Autenticación en dos factores en PrestaShop: que una contraseña robada no abra tu back office

Si te preocupa que una contraseña de administrador robada abra el back office de tu tienda, haz dos cosas: mantén PrestaShop en la última versión y añade la autenticación en dos factores (2FA). Con la 2FA, para entrar hace falta también un código de un solo uso que genera el móvil de cada empleado. Actualizar cierra los fallos conocidos. La 2FA hace que una contraseña filtrada no baste.

Siempre aparecerán vulnerabilidades, y la IA acelera el ritmo

Todo software tiene fallos. Se van descubriendo y se corrigen en versiones nuevas. PrestaShop 9.2 salió el 30 de septiembre de 2026. Unas semanas antes, PrestaShop 9.1.5 corrigió cinco vulnerabilidades comunicadas mediante divulgación coordinada. La 8.2.8, publicada a la vez, también las corrige.

Una de ellas era una inyección SQL en los filtros de los listados del back office. La descubrió Claude (Anthropic), dentro del programa de divulgación coordinada de vulnerabilidades de Anthropic, y Doyensec la verificó y la comunicó. Es decir, la IA ya encuentra fallos reales.

Según el informe DBIR 2026 de Verizon, la explotación de vulnerabilidades ya es la vía de entrada más común. Por primera vez en los 19 años del informe, supera al robo de credenciales. Verizon atribuye al fuerte aumento de vulnerabilidades que el parcheo vaya a peor. Y se espera que el uso de IA para descubrirlas, tanto por investigadores como por atacantes, añada todavía más carga. Ojo: sus datos son anteriores a la «explosión» de la investigación asistida por IA.

Qué hace PrestaShop de serie con el acceso al back office

De serie, PrestaShop solo pide una contraseña para entrar al back office. Y una contraseña se puede pescar con phishing, adivinar o reutilizar desde otra web que sufrió una brecha. Verizon señala que las credenciales robadas se empaquetan y las venden intermediarios de acceso inicial. También advierte de que el pretexting (inventar un escenario para que la víctima entregue información o acceso) es cada vez más común como vía de entrada de ransomware y extorsión. La CISA lo resume así: quien activa la autenticación multifactor tiene bastantes menos probabilidades de que le hackeen.

Cómo activar la autenticación en dos factores con nuestro módulo

Para añadir ese segundo factor tenemos nuestro módulo de autenticación en dos factores para el acceso al back office. Después de la contraseña, cada empleado escribe un código de 6 dígitos que genera su móvil. Es compatible con tu PrestaShop. No usa servicios externos, ni suscripción, ni clave de API: los códigos se comprueban en tu propio servidor.

Solo necesitas dos cosas. La primera, una aplicación TOTP (RFC 6238) en el móvil de cada empleado, como Google Authenticator, Authy, 2FAS o Microsoft Authenticator. La segunda, que tu servidor ofrezca una fuente segura de aleatoriedad. Si no la hay, el módulo te lo indica.

1. Abre la configuración. Ve a Módulos > Gestor de módulos > Autenticación de dos factores (2FA) para el inicio de sesión del back office > Configurar.
2. Crea tu clave. En «Gestión de 2FA de empleados», busca tu fila y pulsa «Generar clave 2FA». Escanea el código QR con tu aplicación y escribe el código de 6 dígitos.
3. Guarda tu código de recuperación. Es personal, de un solo uso y tiene el formato XXXX-XXXX-XXXX. Te sirve si pierdes el móvil.
4. Exígela a todo el equipo. En «Ajustes globales», activa «Forzar 2FA para todos los empleados» cuando al menos un administrador tenga ya su clave. Quien no la tenga pasará por un alta guiada en su siguiente acceso.
5. Ajusta frecuencia y avisos. Si quieres, añade «Direcciones IP exentas de 2FA». En «Pedir un nuevo código», elige si se pide en cada acceso o cada 1, 4, 8 o 24 horas, cada semana, cada 15 días o cada mes. Y activa, según lo que necesites, «Recordar dispositivos de confianza», «Correo al detectar una nueva conexión» o «Correo por intentos fallidos».
6. Revisa los accesos. Los tienes en la pestaña «Registro de actividad».

Lo que incluye el módulo

Antes de la campaña de noviembre, cierra los accesos

¿Vas a sumar personal en noviembre o a dar acceso a una agencia? Activa «Forzar 2FA para todos los empleados» antes de que empiecen. Así, cada cuenta nueva configurará su clave en su primer acceso. Activa también el correo por intentos fallidos: te enterarás sin tener que abrir el back office. Tus clientes no notarán nada, porque solo se protege el acceso de los empleados.

Preguntas frecuentes