50
cPanel es uno de los paneles de control de alojamiento web más utilizados, ya que ofrece una interfaz práctica para gestionar sitios web, dominios, bases de datos, cuentas de correo electrónico, copias de seguridad, archivos y otros recursos de alojamiento. Dado que se puede acceder a tantas funciones críticas desde un único lugar, la seguridad de cPanel desempeña un papel importante a la hora de proteger tanto tus sitios web como el entorno de alojamiento subyacente.
Tanto si gestionas un solo sitio web como varios, una cuenta de cPanel comprometida puede dejar al descubierto datos confidenciales, archivos del sitio web, bases de datos, cuentas de correo electrónico y ajustes de configuración. Las contraseñas débiles, las conexiones inseguras, el software obsoleto y los controles de acceso insuficientes pueden aumentar el riesgo de acceso no autorizado y de sufrir ataques habituales al alojamiento web.
Por lo tanto, mejorar la seguridad del alojamiento con cPanel requiere un enfoque por capas. Comienza por proteger el acceso al panel de control y continúa con una autenticación sólida, actualizaciones periódicas, permisos de cuenta adecuados, copias de seguridad, protección contra malware y una configuración segura del servidor.
A continuación se presentan algunas de las mejores prácticas de seguridad de cPanel más importantes para 2026 que pueden ayudar a reducir el riesgo y reforzar la seguridad de tu entorno de alojamiento. Algunas de estas medidas se aplican a cualquier cuenta de cPanel, mientras que otras (como las reglas de cortafuegos, cPHulk, Security Advisor, el refuerzo de SSH y las actualizaciones en todo el servidor) requieren acceso a WHM o de root y están dirigidas a los administradores que gestionan todo el servidor. Aplica aquellas que se ajusten a tu nivel de acceso.
1. Utiliza siempre HTTPS para acceder a cPanel
Por qué es importante el HTTPS
Si accedes a cPanel a través de una conexión HTTP no segura, tus credenciales de inicio de sesión y otra información podrían quedar expuestas, especialmente al utilizar redes Wi-Fi públicas, redes compartidas o entornos de red comprometidos. El uso de HTTPS reduce significativamente este riesgo al cifrar la comunicación entre tu dispositivo y el servidor.
Las advertencias sobre certificados nunca deben ignorarse sin más. Pueden indicar un certificado caducado, una configuración incorrecta o una conexión potencialmente insegura.
Práctica recomendada
Antes de introducir tus credenciales de cPanel:
- asegúrate de que la página de inicio de sesión utiliza HTTPS;
- comprueba que el navegador no muestre ninguna advertencia sobre el certificado;
- confirma que el servidor dispone de un certificado SSL/TLS válido;
- evita iniciar sesión a través de redes no fiables o no seguras siempre que sea posible.
Para los administradores y propietarios de sitios web, el acceso cifrado debe considerarse un requisito básico para todas las sesiones de cPanel.
2. Habilitar la autenticación de dos factores (2FA)
Una contraseña segura es esencial, pero las contraseñas por sí solas no siempre son suficientes para proteger una cuenta de cPanel.
Habilitar la autenticación de dos factores (2FA) añade un paso de verificación adicional al proceso de inicio de sesión. Además de introducir un nombre de usuario y una contraseña, el usuario debe proporcionar un código de autenticación temporal, que suele generarse mediante una aplicación de autenticación. Esto significa que, aunque un atacante consiga obtener tu contraseña, seguirá necesitando acceso al segundo factor de autenticación antes de poder iniciar sesión.
Por qué es importante la 2FA
La autenticación de dos factores ayuda a reducir el riesgo de:
- accesos no autorizados provocados por contraseñas robadas;
- ataques de «credential stuffing»;
- la reutilización de contraseñas en diferentes servicios;
- credenciales de inicio de sesión comprometidas;
- ciertos tipos de ataques de phishing.
Para los administradores que gestionan varios sitios web o entornos de alojamiento críticos para el negocio, la autenticación de dos factores (2FA) debe considerarse una medida de seguridad estándar, más que una función opcional.
Buenas prácticas
Habilite la autenticación de dos factores (2FA) para todas las cuentas que tengan acceso a funciones importantes de alojamiento, especialmente las cuentas de nivel de administrador. Siempre que sea posible, utilice una aplicación de autenticación de confianza para generar códigos de verificación de un solo uso.
La combinación del acceso HTTPS, contraseñas seguras y únicas, y la autenticación de dos factores crea una primera línea de defensa mucho más sólida contra el acceso no autorizado a cPanel.
3. Imponer el uso de contraseñas seguras y únicas
Utilice una contraseña de cPanel segura y única
Una contraseña segura debe ser:
-
única para tu cuenta de cPanel;
-
más larga, en lugar de simplemente «más compleja»;
-
no basada en nombres, nombres de empresas, dominios o frases comunes;
-
no debe reutilizarse en el correo electrónico, FTP, WordPress, SSH u otros servicios.
Si un atacante descubre su contraseña tras una filtración o un incidente de phishing, suele probar inmediatamente las mismas credenciales en otras plataformas.
En los servidores cPanel y WHM, los administradores también pueden establecer un nivel mínimo de seguridad requerido para todas las cuentas en WHM → Centro de seguridad → Configuración de seguridad de contraseñas.
Utiliza un gestor de contraseñas
Un gestor de contraseñas suele ser la forma más segura de generar y almacenar credenciales únicas. Evita guardar las contraseñas de alojamiento en el navegador: el malware dedicado a robar credenciales ataca primero los almacenes de contraseñas del navegador, ya que pueden descifrarse sin necesidad de una contraseña maestra en un equipo comprometido. Un gestor de contraseñas específico, con una contraseña maestra independiente y bloqueo automático, mantiene las credenciales de cPanel fuera del alcance de ese tipo de ataques.
Evita compartir la contraseña principal de cPanel
Si varias personas necesitan acceso, evita dar a todo el mundo una misma contraseña maestra. En su lugar, crea cuentas independientes para funciones como:
-
FTP/SFTP
-
correo electrónico
-
acceso a la base de datos
-
acceso a aplicaciones
-
Acceso SSH
Esto facilita la revocación del acceso y reduce los daños si se ve comprometida una credencial.
4. Protege tu servidor más allá de cPanel
La seguridad de cPanel no se limita únicamente al propio panel de control. También es necesario reforzar el servidor subyacente y reducir el número de vías por las que los atacantes pueden acceder al sistema. Además de las medidas de autenticación ya mencionadas anteriormente, aplica lo siguiente:
-
Limita el acceso a las cuentas administrativas. Otorga a los usuarios solo los permisos que realmente necesiten. Los desarrolladores, contratistas y empleados no deben tener acceso administrativo completo a menos que sea necesario para su trabajo.
-
Proteja el acceso SSH. Si SSH está habilitado, utilice claves SSH en lugar de la autenticación por contraseña siempre que sea posible. También es habitual deshabilitar el inicio de sesión directo como root y restringir el acceso mediante AllowUsers o por dirección IP. Cambiar el puerto SSH predeterminado puede reducir los escaneos automatizados y el ruido en los registros, pero no debe considerarse un sustituto de una autenticación adecuada ni de los controles de acceso. Desactiva el acceso a la shell innecesario y restringe las conexiones administrativas a usuarios de confianza.
-
Protege las credenciales de inicio de sesión. Nunca compartas contraseñas a través de mensajes, documentos u hojas de cálculo no seguros. Ten especial cuidado con los correos electrónicos de phishing y las páginas de inicio de sesión falsas de cPanel diseñadas para robar credenciales.
-
Elimina las cuentas que no se utilicen. Revisa periódicamente las cuentas de cPanel, FTP, SSH, bases de datos y correo electrónico. Elimina las credenciales que ya no sean necesarias para reducir el número de posibles puntos de entrada.
-
Supervisa la actividad de inicio de sesión. Presta atención a los intentos fallidos de inicio de sesión repetidos, las direcciones IP desconocidas o la actividad inesperada en las cuentas. Los patrones de inicio de sesión inusuales pueden indicar ataques de fuerza bruta o que las credenciales se han visto comprometidas.
-
Centraliza la supervisión de la seguridad de varios servidores. Si gestionas más de un servidor, un SIEM de código abierto como Wazuh recopila registros, intentos fallidos de inicio de sesión y alertas de integridad de archivos de todas las máquinas en un único panel de control. Esto permite detectar los intentos de fuerza bruta y los cambios sospechosos en todo el conjunto de servidores, en lugar de tener que realizar comprobaciones manuales en cada uno de ellos.
5. Configura un cortafuegos y restringe los puertos abiertos
5. Configurar un cortafuegos y restringir los puertos abiertos
Un cortafuegos ayuda a controlar a qué servicios de red se puede acceder desde Internet. Cada puerto abierto aumenta la superficie de ataque del servidor, por lo que solo deben permanecer disponibles públicamente los servicios que sean realmente necesarios.
Revisa los puertos utilizados por:
-
cPanel y WHM
-
Tráfico web
-
SSH
-
FTP
-
Correo electrónico
-
DNS
-
Bases de datos
Los puertos no utilizados y los servicios innecesarios deben restringirse o desactivarse. En el caso de los servicios administrativos, restrinja el acceso a direcciones IP de confianza o a una VPN cuando sea posible. El acceso a WHM, en particular, debe limitarse siempre que sea posible. Si cPanel o el correo web deben estar disponibles para los clientes a través de Internet, protégelos con HTTPS, autenticación fuerte, 2FA y protección contra ataques de fuerza bruta, en lugar de bloquear el servicio por completo.
En los servidores cPanel y WHM, ConfigServer Security & Firewall (CSF) ha sido durante mucho tiempo una opción muy popular. Ten en cuenta que su desarrollador original dejó de operar en agosto de 2025; cPanel mantiene ahora una bifurcación para los usuarios de cPanel, así que, si utilizas CSF, manténlo actualizado desde la fuente compatible actual.
Un cortafuegos correctamente configurado ayuda a prevenir conexiones no autorizadas antes de que lleguen al nivel de la aplicación o de inicio de sesión.
6. Habilita la protección contra ataques de fuerza bruta con cPHulk
Los ataques de fuerza bruta utilizan scripts automatizados para probar un gran número de combinaciones de nombre de usuario y contraseña hasta encontrar un inicio de sesión válido. En los servidores cPanel y WHM, empieza por la protección contra ataques de fuerza bruta integrada cPHulk. También se pueden utilizar herramientas adicionales como Fail2ban cuando sea apropiado, aunque su configuración depende del sistema y de los ajustes.
cPHulk está integrado en cPanel y WHM y puede proteger servicios como:
-
cPanel
-
WHM
-
SSH
-
FTP
-
Autenticación de correo electrónico
Fail2ban también se puede utilizar para supervisar los registros y crear reglas de bloqueo basadas en actividades de inicio de sesión sospechosas. Para evitar conflictos, no ejecutes cPHulk y Fail2ban en los mismos servicios al mismo tiempo; elige uno por servicio.
La protección contra ataques de fuerza bruta debe utilizarse junto con contraseñas seguras y la autenticación de dos factores (2FA), en lugar de como sustituto de estas.
7. Utiliza herramientas antivirus como ClamAV
El malware puede introducirse en un entorno de alojamiento a través de sitios web vulnerables, credenciales comprometidas, archivos maliciosos subidos o aplicaciones desactualizadas. El uso de herramientas antivirus como ClamAV puede ayudar a detectar archivos sospechosos y firmas de malware conocidas. En los servidores cPanel, también se utilizan ampliamente soluciones como ImunifyAV o Imunify360, ya que se integran estrechamente con cPanel y pueden añadir detección activa de malware y cuarentena.
Los análisis periódicos resultan especialmente útiles para servidores que alojan:
-
sitios web de WordPress
-
Funcionalidad de subida de archivos
-
Servicios de correo electrónico
-
Varios sitios web de clientes
-
Cuentas de alojamiento compartido
El análisis antivirus debe considerarse una capa de seguridad más, y no una estrategia de protección completa. Si se detecta malware, los administradores también deben investigar cómo ha entrado en el servidor y subsanar la vulnerabilidad original.
8. Mantén actualizadas las aplicaciones como WordPress
Incluso un servidor cPanel bien protegido puede verse comprometido a través de una aplicación web desactualizada. WordPress, los plugins, los temas y otro software de CMS deben actualizarse periódicamente, ya que con frecuencia se descubren vulnerabilidades de seguridad en componentes de terceros.
Mantén actualizados los siguientes elementos:
-
El núcleo de WordPress
-
Plugins
-
Temas
-
Versiones de PHP
-
Extensiones del CMS
-
Módulos de comercio electrónico
Elimina los plugins, temas y aplicaciones que ya no se utilicen. El software obsoleto aumenta el riesgo de que los atacantes puedan aprovechar vulnerabilidades conocidas, subir archivos maliciosos u obtener acceso no autorizado al sitio web.
Mantener las aplicaciones actualizadas es una de las formas más sencillas y eficaces de reforzar la seguridad general del alojamiento de cPanel.
9. Utiliza las herramientas de seguridad integradas en cPanel
cPanel incluye varias funciones de seguridad integradas que pueden ayudar a proteger sitios web, cuentas y recursos del servidor. Tres herramientas útiles son ModSecurity, Hotlink Protection y Leech Protection. Cada una aborda un tipo diferente de riesgo y puede utilizarse como parte de una estrategia de seguridad más amplia de cPanel.
ModSecurity
ModSecurity es un cortafuegos de aplicaciones web (WAF) que ayuda a proteger los sitios web frente a solicitudes HTTP maliciosas y ataques web habituales. Analiza el tráfico entrante y puede bloquear las solicitudes sospechosas antes de que lleguen al sitio web o a la aplicación.
ModSecurity puede ayudar a reducir el riesgo de ataques como:
-
Inyección SQL
-
Scripting entre sitios (XSS)
-
Solicitudes de archivos maliciosos
-
Intentos de explotación
-
Tráfico automatizado sospechoso
En cPanel, ModSecurity suele gestionarse por dominios, dependiendo de la configuración del proveedor de alojamiento. Para sitios web que utilizan WordPress, Joomla, Drupal, plataformas de comercio electrónico o aplicaciones web personalizadas, habilitar ModSecurity añade una importante capa adicional de protección.
Es posible que, en ocasiones, algunas reglas de seguridad bloqueen solicitudes legítimas de las aplicaciones. Si esto ocurre, los administradores deben revisar la regla en cuestión en lugar de desactivar ModSecurity por completo.
Protección contra enlaces directos
La protección contra hotlinks impide que otros sitios web utilicen directamente archivos alojados en tu servidor. Se trata principalmente de una función de protección del ancho de banda y los recursos, más que de un control de seguridad fundamental, pero ayuda a impedir el uso no deseado de tus archivos alojados. Por ejemplo, otro sitio web podría incrustar una imagen utilizando la URL de tu dominio en lugar de subirla a su propio servidor. Cada vez que se visita esa página, su servidor envía el archivo y consume su ancho de banda.
La protección contra enlaces directos puede ayudar a evitar el uso no autorizado de recursos como:
- Imágenes
- Vídeos
- Archivos descargables
- Recursos multimedia
Esto resulta especialmente útil para sitios web con una gran cantidad de contenido visual o descargable. Al restringir qué dominios pueden acceder a archivos específicos, la protección contra enlaces directos puede ayudar a reducir el consumo innecesario de ancho de banda y evitar que sitios web de terceros utilicen tus recursos alojados sin permiso.
Protección contra el «leeching»
La protección contra el uso indebido ayuda a evitar que los usuarios compartan credenciales para directorios protegidos con contraseña. Por ejemplo, si una zona restringida de un sitio web requiere un nombre de usuario y una contraseña, un usuario podría compartir esas credenciales con muchas otras personas, lo que daría lugar a un número excesivo de inicios de sesión desde la misma cuenta.
La protección contra el uso indebido se aplica específicamente a los directorios protegidos con contraseña. Supervisa el número de veces que una cuenta inicia sesión en un periodo de dos horas y puede tomar medidas cuando se supera ese límite. Dependiendo de la configuración, cPanel puede:
- Restringir la cuenta afectada
- Redirigir a los usuarios a otra página
- Enviar una notificación por correo electrónico al administrador
- Desactivar el acceso cuando se detecte actividad sospechosa
Esta función resulta útil para secciones privadas de sitios web, áreas de miembros, recursos internos y otros directorios protegidos con contraseña. Ten en cuenta que la protección contra el uso abusivo puede tener limitaciones en servidores que ejecutan el servidor web LiteSpeed, por lo que debes comprobar la configuración de tu proveedor.
En conjunto, ModSecurity, la protección contra enlaces directos y la protección contra el «leeching» ayudan a proteger diferentes partes de un entorno de alojamiento con cPanel: aplicaciones web, recursos de ancho de banda y áreas de acceso restringido.
10. Utiliza el Asesor de seguridad de cPanel para identificar configuraciones de riesgo
cPanel & WHM incluye Security Advisor, una herramienta integrada que ayuda a los administradores a identificar configuraciones de servidor potencialmente arriesgadas y a mejorar la seguridad general del servidor. Analiza el entorno de cPanel & WHM, agrupa los resultados por gravedad y ofrece recomendaciones para solucionar problemas de seguridad habituales.
Security Advisor puede ayudar a detectar problemas relacionados con:
- Protección contra ataques de fuerza bruta
- Configuración de la autenticación
- Configuración de servicios
- Seguridad del sistema operativo
- Actualizaciones de software
- Configuración del cortafuegos y de la red
- Configuración de SSL/TLS
- Otros riesgos de seguridad a nivel del servidor
Puede acceder a esta función en WHM → Centro de seguridad → Asesor de seguridad. Tras realizar los cambios, vuelva a ejecutar el análisis para confirmar que el problema se ha resuelto.
Las comprobaciones periódicas resultan especialmente útiles después de:
-
Configurar un nuevo servidor cPanel
-
Instalar o actualizar cPanel y WHM
-
Modificar las reglas del cortafuegos
-
Añadir nuevos servicios
-
Modificar la configuración de autenticación o seguridad
-
Migrar sitios web o cuentas
Security Advisor no sustituye a una auditoría de seguridad completa, pero ofrece una forma práctica de detectar a tiempo configuraciones de riesgo y mantener su servidor cPanel en consonancia con las prácticas de seguridad recomendadas.
11. Programar actualizaciones automáticas en cPanel y WHM
Mantener actualizados cPanel & WHM y el software del servidor subyacente es uno de los aspectos más importantes para garantizar un entorno de alojamiento seguro.
La importancia de aplicar parches con prontitud quedó patente en 2026 con el CVE-2026-41940, una vulnerabilidad crítica de elusión de la autenticación en cPanel y WHM (CVSS 9,8) que permitía a atacantes no autenticados obtener acceso administrativo. Actualizar a una versión parcheada era la forma principal y recomendada de solucionar completamente la vulnerabilidad. Restringir los puertos de los servicios administrativos podía reducir la exposición como medida de mitigación temporal, pero no sustituía a la aplicación de la actualización de seguridad.
Puede revisar esta configuración en WHM → Configuración del servidor → Preferencias de actualización, donde se controla cómo se gestionan las actualizaciones de cPanel & WHM.
Las actualizaciones del sistema operativo y de otro software del servidor pueden gestionarse por separado, dependiendo del sistema operativo, su gestor de paquetes y la configuración del servidor.
Las actualizaciones automáticas de cPanel y WHM ayudan a reducir el riesgo de utilizar un software de panel de control obsoleto con vulnerabilidades conocidas. También se deben mantener actualizados otros componentes, aunque a menudo se actualizan a través del gestor de paquetes del sistema operativo o de sus propios mecanismos, en lugar de a través de las Preferencias de actualización de WHM:
-
Paquetes del sistema operativo
-
Componentes del servidor web
-
Paquetes de PHP
-
Servicios de correo
-
Software de bases de datos
En el caso de los servidores de producción, la configuración de las actualizaciones debe realizarse con cuidado. Las actualizaciones de seguridad críticas deben aplicarse de inmediato, mientras que los cambios de versión importantes pueden requerir pruebas adicionales para evitar problemas de compatibilidad con sitios web, aplicaciones o configuraciones personalizadas del servidor.
También es recomendable:
-
Revisar periódicamente los registros de actualizaciones
-
Supervisar las actualizaciones fallidas
-
Comprobar la compatibilidad de las aplicaciones tras actualizaciones importantes
-
Realizar copias de seguridad antes de realizar cambios significativos en el sistema
-
Mantener actualizados por separado WordPress, los plugins, los temas y otras aplicaciones alojadas
Programar y automatizar las actualizaciones ayuda a garantizar que no se pasen por alto correcciones de seguridad importantes y reduce la cantidad de mantenimiento manual necesario para mantener seguro un servidor cPanel.
Lista de comprobación de seguridad de cPanel
Antes de considerar que un entorno de cPanel está debidamente protegido, comprueba lo siguiente:
-
Utilice una contraseña de cPanel segura y única
-
Habilita la autenticación de dos factores
-
Acceda a cPanel únicamente a través de HTTPS
-
Mantenga actualizados cPanel y WHM
-
Mantenga actualizado el sistema operativo del servidor
-
Activa la protección contra ataques de fuerza bruta
-
Ejecuta el Asesor de seguridad de WHM
-
Limita los privilegios administrativos
-
Proteja o desactive el acceso SSH innecesario
-
Instala certificados SSL para los sitios web
-
Mantener actualizados el software CMS, los complementos y las plantillas
-
Revisar los permisos de los archivos
-
Separar las credenciales de las bases de datos
-
Supervisa los sitios web en busca de malware
-
Configurar un cortafuegos
-
Proteja las cuentas de correo electrónico
-
Proteger los tokens de API
-
Configurar copias de seguridad automáticas
-
Almacenar las copias de seguridad fuera del servidor de producción
-
Probar las restauraciones periódicamente
-
Supervisa el inicio de sesión y la actividad del servidor
-
Elimina los usuarios y el software que no se utilicen
Reflexiones finales: cómo mejorar la seguridad de cPanel
No existe un único ajuste que garantice la seguridad total de una cuenta de cPanel. Una seguridad eficaz del alojamiento con cPanel se consigue combinando varias medidas de protección.
Empieza por proteger el acceso con una contraseña única y la autenticación de dos factores. A continuación, protege las comunicaciones con HTTPS, mantén actualizados cPanel y las aplicaciones alojadas, limita los privilegios de los usuarios, activa la protección contra ataques de fuerza bruta, supervisa el servidor en busca de actividades sospechosas y mantén copias de seguridad fiables fuera del servidor. Para los administradores que gestionan un servidor completo de cPanel y WHM, la seguridad también debe incluir la configuración del cortafuegos, el refuerzo de SSH, los análisis de Security Advisor, una configuración segura de TLS y revisiones periódicas del acceso de los usuarios.
El principio más importante es la coherencia. Un servidor que se configuró de forma segura hace seis meses puede que ya no lo sea hoy si el software ha quedado obsoleto, ha habido cambios en la plantilla, hay cuentas inactivas que siguen activas o han aparecido nuevas vulnerabilidades.
Considera la seguridad de cPanel como un proceso continuo y reducirás significativamente tanto la probabilidad como el impacto potencial de un ataque a una cuenta de alojamiento.
