# Seguridad PrestaShop: los módulos, los overrides y el pago. > Seguridad PrestaShop 8 y 9: lista de comprobación (carpeta admin, _PS_MODE_DEV_, permisos, empleados) y auditoría de módulos con un conector de solo lectura. URL: https://webintacta.com/seguridad-prestashop Última actualización: 2026-10-17 **En resumen:** La mayoría de intrusiones en PrestaShop entran por un módulo de terceros con un fallo publicado, no por el núcleo. En WebIntacta (Jose Soriano, desarrollador PrestaShop) cruzo cada módulo de tu tienda con los avisos publicados y reviso overrides, núcleo y pago con un conector de solo lectura, sin pedirte FTP. El análisis externo es gratis y el informe para tiendas cuesta 169 €, IVA no incluido. La mayoría de las intrusiones en PrestaShop entran por un módulo de terceros con un fallo publicado, no por el núcleo. Cada módulo que no se actualiza es una puerta. Los reviso uno a uno contra los avisos publicados. ## Lo que reviso en un PrestaShop - Versión del núcleo y de cada módulo, activos y desactivados, contra los avisos de seguridad publicados - Overrides (`override/`) y su origen: módulo, desarrollador o desconocido - Archivos del núcleo que no coinciden con los originales de tu versión - Modo depuración (`_PS_MODE_DEV_`), carpeta de administración y empleados con acceso - Scripts en el checkout y en la configuración (posibles skimmers) - Copias, exportaciones y registros accesibles desde internet ## Cómo lo hago 1. **Análisis externo gratuito.** Plataforma, versión, módulos visibles, archivos expuestos, cabeceras y reputación. 2. **Conector de solo lectura.** Un módulo que se instala desde el back-office, sin FTP, y que me deja ver el inventario completo y la integridad de cada archivo. 3. **Informe y plan.** PDF con nota, prioridades y la acción concreta para cada módulo: actualizar, parchear o sustituir. ## Seguridad PrestaShop 8 y 9: lista de comprobación Lo que reviso primero en una tienda PrestaShop 8 o 9, y lo que puedes comprobar tú desde el back-office o el gestor de archivos del hosting. Casi todo vale también para 1.7: 1. **Carpeta de administración con nombre propio.** El instalador la renombra con caracteres aleatorios; si la tuya se llama `admin`, `admin1` o como la tienda, renómbrala a algo que no se adivine y vacía la caché (`var/cache/`). No sustituye a una buena contraseña, pero quita de en medio los ataques automáticos. 2. **La carpeta `install/` no debe existir.** PrestaShop pide borrarla al acabar la instalación; si sigue ahí (o hay un `install.zip` o una copia), bórrala. 3. **Modo depuración apagado.** `_PS_MODE_DEV_` debe estar en `false` en `config/defines.inc.php` (o «Modo depuración: No» en Parámetros avanzados → Rendimiento). Encendido, enseña rutas y errores a cualquier visitante. 4. **Permisos sin 777.** Archivos en 644 y carpetas en 755 es la referencia habitual; solo deben poder escribirse las carpetas que PrestaShop necesita (caché, imágenes, subidas). Un 777 deja que cualquier proceso del servidor modifique tu código. 5. **`app/config/parameters.php` a salvo.** Guarda la contraseña de la base de datos y las claves de las cookies: no puede descargarse desde internet ni haber copias como `parameters.php.bak` u `.old` en el servidor. 6. **Un empleado por persona y con el perfil justo.** Borra los de quien ya no trabaja contigo y no compartas la cuenta de SuperAdmin. 7. **Cookie del back-office.** En Parámetros avanzados → Administración, activa la comprobación de la IP de la cookie y acorta su duración (por defecto, 480 horas). 8. **Módulos que no usas, desinstalados y borrados.** Desactivar no basta: el código de un módulo desactivado sigue en el servidor y puede ser accesible por URL. 9. **Overrides con origen conocido.** Cada archivo de `override/` debería venir de un módulo o de tu desarrollador; uno que nadie sabe explicar es lo primero que miro. 10. **PHP con soporte.** PrestaShop 8 funciona hasta PHP 8.1, que ya no recibe parches de seguridad; PrestaShop 9 admite de PHP 8.1 a 8.4 (9.0) o a 8.5 (9.1). Si tu tienda está en 8, planifica el salto. ## Módulos con fallos publicados Es la entrada más habitual. PrestaShop publica los avisos del núcleo en su repositorio de GitHub y la asociación Friends of Presta mantiene una lista de módulos de terceros vulnerables. Cruzo tu inventario con esas fuentes, módulo a módulo y versión a versión, también los desactivados. Si quieres comprobar los tuyos, lo explico en la [guía de módulos de PrestaShop vulnerables](https://webintacta.com/guias/modulos-prestashop-vulnerables). Si la tienda ya muestra síntomas, ve directo a [PrestaShop hackeado](https://webintacta.com/prestashop-hackeado). ## Actualizar PrestaShop también es seguridad Una tienda en 1.6 ya no recibe parches, y una 1.7 antigua arrastra fallos corregidos hace tiempo. Actualizar no es solo pulsar un botón: hay que revisar módulos, overrides y tema antes, en una copia. Cómo planificarlo sin romper el carrito, en la [guía para actualizar PrestaShop](https://webintacta.com/guias/actualizar-prestashop). ## Precio El informe para tiendas incluye la revisión del pago. Se descuenta si contratas limpieza o mantenimiento en 30 días. ### Análisis externo — Gratis Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro. - Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…) - Módulos y plugins visibles con fallos publicados - Archivos que no deberían verse (copias, .git, configuraciones) - HTTPS, certificado y cabeceras de seguridad - Correo del dominio (SPF, DKIM, DMARC) y listas negras - Preparación para agentes de IA (puntuación aparte) ### Informe de seguridad · tienda online — 169 € (IVA no incluido) Lo mismo que el informe web, más la revisión del pago y de los módulos de la tienda. 169 US$ en Latinoamérica. - Todo lo del informe para webs corporativas - Skimmers: scripts que copian tarjetas en el checkout - Overrides y módulos de pago modificados - Base de datos: scripts inyectados en contenidos y configuración > Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días. ### Mantenimiento · Tienda online — 69 €/mes (IVA no incluido) PrestaShop o WooCommerce: lo de la web corporativa y la vigilancia del pago. 59 US$/mes en Latinoamérica. - Todo lo del plan Web corporativa - Análisis diario y control de integridad de archivos con el conector - Revisión de módulos antes de actualizar (en copia de pruebas cuando se puede) - Prueba de compra mensual - 1 hora de trabajo técnico al mes - Limpieza incluida si se infecta (desde el 3.er mes de alta) > Sin permanencia. Pago anual: 10 meses. **+ Plus urgencia: +25 €/mes** (+19 US$/mes en Latinoamérica). Tus incidencias pasan delante de la cola de trabajo y, si te hackean, la limpieza va con prioridad sin pagar más. ### Informe + puesta a punto — 299 € (IVA no incluido) El informe de seguridad y la corrección de lo urgente (hasta 3 horas). 299 US$ en Latinoamérica. - Informe de seguridad completo - Corrección de los hallazgos urgentes, hasta 3 horas de trabajo - Nuevo análisis para comprobarlo > Tienda online: 389 € (389 US$ en Latinoamérica). Para tiendas PrestaShop en Latinoamérica: el informe cuesta 169 US$ y el mantenimiento Tienda online 59 US$/mes. ## Preguntas frecuentes ### ¿Dónde se publican los fallos de los módulos de PrestaShop? PrestaShop publica los avisos del núcleo en su repositorio de GitHub, y Friends of Presta mantiene una lista de módulos de terceros vulnerables. Cruzo tu inventario con ambas fuentes y con otras bases de vulnerabilidades. ### ¿Puedo actualizar los módulos yo mismo? Sí, y debes. Pero en tiendas con overrides o plantillas modificadas, actualizar sin probar puede romper el carrito. En el mantenimiento lo pruebo antes en una copia cuando es posible. ### ¿El conector afecta al rendimiento de la tienda? No. Solo trabaja cuando yo se lo pido desde el panel con una petición firmada, y no se ejecuta en las visitas de tus clientes. ### Mi tienda está en PrestaShop 1.6, ¿tiene sentido? Sí: es justo el caso con más riesgo, porque la versión ya no recibe parches. El informe te dice qué hay que proteger ya y qué implica migrar. Contratar o preguntar: https://webintacta.com/soporte