El backoffice de PrestaShop es donde está todo: pedidos, datos de clientes, productos, precios y configuración. Protegerlo bien es obvio; hacerlo sin que trabajar en él se vuelva una carrera de obstáculos, no tanto. En velasdeolor.es el panel se usa desde un ordenador, desde el móvil y desde una tablet del almacén para preparar pedidos, así que en octubre de 2026 revisamos su seguridad buscando ese equilibrio. Estos son los cambios y el porqué de cada uno.
1. Cada persona, con los permisos justos
La tablet del almacén solo sirve para ver los pedidos y prepararlos. Así que la cuenta que se usa en ella tiene un perfil que solo puede ver pedidos y productos: sin acceso a los datos de clientes, sin atención al cliente y sin poder modificar productos. Si la tablet se pierde o alguien ve la pantalla, el daño posible es mínimo.
- Crea un perfil por función en Parámetros avanzados › Equipo, y ajusta sus permisos uno a uno.
- Una cuenta por persona, nunca compartida: es la única forma de saber quién hizo qué.
- Desactiva las cuentas que no se usan. En la revisión apareció una cuenta antigua que seguía activa sin motivo.
2. Doble factor donde más importa
En las cuentas de administración, el doble factor (un código de una aplicación del móvil además de la contraseña) es imprescindible: una contraseña filtrada deja de ser suficiente para entrar. En cuentas con permisos mínimos, como la de la tablet, es recomendable, aunque el riesgo es mucho menor. De cara a PrestaShop 9, estamos valorando qué módulo de doble factor usar para no depender de uno sin mantenimiento.
3. Contraseñas seguras, pero sin espantar a los clientes
PrestaShop 8 permite fijar una política de contraseñas para clientes y empleados: longitud mínima, longitud máxima y una puntuación mínima de robustez (de 0 a 4) que calcula según lo fácil que sería adivinarla. La tienda tenía una política muy laxa a propósito: la mayoría de los clientes no aceptaría contraseñas largas y complejas, y cada obstáculo al registrarse es una venta que puede perderse.
La subimos a un punto intermedio: mínimo de 8 caracteres, robustez 2 y máximo de 72. ¿Por qué 72? Porque el algoritmo con el que se guardan las contraseñas (bcrypt) solo tiene en cuenta los primeros 72 bytes: permitir más da una falsa sensación de seguridad.
Y para quien no quiere contraseñas, hay alternativas: el acceso con Google y con código por email quita fricción sin bajar la seguridad.
4. Token, sesiones y cambios de IP
- Protección por token: los enlaces del backoffice llevan un código que impide que otra web, o un enlace en un email, te haga ejecutar una acción en el panel sin que te des cuenta mientras tienes la sesión abierta. Estaba desactivada para evitar molestias y la volvimos a activar.
- Comprobación de la IP de la cookie: PrestaShop puede ligar la sesión del panel a tu IP. Suena bien, pero con redes móviles, CDN y conexiones que alternan IPv4 e IPv6, la IP cambia a menudo y te echa del panel cada dos por tres. La desactivamos y, a cambio, acortamos la duración de la sesión del panel de veinte días a una semana.
- Carpeta de administración con nombre propio: PrestaShop ya la renombra al instalarse. No la publiques ni la compartas por email.
5. Cuando el acceso falla por la red
Un problema curioso: al entrar al panel desde el móvil con la wifi de casa, a veces aparecía un recuadro vacío en lugar del panel. El envío de los datos de acceso se perdía porque el router había cerrado una conexión inactiva, y PrestaShop 8.1 escondía el error.
Lo resolvimos con un módulo propio muy pequeño que, solo en la pantalla de acceso, mantiene viva la conexión mientras se escribe, la «despierta» justo antes de enviar, reintenta el envío hasta dos veces si se pierde y, si aun así falla, muestra un mensaje claro. No modifica ningún archivo de PrestaShop: si se desactiva, el acceso vuelve a ser exactamente el de siempre.
Checklist para tu backoffice
- Revisa los perfiles y deja a cada uno solo lo que necesita.
- Desactiva las cuentas de empleados que no se usen.
- Activa el doble factor en las cuentas de administración.
- Fija una política de contraseñas razonable y ofrece alternativas sin contraseña a los clientes.
- Comprueba que la protección por token está activada.
- Ajusta la duración de la sesión a cómo trabajas.
- No compartas la dirección del panel.
Si quieres que revisemos la seguridad de tu tienda PrestaShop, contacta con nosotros. La parte del servidor la contamos en la auditoría de seguridad de la tienda en Hostinger.
