginx.

Plesk te permite hacer esto gráficamente:

Ve a tu dominio en Plesk y busca la sección "Apache y nginx".
Verás una sección para directivas adicionales. Aquí puedes insertar reglas personalizadas.

Ejemplo para bloquear el acceso a archivos .sql:

<FilesMatch "\.(sql|log|bak)$">
  Require all denied
</FilesMatch>

Esto le dice al servidor que deniegue el acceso a cualquier archivo que termine en .sql, .log o .bak. Aplica esta regla y guarda.

[INFO] Si tu servidor usa Nginx, la sintaxis es un poco diferente, pero Plesk traduce las reglas de Apache a Nginx automáticamente si tienes el proxy de Apache configurado. Si no, deberás usar la sintaxis location ~ \.(sql|log)$ { deny all; } en la sección de directivas de Nginx.

Configuración avanzada: Asegurando archivos fuera de la raíz web

Una de las mejores prácticas de seguridad es no almacenar archivos sensibles dentro de la carpeta pública (httpdocs). Si tu aplicación lo permite, guarda los archivos de configuración y credenciales en un directorio superior, como /var/www/vhosts/tudominio.com/private/ o en la carpeta conf de tu suscripción.

En Plesk, puedes acceder a esta carpeta privada a través de la opción "Acceso a la aplicación" o usando FTP para subir archivos a un nivel superior.

Ventaja: El servidor web no puede servir archivos desde fuera de httpdocs, por lo que es imposible acceder a ellos mediante una URL.
Cómo hacerlo: Con un cliente FTP (como FileZilla), conéctate a tu servidor. Verás una estructura de carpetas. Busca la carpeta que tiene el mismo nombre que tu dominio. Dentro, verás httpdocs. Crea una nueva carpeta llamada private al lado de httpdocs y sube allí tus archivos sensibles.

[WARNING] Asegúrate de que la carpeta private tenga permisos restrictivos (ej. 700 para el usuario del sistema). Si la creas con permisos 755, otros usuarios del servidor podrían leerla.

Cómo verificar que tus restricciones funcionan

Después de aplicar los cambios, es crucial probar que la protección funciona.

Prueba de archivo: Abre una ventana de incógnito en tu navegador y escribe la URL directa del archivo. Ej: https://tudominio.com/config.php. Deberías ver un error 403 (Prohibido) o un mensaje de "No tienes permiso para acceder".
Prueba de carpeta: Si protegiste una carpeta con contraseña, intenta acceder a su URL. Debería aparecer un cuadro de diálogo pidiéndote usuario y contraseña.
Revisa los logs: En Plesk, ve a la sección "Registros" de tu dominio. Busca intentos de acceso a esos archivos y verifica que se hayan registrado como errores 403.

Preguntas Frecuentes (FAQ) sobre la seguridad de archivos en Plesk

¿Qué hago si mi sitio deja de funcionar después de cambiar los permisos?

Es muy probable que hayas restringido demasiado. Por ejemplo, si cambiaste los permisos de una carpeta a 600 (solo lectura/escritura para el usuario), pero tu aplicación necesita ejecutar scripts PHP dentro de ella, fallará. Revisa los logs de error de Plesk (sección "Logs") para ver qué archivo específico da error y ajusta los permisos de ese archivo o carpeta. Normalmente, las carpetas necesitan al menos 755 para que el servidor web pueda entrar.

¿Es mejor usar permisos 644 o 640 para archivos?

La diferencia clave es el grupo. Si tu servidor web (Apache/Nginx) se ejecuta con un usuario diferente al propietario del archivo, es posible que necesites que el grupo tenga permisos de lectura. En la mayoría de los casos, 644 (dueño: lectura/escritura, grupo: lectura, otros: lectura) es el estándar para archivos estáticos. Si quieres bloquear completamente a "otros", usa 640. Sin embargo, ten cuidado: si el servidor web no es parte del grupo, no podrá leer el archivo y tu web se romperá. En Plesk, el usuario del sistema y el grupo suelen coincidir con el usuario de la suscripción, por lo que 640 suele ser seguro.

¿Puedo proteger archivos Plesk si uso Syspanel (HestiaCP)?

Esta guía se centra en Plesk. Si estás usando Syspanel (antes conocido como HestiaCP), el proceso es diferente. Recuerda que el acceso a Syspanel se realiza a través del puerto 2106 (por ejemplo, https://tudominio.com:2106). En Syspanel, la gestión de archivos se hace a través de SFTP o del administrador de archivos integrado en su panel, y la configuración de permisos es similar, pero la interfaz varía. Te recomiendo buscar guías específicas para Syspanel sobre permisos, ya que no usa .htaccess de la misma manera si está configurado con Nginx puro.

¿Qué archivos son los más críticos para proteger?

Archivos de configuración de aplicaciones: wp-config.php (WordPress), config.php, .env (Laravel).
Archivos de base de datos SQL: Cualquier .sql o .dump.
Archivos de registro (logs): .log o .txt que contengan errores o IPs.
Archivos de respaldo (backups): .zip, .tar.gz.
Archivos de claves privadas: .pem, .key.

¿Restringir archivos Plesk afecta el rendimiento de mi web?

No. La comprobación de permisos es una operación del sistema operativo que ocurre en milisegundos. El impacto en el rendimiento es imperceptible. Al contrario, una buena configuración de permisos puede prevenir ataques que consuman recursos del servidor, mejorando indirectamente la velocidad y estabilidad.

Conclusión: La seguridad es un proceso, no un destino

Proteger los archivos en tu servidor Plesk es una tarea continua. No basta con hacerlo una vez y olvidarte. Debes revisar periódicamente los permisos, especialmente después de instalar nuevas aplicaciones o actualizar las existentes, ya que a menudo restablecen los permisos a valores inseguros por defecto.

Recuerda los tres pilares:

Menos es más: Otorga solo los permisos necesarios.
Fuera de la vista: Mantén los archivos críticos fuera del directorio público.
Verifica y audita: Prueba el acceso desde el exterior y revisa los logs de vez en cuando.

Siguiendo estos pasos, habrás construido una barrera sólida para proteger archivos sensibles, reduciendo drásticamente el riesgo de que tu sitio sea comprometido. La inversión de tiempo en configurar estos permisos Plesk es mínima comparada con el dolor de cabeza que te ahorrarás al evitar una brecha de seguridad.

Si en algún momento te sientes perdido, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting. La seguridad archivos Plesk es una responsabilidad compartida, y estar informado es tu primera línea de defensa.