Checklist para proteger tu tienda WooCommerce/PrestaShop

La mayoría de los hackeos a tiendas online no ocurren por ataques sofisticados, sino por descuidos evitables: un plugin sin actualizar, una contraseña débil o un acceso que nadie recuerda haber creado. Esta guía es una checklist concreta para dueños de tienda que quieren dormir tranquilos, tanto si nunca te han entrado como si quieres asegurarte de que no vuelva a pasar. No necesitas ser técnico: repásala paso a paso.

Antes de empezar: la idea de fondo

Proteger una tienda no es una tarea que se hace una vez y se olvida. Los atacantes buscan constantemente huecos nuevos, y cada semana aparecen vulnerabilidades en plugins y módulos populares. La seguridad real es un hábito: pequeñas revisiones periódicas que, sumadas, cierran casi todas las puertas por las que suelen entrar. Ve marcando cada punto conforme lo compruebes.

1. Actualizaciones: tu primera línea de defensa

El software desactualizado es, con diferencia, la vía de entrada más común. Cuando un plugin o módulo tiene un fallo de seguridad, se publica un parche; hasta que no lo aplicas, tu tienda queda expuesta a algo que ya es de dominio público.

• Mantén actualizados el core de WordPress/WooCommerce o PrestaShop a la última versión estable.
• Actualiza todos los plugins, módulos y temas, no solo los que usas a diario.
• Elimina por completo lo que no uses: un plugin desactivado sigue siendo código vulnerable en tu servidor.
• Actualiza también PHP a una versión con soporte activo (pregunta a tu hosting si tienes dudas).
• Antes de cada actualización importante, haz una copia de seguridad (más abajo).

2. Contraseñas y doble factor (2FA)

• Usa contraseñas largas y únicas para cada servicio: administración, hosting, base de datos, correo y FTP.
• Apóyate en un gestor de contraseñas para no reutilizarlas ni apuntarlas en un post-it.
• Activa la verificación en dos pasos (2FA) en el panel de administración, en tu hosting y en tu correo.
• Cambia cualquier contraseña que hayas compartido por email o chat, o que lleve años igual.
• Evita usuarios genéricos como admin: son el primer objetivo de los ataques automatizados.

3. Usuarios y permisos

• Revisa la lista de usuarios administradores y elimina los que ya no correspondan (empleados que se fueron, agencias antiguas, desarrolladores puntuales).
• Da a cada persona solo los permisos que necesita: no todo el mundo debe ser administrador.
• Desconfía de cualquier usuario que no reconozcas: un administrador «fantasma» es una señal de alarma clásica.
• Cuando termine una colaboración externa, revoca sus accesos ese mismo día.

Si al revisar esto encuentras cosas raras, echa un vistazo a las señales de que tu tienda está hackeada.

4. Plugins y módulos: solo de fuentes fiables

• Instala plugins y módulos únicamente desde el repositorio oficial, el marketplace de PrestaShop o el sitio del desarrollador.
• Nunca uses versiones «nulled», «gratis» o crackeadas de extensiones de pago: son una de las formas más habituales de meter malware en casa con tus propias manos.
• Antes de instalar, comprueba que la extensión se actualiza con regularidad y tiene soporte activo.
• Reduce el número total de extensiones: cuantas menos tengas, menor es la superficie de ataque.

5. Copias de seguridad

Una buena copia no evita el hackeo, pero convierte una catástrofe en un mal rato. Es tu red de seguridad.

• Configura copias automáticas y periódicas de archivos y base de datos.
• Guarda al menos una copia fuera del propio servidor (otro proveedor o almacenamiento externo).
• Conserva varias versiones en el tiempo: si una infección pasa desapercibida unos días, necesitarás una copia anterior limpia.
• Prueba de vez en cuando que sabes restaurar una copia; una copia que no se puede restaurar no sirve de nada.

Si sospechas que ya estás infectado, aprende cómo hacer la copia correctamente antes de limpiar para no guardar el problema junto con la solución.

6. HTTPS, cabeceras y configuración del servidor

• Asegúrate de que toda la tienda va por HTTPS con un certificado válido, sin contenido mixto.
• Comprueba que existe una redirección de HTTP a HTTPS.
• Pide a tu hosting o técnico que active cabeceras de seguridad básicas (por ejemplo, HSTS y una política de contenidos).
• Protege archivos sensibles y paneles de administración, y desactiva la edición de código desde el propio panel.
• Revisa los permisos de archivos y carpetas para que no sean más abiertos de lo necesario.

7. Login: pon freno a los ataques por fuerza bruta

• Activa un límite de intentos de acceso para bloquear a quien prueba contraseñas una y otra vez.
• Considera cambiar la URL de acceso por defecto para reducir el ruido de bots.
• Añade un CAPTCHA o verificación en el formulario de login.
• Revisa periódicamente los registros de acceso en busca de intentos sospechosos.

8. Hosting decente y monitorización

• Elige un hosting con reputación en seguridad, copias propias y soporte que responda.
• Comprueba que el servidor tiene un firewall o WAF delante de la tienda.
• Activa monitorización que te avise de cambios inesperados en archivos, caídas o picos raros de tráfico.
• Ten localizados los contactos de tu hosting y de tu técnico para actuar rápido si algo falla.

9. Revisiones periódicas (el hábito que lo cambia todo)

• Semanal: confirma que las copias se están haciendo y aplica actualizaciones pendientes.
• Mensual: revisa usuarios y permisos, y echa un vistazo a los registros de acceso.
• Trimestral: repasa la lista de plugins/módulos y elimina lo que no uses.
• Apunta en un calendario estas tareas para que no dependan de la memoria.

En resumen

Ninguna medida por sí sola es infalible, pero la combinación de todas estas hace que tu tienda deje de ser un objetivo fácil. La clave no es hacerlo todo un día y olvidarse, sino mantener el hábito. Si quieres entender cómo encaja todo esto dentro de un proceso ordenado, puedes ver cómo funciona nuestro trabajo.

Y seamos sinceros: mantener a raya actualizaciones, parches, copias y monitorización cada semana es difícil de sostener cuando tienes una tienda que atender. Esa vigilancia continua es exactamente lo que hace la Guardia de Blindea: nos ocupamos de que todo lo de esta checklist esté siempre al día para que tú te dediques a vender. Y si crees que ya te han entrado, no esperes: mira nuestra ayuda para tiendas hackeadas.