{"id":836372,"date":"2026-07-06T11:39:42","date_gmt":"2026-07-06T11:39:42","guid":{"rendered":"https:\/\/www.knowband.com\/blog\/?p=836293\/"},"modified":"2026-07-23T08:41:21","modified_gmt":"2026-07-23T08:41:21","slug":"opencart-advanced-security-manager-extension","status":"publish","type":"post","link":"https:\/\/www.knowband.com\/blog\/es\/manual-de-usuario\/opencart-advanced-security-manager-extension\/","title":{"rendered":"Gu\u00eda completa del usuario de la extensi\u00f3n OpenCart Advanced Security Manager"},"content":{"rendered":"

La mayor\u00eda de los propietarios de tiendas OpenCart terminan protegiendo su sitio de la manera m\u00e1s complicada: una extensi\u00f3n para la verificaci\u00f3n de inicio de sesi\u00f3n en dos pasos, otra para bloquear bots de spam, una tercera para CAPTCHA y, tal vez, una solicitud de soporte a su proveedor de hosting por un firewall. OpenCart Security Manager se desarroll\u00f3 para eliminar este sistema improvisado. Este m\u00f3dulo integra la protecci\u00f3n del administrador, la defensa de la tienda y la monitorizaci\u00f3n de la integridad de los archivos en una sola pantalla de configuraci\u00f3n dentro del panel de administraci\u00f3n de OpenCart.<\/span><\/p>\n

Tanto si buscas una extensi\u00f3n de autenticaci\u00f3n de dos factores para OpenCart, una extensi\u00f3n de firewall para OpenCart, protecci\u00f3n contra ataques de fuerza bruta para iniciar sesi\u00f3n o una forma de ocultar tu directorio de administraci\u00f3n sin tener que instalar cinco complementos diferentes, esta \u00fanica extensi\u00f3n est\u00e1 dise\u00f1ada para cubrir todas esas necesidades.<\/span><\/p>\n

El Extensi\u00f3n OpenCart Advanced Security Manager<\/a> Est\u00e1 organizado en tres secciones, cada una dividida en su propio conjunto de pesta\u00f1as:<\/span><\/p>\n

Protecci\u00f3n del administrador<\/strong>: Verificaci\u00f3n en dos pasos, limitaci\u00f3n de intentos de inicio de sesi\u00f3n, acceso de administrador restringido por IP, ocultaci\u00f3n del directorio de administraci\u00f3n, solicitud de inicio de sesi\u00f3n a nivel de servidor y seguimiento de la actividad de inicio de sesi\u00f3n.<\/span><\/p>\n

Protecci\u00f3n de escaparates<\/strong>: Cortafuegos para aplicaciones web, encabezados de respuesta de seguridad, filtrado de spam en formularios (CAPTCHA), medidas disuasorias contra la copia y extracci\u00f3n de datos, y una solicitud de acceso para toda la tienda.<\/span><\/p>\n

Monitoreo de integridad de archivos<\/strong>: Escaneos programados, detecci\u00f3n de amenazas y registro del historial de escaneos.<\/span><\/p>\n

Cada \u00e1rea se trata campo por campo m\u00e1s adelante en este documento, para que siempre comprenda qu\u00e9 hace una configuraci\u00f3n antes de activarla.<\/span><\/p>\n

Los atacantes que se dirigen a tiendas OpenCart suelen aprovechar los mismos puntos d\u00e9biles: contrase\u00f1as de administrador f\u00e1ciles de adivinar, intentos de inicio de sesi\u00f3n automatizados, un directorio de administraci\u00f3n en su ruta predeterminada, formularios de contacto\/registro sin protecci\u00f3n y archivos principales modificados silenciosamente. Esta extensi\u00f3n est\u00e1 dise\u00f1ada para cerrar esas puertas espec\u00edficas sin necesidad de un consultor de seguridad ni de una gran cantidad de complementos adicionales.<\/span><\/p>\n

La protecci\u00f3n se aplica en capas independientes, y cada capa cubre una superficie diferente: la pantalla de inicio de sesi\u00f3n del administrador, los formularios orientados a la tienda, los encabezados que su servidor env\u00eda a los navegadores y los archivos en el disco.<\/span><\/p>\n

El riesgo en pocas palabras: OpenCart, al ser de c\u00f3digo abierto y ampliamente utilizado, es un objetivo habitual para el escaneo automatizado. Los bots buscan rutas de administrador predeterminadas, saturan los formularios de inicio de sesi\u00f3n con listas de credenciales e inundan los formularios de contacto con spam. Un solo acceso de administrador comprometido puede resultar en el robo de datos de clientes, la inyecci\u00f3n de c\u00f3digo o la alteraci\u00f3n de la p\u00e1gina web de la tienda; consecuencias que cuestan mucho m\u00e1s en limpieza y p\u00e9rdida de confianza que el tiempo de configuraci\u00f3n que requiere esta extensi\u00f3n.<\/span><\/p>\n

Caracter\u00edsticas principales de Extensi\u00f3n del administrador de seguridad de OpenCart<\/a><\/span>
\n<\/span><\/h2>\n

Verificaci\u00f3n en dos pasos (2FA)<\/b><\/p>\n

Requiere que el administrador proporcione un c\u00f3digo rotatorio de seis d\u00edgitos de una aplicaci\u00f3n de autenticaci\u00f3n, adem\u00e1s de su contrase\u00f1a. Esto impide el acceso no autorizado a la cuenta, incluso si la contrase\u00f1a se ha filtrado, adivinado o reutilizado de otra brecha de seguridad.<\/span><\/p>\n

Ejemplo: Una tienda con tres administradores podr\u00eda requerir la autenticaci\u00f3n de dos factores (2FA) para todos, excepto para la IP fija de la oficina de un contratista, que queda exenta. Consejo: A\u00f1ade tus direcciones IP fiables a la lista blanca antes de activar la aplicaci\u00f3n de la autenticaci\u00f3n en todo el sitio, para que nunca se te solicite que te registres desde una conexi\u00f3n desde la que no puedas operar.<\/span><\/p>\n

Limitaci\u00f3n de intentos de inicio de sesi\u00f3n<\/b><\/p>\n

Bloquea temporalmente una direcci\u00f3n IP cuando acumula demasiados intentos fallidos de inicio de sesi\u00f3n de administrador dentro de un per\u00edodo de tiempo determinado; no requiere supervisi\u00f3n manual.<\/span><\/p>\n

Ejemplo: si un script intenta adivinar la contrase\u00f1a 50 veces en el inicio de sesi\u00f3n de administrador en menos de un minuto, la IP de origen se bloquea autom\u00e1ticamente una vez que se alcanza el l\u00edmite de reintentos. Consejo: combine un l\u00edmite de reintentos moderado (5-10 intentos) con un bloqueo lo suficientemente largo como para desalentar los reintentos (15-30 minutos), y excluya la IP de su oficina o VPN para que un error tipogr\u00e1fico no bloquee el acceso a su propio equipo.<\/span><\/p>\n

Acceso de administrador restringido por IP<\/b><\/p>\n

Limita el acceso al panel de administraci\u00f3n a una lista definida de direcciones; cualquier otra persona ser\u00e1 rechazada incluso antes de que se cargue el formulario de inicio de sesi\u00f3n. Este es el control m\u00e1s estricto contra el acceso de administradores externos, ya que el bloqueo se produce antes de que se verifiquen las credenciales.<\/span><\/p>\n

Enmascaramiento del directorio de administraci\u00f3n<\/strong><\/p>\n

Esta funci\u00f3n oculta la ruta de administraci\u00f3n real tras una URL alternativa secreta; la ruta original devuelve un error 404 a cualquiera que desconozca el nombre alternativo. De esta forma, tu tienda queda fuera del alcance de los bots que buscan nombres de carpetas de administraci\u00f3n comunes.<\/span><\/p>\n

Solicitud de inicio de sesi\u00f3n a nivel de servidor (autenticaci\u00f3n HTTP)<\/b><\/p>\n

Agrega una solicitud de nombre de usuario y contrase\u00f1a nativa del navegador frente al panel de administraci\u00f3n, la tienda en l\u00ednea o ambos, antes de que se cargue la pantalla de inicio de sesi\u00f3n de OpenCart. Esto se ejecuta completamente fuera de la aplicaci\u00f3n, lo cual es \u00fatil para sitios de prueba, tiendas en fase de prelanzamiento o como un control de acceso administrativo adicional.<\/span><\/p>\n

Firewall de aplicaciones web (WAF)<\/b><\/p>\n

Analiza los datos GET\/POST entrantes y las cookies en busca de patrones conocidos de inyecci\u00f3n SQL, secuencias de comandos entre sitios y recorrido de rutas, y bloquea las coincidencias con un c\u00f3digo HTTP 403 antes de que lleguen al c\u00f3digo de OpenCart.<\/span><\/p>\n

Encabezados de respuesta de seguridad<\/b><\/p>\n

Agrega encabezados (HSTS, protecci\u00f3n contra clickjacking, protecci\u00f3n contra detecci\u00f3n de MIME, pol\u00edtica de referencias, pol\u00edtica de permisos) que instruyen a los navegadores a aplicar medidas de seguridad adicionales. Esta es una forma de bajo riesgo de reforzar el trato que los navegadores dan a su sitio, y suele ser un requisito en las listas de verificaci\u00f3n de PCI y auditor\u00edas de seguridad.<\/span><\/p>\n

Filtrado de spam en formularios (CAPTCHA)<\/b><\/p>\n

Agrega verificaci\u00f3n CAPTCHA (Cloudflare Turnstile, Google reCAPTCHA o hCaptcha) al formulario de contacto y al formulario de registro, lo que reduce los env\u00edos de spam y los registros falsos sin necesidad de editar el tema.<\/span><\/p>\n

Medidas disuasorias contra la copia y el raspado<\/b><\/p>\n

Desincentiva la copia informal de contenido al deshabilitar los accesos directos de clic derecho, copiar\/pegar, ver c\u00f3digo fuente y herramientas para desarrolladores, lo que aumenta el esfuerzo necesario para extraer texto e im\u00e1genes de productos de forma informal.<\/span><\/p>\n

Monitoreo de integridad de archivos<\/b><\/p>\n

Realiza an\u00e1lisis programados que comparan tu instalaci\u00f3n de OpenCart con una base de referencia segura, se\u00f1alando los archivos nuevos o modificados como posibles amenazas, lo que a menudo permite detectar una vulnerabilidad antes de que aparezca en la tienda online.<\/span><\/p>\n

Descripci\u00f3n detallada de la extensi\u00f3n de seguridad de OpenCart<\/b><\/p>\n

Protecci\u00f3n del administrador<\/b> – Cubre el inicio de sesi\u00f3n y las sesiones de administrador: autenticaci\u00f3n de dos factores (2FA), limitaci\u00f3n de inicio de sesi\u00f3n, restricci\u00f3n de IP, ocultaci\u00f3n de directorio, solicitud de inicio de sesi\u00f3n a nivel de servidor y supervisi\u00f3n de inicio de sesi\u00f3n (que incluye una subvista de Usuarios para administrar las inscripciones individuales de 2FA).<\/span><\/p>\n

Protecci\u00f3n de escaparates<\/b> – Cubre el tr\u00e1fico orientado al cliente: el cortafuegos, los encabezados de respuesta, el filtrado de spam, el bloqueo de bots de carrito, las medidas anticopia y la solicitud de inicio de sesi\u00f3n para toda la tienda.<\/span><\/p>\n

Monitoreo de integridad de archivos<\/b> – Configuraci\u00f3n e historial de escaneo, incluyendo la URL de cron utilizada para la programaci\u00f3n y un registro de escaneos anteriores que permite realizar b\u00fasquedas.<\/span>
\n<\/span><\/p>\n

En la parte superior de cada pesta\u00f1a encontrar\u00e1s el enlace de recuperaci\u00f3n de emergencia: una URL permanente que desactiva las funciones restrictivas de la extensi\u00f3n con un solo clic si alguna vez te quedas sin acceso. Este es el detalle m\u00e1s importante de este manual: encu\u00e9ntralo ahora, antes de modificar cualquier otra configuraci\u00f3n, y gu\u00e1rdalo en alg\u00fan lugar fuera del panel de administraci\u00f3n. Esta es la informaci\u00f3n crucial que todo administrador debe conocer.<\/span><\/h4>\n

\"\"<\/a><\/p>\n

La vista Usuarios, dentro de Protecci\u00f3n de administrador, muestra todas las cuentas de administrador (ID, nombre, correo electr\u00f3nico, estado actual de la autenticaci\u00f3n de dos factores) y permite restablecer una inscripci\u00f3n de autenticador perdida o comprometida para que esa persona pueda registrar una nueva en su pr\u00f3ximo inicio de sesi\u00f3n.<\/span><\/p>\n

Los informes se encuentran en dos lugares: el Registro de intentos de inicio de sesi\u00f3n en Protecci\u00f3n de administrador (direcci\u00f3n IP, marca de tiempo, correo electr\u00f3nico y resultado de cada intento de inicio de sesi\u00f3n de administrador, una vez que se activa el registro) y la tabla Historial de escaneo en Supervisi\u00f3n de integridad de archivos (cada ejecuci\u00f3n de escaneo, manual o programada, con recuentos de archivos, recuentos de amenazas, duraci\u00f3n y un enlace al informe completo).<\/span><\/p>\n

C\u00f3mo funciona realmente cada funci\u00f3n<\/b><\/p>\n

Verificaci\u00f3n de dos pasos<\/strong><\/p>\n

Este sistema utiliza el protocolo TOTP (contrase\u00f1a de un solo uso basada en el tiempo), el mismo que emplean Google Authenticator, Authy y aplicaciones similares. Cuando un administrador activa la autenticaci\u00f3n de dos factores (2FA) o se le exige hacerlo mediante una pol\u00edtica de seguridad para todo el sitio, escanea un c\u00f3digo QR con su aplicaci\u00f3n de autenticaci\u00f3n, que genera un nuevo c\u00f3digo de seis d\u00edgitos cada 30 segundos. Este c\u00f3digo se introduce junto con la contrase\u00f1a habitual en cada inicio de sesi\u00f3n.<\/span><\/p>\n

Limitaci\u00f3n de intentos de inicio de sesi\u00f3n<\/b><\/p>\n

Cada intento de inicio de sesi\u00f3n de administrador fallido se registra con la direcci\u00f3n IP de origen. Una vez que los intentos fallidos desde una direcci\u00f3n IP superan el l\u00edmite configurado dentro del per\u00edodo establecido, dicha direcci\u00f3n IP se bloquea y no se permiten m\u00e1s intentos hasta que finalice el per\u00edodo de bloqueo.<\/span><\/p>\n

Acceso de administrador restringido por IP<\/b><\/p>\n

Una vez activada, cada solicitud al panel de administraci\u00f3n se verifica con una lista de permitidos antes de que se ejecute el enrutamiento de OpenCart. Cualquier usuario que no est\u00e9 en la lista queda bloqueado directamente y nunca llega al formulario de inicio de sesi\u00f3n.<\/span><\/p>\n

Enmascaramiento del directorio de administraci\u00f3n<\/b><\/p>\n

La extensi\u00f3n intercepta las solicitudes dirigidas a tu ruta de administraci\u00f3n real y devuelve un error 404, a menos que el visitante ya haya accedido a una URL de alias secreta, que establece una cookie y lo redirige discretamente a la ubicaci\u00f3n real.<\/span><\/p>\n

Solicitud de inicio de sesi\u00f3n a nivel de servidor<\/b><\/p>\n

Esto a\u00f1ade un aviso independiente, nativo del navegador (generado por el propio navegador en lugar de un formulario de OpenCart), delante del panel de administraci\u00f3n, la tienda online o ambos, que se aplica a nivel del servidor web antes de que se ejecute cualquier l\u00f3gica PHP.<\/span><\/p>\n

Firewall de aplicaciones web<\/b><\/p>\n

El WAF verifica los par\u00e1metros de consulta entrantes, los campos POST y las cookies compar\u00e1ndolos con una biblioteca de patrones conocidos de inyecci\u00f3n, XSS y recorrido de rutas. Si encuentra una coincidencia, se genera un error 403 inmediato antes de que la solicitud llegue a los controladores de OpenCart.<\/span><\/p>\n

Encabezados de respuesta de seguridad<\/b><\/p>\n

Cada interruptor a\u00f1ade un encabezado espec\u00edfico que le indica al navegador del visitante que imponga un comportamiento determinado: negarse a mostrar la p\u00e1gina en un iframe, negarse a adivinar los tipos de archivo, forzar HTTPS, etc.<\/span><\/p>\n

Filtrado de spam en formularios<\/b><\/p>\n

Cuando est\u00e1 habilitada, la extensi\u00f3n inserta autom\u00e1ticamente el widget CAPTCHA seleccionado en los formularios de contacto y registro de la tienda online, sin necesidad de editar el tema, y \u200b\u200bverifica la respuesta en el servidor antes de aceptar el env\u00edo.<\/span><\/p>\n

Medidas disuasorias contra la copia y el raspado<\/b><\/p>\n

Se aplic\u00f3 un conjunto de restricciones del lado del cliente (que deshabilitan copiar\/cortar\/pegar, clic derecho, selecci\u00f3n de texto, ver c\u00f3digo fuente y accesos directos a las herramientas para desarrolladores) en toda la tienda, con una lista blanca de IP para el personal que necesita un comportamiento normal del navegador.<\/span><\/p>\n

Monitoreo de integridad de archivos<\/b><\/p>\n

Una tarea programada, que se activa cuando el programador cron de su servidor accede a una URL \u00fanica protegida por un token, escanea todos los archivos de su instalaci\u00f3n, los compara con una base de datos mantenida de archivos principales de OpenCart y archivos de extensi\u00f3n comunes que se sabe que funcionan correctamente, e identifica cualquier archivo nuevo, faltante o modificado.<\/span><\/p>\n

1.0.0 Protecci\u00f3n del administrador<\/strong><\/h2>\n

Verificaci\u00f3n de dos pasos<\/b><\/p>\n

\"\"<\/a><\/p>\n

Habilitar la autenticaci\u00f3n de dos factores (2FA): activa la compatibilidad con 2FA; los administradores recibir\u00e1n instrucciones para configurar una aplicaci\u00f3n de autenticaci\u00f3n en su pr\u00f3ximo inicio de sesi\u00f3n.<\/span><\/p>\n

IP de la lista blanca <\/b>– Direcciones que omiten por completo la autenticaci\u00f3n de dos factores, incluso cuando la aplicaci\u00f3n est\u00e1 activada. Agregue su red de oficina o dom\u00e9stica como medida de seguridad antes de aplicar la autenticaci\u00f3n.<\/span><\/p>\n

Fuerza 2FA<\/b> – Requiere que todos los administradores que no est\u00e9n en la lista blanca configuren la autenticaci\u00f3n de dos factores (2FA) antes de continuar. Habil\u00edtela solo despu\u00e9s de agregar una IP de confianza a la lista blanca o confirmar que el enlace de recuperaci\u00f3n funciona.<\/span><\/p>\n

ID <\/b>– Identifica la cuenta de administrador.<\/span><\/p>\n

Estado 2FA<\/b> – Indica si la cuenta tiene activada la autenticaci\u00f3n de dos factores (2FA). Conviene revisarla peri\u00f3dicamente, sobre todo despu\u00e9s de cambios de personal.<\/span><\/p>\n

Acciones <\/b>Restablece una inscripci\u00f3n de autenticaci\u00f3n de dos factores perdida para que el usuario pueda registrar un nuevo dispositivo. \u00daselo de inmediato si alguien pierde su tel\u00e9fono de autenticaci\u00f3n.<\/span><\/p>\n

Implementar la autenticaci\u00f3n de dos factores (2FA) como opcional primero, y luego cambiarla a obligatoria una vez que todos est\u00e9n inscritos, es la estrategia. <\/span>ruta recomendada <\/b>– Evita el acceso no autorizado a cuentas mediante contrase\u00f1as filtradas, adivinadas o reutilizadas, ya que la contrase\u00f1a por s\u00ed sola ya no es suficiente. Nunca implementes la autenticaci\u00f3n de dos factores (2FA) en todo el sitio sin antes incluir en la lista blanca al menos una IP de confianza o confirmar que el enlace de recuperaci\u00f3n funciona. Mant\u00e9n esa lista blanca corta y rev\u00edsala peri\u00f3dicamente, ya que esas direcciones eluden completamente la 2FA. Agrega la opci\u00f3n “restablecer la 2FA” a tu lista de verificaci\u00f3n de desvinculaci\u00f3n para el personal que se marcha.<\/span><\/p>\n

Protecci\u00f3n de fuerza bruta<\/b><\/h3>\n

\"\"<\/a><\/p>\n

Habilitar la limitaci\u00f3n de velocidad: bloquea temporalmente una IP tras demasiados intentos fallidos de inicio de sesi\u00f3n como administrador. Recomendado para cualquier tienda en l\u00ednea.<\/span><\/p>\n

Reintentos m\u00e1ximos<\/b> – Intentos fallidos permitidos antes de que se active la prohibici\u00f3n. 5 es un valor predeterminado razonable.<\/span><\/p>\n

Ventana de tiempo (segundos): el intervalo de tiempo en el que se contabilizan los fallos. 300 segundos (5 minutos) funciona para la mayor\u00eda de las tiendas.<\/span><\/p>\n

Tiempo de prohibici\u00f3n (segundos)<\/b>) – cu\u00e1nto tiempo permanece bloqueada una IP prohibida; expira autom\u00e1ticamente.<\/span><\/p>\n

IP de la lista blanca<\/b> – Las direcciones nunca se contabilizaron para el l\u00edmite o fueron bloqueadas.<\/span><\/p>\n

Empiece con valores moderados, revise el registro de inicio de sesi\u00f3n despu\u00e9s de una semana y aj\u00fastelos si se repiten patrones de ataque desde distintas direcciones IP. Esto funciona mejor combinado con la autenticaci\u00f3n de dos factores (2FA) que por s\u00ed solo: la limitaci\u00f3n de acceso ralentiza a los atacantes, mientras que la 2FA los detiene por completo, incluso si finalmente adivinan la contrase\u00f1a. Los bloqueos se eliminan autom\u00e1ticamente una vez que finaliza el temporizador; no es necesario desbloquear a nadie manualmente.<\/span><\/p>\n

Acceso de administrador restringido por IP<\/b><\/h3>\n

\"\"<\/a><\/p>\n