Seguridad PrestaShop: los módulos, los overrides y el pago.

Lo que reviso primero en una tienda PrestaShop 8 o 9, y lo que puedes comprobar tú desde el back-office o el gestor de archivos del hosting. Casi todo vale también para 1.7:

1. Carpeta de administración con nombre propio. El instalador la renombra con caracteres aleatorios; si la tuya se llama admin, admin1 o como la tienda, renómbrala a algo que no se adivine y vacía la caché (var/cache/). No sustituye a una buena contraseña, pero quita de en medio los ataques automáticos.
2. La carpeta install/ no debe existir. PrestaShop pide borrarla al acabar la instalación; si sigue ahí (o hay un install.zip o una copia), bórrala.
3. Modo depuración apagado. _PS_MODE_DEV_ debe estar en false en config/defines.inc.php (o «Modo depuración: No» en Parámetros avanzados → Rendimiento). Encendido, enseña rutas y errores a cualquier visitante.
4. Permisos sin 777. Archivos en 644 y carpetas en 755 es la referencia habitual; solo deben poder escribirse las carpetas que PrestaShop necesita (caché, imágenes, subidas). Un 777 deja que cualquier proceso del servidor modifique tu código.
5. app/config/parameters.php a salvo. Guarda la contraseña de la base de datos y las claves de las cookies: no puede descargarse desde internet ni haber copias como parameters.php.bak u .old en el servidor.
6. Un empleado por persona y con el perfil justo. Borra los de quien ya no trabaja contigo y no compartas la cuenta de SuperAdmin.
7. Cookie del back-office. En Parámetros avanzados → Administración, activa la comprobación de la IP de la cookie y acorta su duración (por defecto, 480 horas).
8. Módulos que no usas, desinstalados y borrados. Desactivar no basta: el código de un módulo desactivado sigue en el servidor y puede ser accesible por URL.
9. Overrides con origen conocido. Cada archivo de override/ debería venir de un módulo o de tu desarrollador; uno que nadie sabe explicar es lo primero que miro.
10. PHP con soporte. PrestaShop 8 funciona hasta PHP 8.1, que ya no recibe parches de seguridad; PrestaShop 9 admite de PHP 8.1 a 8.4 (9.0) o a 8.5 (9.1). Si tu tienda está en 8, planifica el salto.

Módulos con fallos publicados

Es la entrada más habitual. PrestaShop publica los avisos del núcleo en su repositorio de GitHub y la asociación Friends of Presta mantiene una lista de módulos de terceros vulnerables. Cruzo tu inventario con esas fuentes, módulo a módulo y versión a versión, también los desactivados. Si quieres comprobar los tuyos, lo explico en la guía de módulos de PrestaShop vulnerables. Si la tienda ya muestra síntomas, ve directo a PrestaShop hackeado.

Actualizar PrestaShop también es seguridad

Una tienda en 1.6 ya no recibe parches, y una 1.7 antigua arrastra fallos corregidos hace tiempo. Actualizar no es solo pulsar un botón: hay que revisar módulos, overrides y tema antes, en una copia. Cómo planificarlo sin romper el carrito, en la guía para actualizar PrestaShop.