Checklist de seguridad para PrestaShop en 2026

La mayoría de tiendas hackeadas que vemos no fueron víctimas de un ataque sofisticado, sino de algo que llevaba meses sin actualizar o de una contraseña reutilizada. Esta es la lista que repasamos con nuestros clientes.

Software

• PrestaShop en una versión con soporte y con los parches de seguridad aplicados.
• PHP en una versión con soporte de seguridad.
• Módulos actualizados, especialmente los que exponen controladores públicos (pagos, importadores, formularios).
• Módulos que no usas: desinstalados y su carpeta borrada. Un módulo desactivado sigue teniendo sus ficheros accesibles.

Back office

• Carpeta de administración con nombre no evidente (PrestaShop la renombra al instalar; no la cambies a «admin»).
• Doble factor de autenticación para todos los empleados.
• Un usuario por persona, con el perfil mínimo que necesita. Nada de cuentas compartidas.
• Contraseñas largas y únicas, en un gestor de contraseñas.
• Bloqueo por intentos fallidos.

Servidor y ficheros

• HTTPS en todo el sitio.
• Permisos correctos: 755 carpetas, 644 ficheros; nada en 777.
• Ejecución de PHP bloqueada en las carpetas de subida (upload/, img/, download/).
• Sin ficheros de copia, volcados SQL ni ZIPs en la raíz pública.
• Modo depuración desactivado.

Copias

• Copias diarias de base de datos y ficheros, fuera del servidor.
• Al menos una restauración de prueba al año: una copia que no se ha probado no es una copia.

Vigilancia

• Aviso cuando cambian ficheros del núcleo o aparecen .php nuevos.
• Revisión periódica de empleados, claves de Webservice e integraciones activas.
• Cortafuegos de aplicación (WAF) y limitación de bots.

¿Quieres aplicarlo en tu tienda? En Rekire te ayudamos: intervención urgente en tu PrestaShop y soporte técnico PrestaShop por bonos de horas.