# Seguridad Drupal: el núcleo, los módulos contrib y el calendario.

> Seguridad Drupal 9, 10 y 11 (y Drupal 7 sin soporte): núcleo, módulos contrib con avisos, archivos y copias, con un módulo de solo lectura. Informe desde 129 €.

URL: https://webintacta.com/seguridad-drupal
Última actualización: 2026-10-15

**En resumen:** En Drupal, el riesgo está en las versiones sin soporte (Drupal 7 desde enero de 2025, Drupal 9 desde noviembre de 2023; Drupal 10 termina en diciembre de 2026) y en los módulos contrib sin actualizar. En WebIntacta (Jose Soriano) reviso tu Drupal 9, 10 u 11 por dentro con un módulo de solo lectura: integridad del núcleo, módulos contrib cruzados con los avisos de seguridad, PHP escondido y copias olvidadas. El informe cuesta 129 €, IVA no incluido.


Drupal tiene un equipo de seguridad serio y avisos claros, pero solo protegen a quien actualiza. Lo que veo en webs Drupal de empresas y entidades es casi siempre lo mismo: una rama que ya no recibe parches o módulos contrib que nadie ha tocado en años.

## Lo que reviso en un Drupal

- Versión del núcleo y fecha de fin de soporte de su rama
- Integridad del núcleo (`core/`, `index.php`, `update.php`) frente a los originales de tu versión
- Módulos y temas contrib con su versión, cruzados con los avisos de seguridad de Drupal
- PHP escondido en `sites/*/files/` y `.htaccess` que lo dejan ejecutar
- Copias y volcados olvidados en la raíz, comprobando si se pueden descargar desde fuera
- Registros de errores de PHP y configuración expuesta

## Cómo lo hago

1. **Análisis externo gratuito.** Versión de Drupal, avisos del núcleo, archivos expuestos, HTTPS, cabeceras, correo y listas negras.
2. **Módulo de solo lectura.** Se instala desde Ampliar → «Instalar módulo nuevo» o subiendo la carpeta a `modules/custom/`. Solo responde a peticiones firmadas y lo desactivas cuando quieras.
3. **Informe y plan.** PDF con la nota, lo urgente primero y qué hacer con cada módulo: actualizar, aplicar el parche o sustituirlo.

## Seguridad en Drupal: lo que hay que vigilar

## El calendario de versiones

| Versión | Parches de seguridad |
| --- | --- |
| Drupal 7 | Terminaron el 5 de enero de 2025 |
| Drupal 8 y 9 | Terminaron (Drupal 9, el 1 de noviembre de 2023) |
| Drupal 10 | Hasta diciembre de 2026 (rama 10.6) |
| Drupal 11 | Con soporte; cada versión menor tiene su propia fecha |

Fechas publicadas por Drupal.org, consultadas el 15 de octubre de 2026.

Si tu web está en Drupal 10, el salto a Drupal 11 conviene planificarlo ya: la migración entre versiones mayores modernas es mucho más sencilla que la de 7 a 8, pero hay que revisar módulos y tema antes. Si está en Drupal 7 o 9, el informe lo dice en la portada aunque la web esté limpia.

## Módulos contrib y la política de avisos

El equipo de seguridad de Drupal publica avisos para el núcleo y para los módulos contrib que están cubiertos por su política (los que tienen versiones estables y el escudo de cobertura en su página de drupal.org). Un módulo en versión alfa o beta, o uno que no ha optado por la cobertura, puede tener fallos sin aviso. Por eso miro también si cada módulo instalado está cubierto y si sigue mantenido.

## Lista de comprobación

1. **Informes → Estado del sitio** sin errores, y **Informes → Actualizaciones disponibles** sin avisos de seguridad pendientes.
2. **`settings.php` en solo lectura** y `trusted_host_patterns` configurado.
3. **Usuarios con rol de administrador** revisados: quita los de quien ya no trabaja contigo.
4. **Sin módulos de depuración** (Devel y similares) activos en producción y sin mostrar errores a los visitantes.
5. **En Drupal 7**, el módulo «PHP filter» desactivado: permite ejecutar PHP desde el contenido.
6. **Parches de Composer documentados**: si aplicas parches con `composer.json`, apúntalo; en el informe esos archivos salen como modificados y hay que poder explicarlos.

## Si tu Drupal ya está hackeado

Drupalgeddon2 (CVE-2018-7600) permitió en 2018 ejecutar código en Drupal 7 y 8 sin iniciar sesión, y años después sigue apareciendo en webs que nunca se actualizaron. Si ves redirecciones, avisos de Google o archivos que no reconoces, haz una copia antes de tocar nada y sigue [cómo recuperar una web hackeada](https://webintacta.com/guias/recuperar-web-hackeada). La limpieza de un Drupal cuesta desde 390 € con presupuesto cerrado tras el análisis.

## Mantenimiento de Drupal

No tengo un plan de mantenimiento con precio cerrado para Drupal: depende de cuántos módulos tenga, de cómo se despliega (Composer, Git) y de quién mantiene el código. Te lo presupuesto por escrito después del informe.

## Precio

El informe se descuenta íntegro si en 30 días contratas la limpieza. La limpieza se cierra por escrito antes de empezar.

### Análisis externo — Gratis
Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro.
- Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…)
- Módulos y plugins visibles con fallos publicados
- Archivos que no deberían verse (copias, .git, configuraciones)
- HTTPS, certificado y cabeceras de seguridad
- Correo del dominio (SPF, DKIM, DMARC) y listas negras
- Preparación para agentes de IA (puntuación aparte)

### Informe de seguridad · web corporativa — 129 € (IVA no incluido)
Análisis por dentro con el conector de solo lectura y PDF con plan de acción.

129 US$ en Latinoamérica.
- Integridad del núcleo: cada archivo comparado con el original de tu versión
- Malware, puertas traseras y PHP donde no toca
- Inventario de plugins o módulos con versiones y fallos conocidos
- Usuarios administradores, configuración y permisos
- PDF completo con soluciones y versión solo diagnóstico
- Llamada para repasarlo juntos

> Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días.

### Limpieza de otros CMS o PHP a medida — desde 390 € (IVA no incluido)
Joomla, Drupal, Magento o código propio: presupuesto cerrado después del análisis.

Desde 390 US$ en Latinoamérica.
- Análisis previo para cerrar el alcance
- Presupuesto cerrado antes de empezar

Para webs Drupal de Latinoamérica: el informe cuesta 129 US$ y la limpieza desde 390 US$.

## Preguntas frecuentes

### ¿Con qué versiones de Drupal funciona el módulo?

Con Drupal 9, 10 y 11. En Drupal 7 no hay módulo: uso un agente temporal que se sube por FTP, caduca a las 72 horas y se borra solo al entregar el análisis.

### Mi web está en Drupal 7, ¿qué hago?

Drupal 7 no recibe parches oficiales desde el 5 de enero de 2025. Mientras planificas la migración, el informe te dice qué está expuesto y qué proteger ya. Migrar es un proyecto aparte, no una actualización.

### ¿Revisas los módulos contrib?

Sí. El módulo de solo lectura lista los módulos y temas contrib instalados con su versión, y los cruzo con los avisos de seguridad publicados por Drupal.

### ¿Cuánto cuesta limpiar un Drupal hackeado?

desde 390 €, IVA no incluido, con el precio cerrado por escrito después del análisis.

Contratar o preguntar: https://webintacta.com/soporte