# Seguridad Joomla: el núcleo, las extensiones y lo que nadie mira. > Seguridad Joomla 3, 4, 5 y 6: núcleo, extensiones, Super Users y copias olvidadas, revisados con un plugin de solo lectura. Informe desde 129 € y limpieza. URL: https://webintacta.com/seguridad-joomla Última actualización: 2026-10-15 **En resumen:** En Joomla, las intrusiones suelen entrar por una extensión sin actualizar o por una versión sin soporte: Joomla 3 dejó de recibir parches en agosto de 2023 y Joomla 4 en octubre de 2025. En WebIntacta (Jose Soriano) reviso tu Joomla por dentro con un plugin de solo lectura, sin pedirte FTP: integridad del núcleo, PHP escondido en imágenes, copias olvidadas y extensiones con su versión. El análisis externo es gratis y el informe cuesta 129 €, IVA no incluido. Muchas webs de empresa siguen en Joomla, y muchas siguen en una versión que ya no recibe parches. Reviso tu Joomla por dentro, con un plugin de solo lectura que instalas desde el administrador, y te digo qué está mal, qué urge y qué implica actualizar. ## Lo que reviso en un Joomla - Versión del núcleo y si su rama sigue con soporte (3.10, 4.x, 5.x, 6.x) - Archivos del núcleo comparados con los originales de tu versión exacta - Extensiones y plantillas instaladas con su versión, cruzadas con los avisos publicados - PHP escondido en `images/` y `media/`, y `.htaccess` que lo dejan ejecutar - Copias olvidadas: `configuration.php.bak`, volcados `.sql`, `kickstart.php` y archivos `.jpa` de Akeeba - Registros de errores, cuentas Super User y configuración de depuración ## Cómo lo hago 1. **Análisis externo gratuito.** Versión de Joomla y si tiene soporte, fallos publicados del núcleo, archivos expuestos, HTTPS, cabeceras, correo y listas negras. 2. **Plugin de solo lectura.** Se instala desde Sistema → Instalar → Extensiones, sin FTP. Solo responde a peticiones firmadas desde mi panel y lo desactivas cuando quieras. 3. **Informe y plan.** PDF con la nota, lo urgente primero y la acción concreta para cada hallazgo: actualizar, sustituir la extensión o limpiar. ## Seguridad en Joomla: lista de comprobación Lo que miro primero en un Joomla y lo que puedes comprobar tú desde el administrador o el gestor de archivos del hosting: 1. **Versión con soporte.** Joomla 3 terminó en agosto de 2023 y Joomla 4 en octubre de 2025; hoy reciben parches Joomla 5 y Joomla 6. Si tu web está en 3 o 4, el núcleo ya no se corrige aunque se publique un fallo. 2. **Extensiones al día y con origen conocido.** En Sistema → Gestionar → Extensiones verás la versión de cada una. Las abandonadas o descargadas de webs que no son la del desarrollador son la entrada más habitual. 3. **Super Users contados.** En Usuarios, filtra por el grupo Super Users: cualquier cuenta que nadie reconozca es una señal de intrusión. Activa la autenticación multifactor, que Joomla trae de serie desde la 4.2. 4. **Overrides de la plantilla.** Lo que hay en `templates//html/` sobrevive a las actualizaciones: es buen sitio para esconder código y hay que saber de dónde sale cada archivo. 5. **Sin restos de instalación ni copias.** Ni la carpeta `installation/`, ni `configuration.php.bak`, ni copias de Akeeba Backup dentro de la web pública con `kickstart.php` al lado. 6. **Depuración y errores apagados.** En Configuración global, «Depurar el sistema» desactivado y «Informe de errores» en «Ninguno» en producción. 7. **`configuration.php` protegido**, con permisos de solo lectura, porque guarda la contraseña de la base de datos. ## Un ejemplo de por qué importa la versión En febrero de 2023 se publicó un fallo de Joomla 4.0.0 a 4.2.7 (CVE-2023-23752) que permitía leer, sin iniciar sesión, la configuración de la web a través de su API, incluida la contraseña de la base de datos. Se corrigió en la 4.2.8, pero durante meses se explotó en masa contra webs sin actualizar. Es el patrón de siempre: el parche existe, la web no lo tiene. ## Si tu Joomla ya está hackeado Las señales son las mismas que en cualquier CMS: redirecciones, avisos de Google, páginas de spam indexadas o Super Users que nadie creó. Empieza por [cómo saber si tu web está hackeada](https://webintacta.com/guias/como-saber-si-mi-web-esta-hackeada) y no borres nada antes de hacer una copia. La limpieza de un Joomla cuesta desde 390 € con presupuesto cerrado después del análisis, porque depende de las extensiones y de la versión; el proceso es el mismo que en [web hackeada](https://webintacta.com/web-hackeada): copia, limpieza, cierre de la entrada y revisión en Google. ## Mantenimiento de Joomla No tengo un plan de mantenimiento con precio cerrado para Joomla: cada instalación depende mucho de sus extensiones y de si hay que migrar de versión. Si lo necesitas, te hago un presupuesto con lo que incluye y lo que cuesta al mes, después del informe. ## Precio El informe se descuenta íntegro si en 30 días contratas la limpieza. La limpieza se cierra por escrito antes de empezar. ### Análisis externo — Gratis Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro. - Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…) - Módulos y plugins visibles con fallos publicados - Archivos que no deberían verse (copias, .git, configuraciones) - HTTPS, certificado y cabeceras de seguridad - Correo del dominio (SPF, DKIM, DMARC) y listas negras - Preparación para agentes de IA (puntuación aparte) ### Informe de seguridad · web corporativa — 129 € (IVA no incluido) Análisis por dentro con el conector de solo lectura y PDF con plan de acción. 129 US$ en Latinoamérica. - Integridad del núcleo: cada archivo comparado con el original de tu versión - Malware, puertas traseras y PHP donde no toca - Inventario de plugins o módulos con versiones y fallos conocidos - Usuarios administradores, configuración y permisos - PDF completo con soluciones y versión solo diagnóstico - Llamada para repasarlo juntos > Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días. ### Limpieza de otros CMS o PHP a medida — desde 390 € (IVA no incluido) Joomla, Drupal, Magento o código propio: presupuesto cerrado después del análisis. Desde 390 US$ en Latinoamérica. - Análisis previo para cerrar el alcance - Presupuesto cerrado antes de empezar Para webs Joomla de Latinoamérica: el informe cuesta 129 US$ y la limpieza desde 390 US$. ## Preguntas frecuentes ### ¿Con qué versiones de Joomla funciona el plugin? Con Joomla 3.10, 4, 5 y 6. Si no puedes instalar extensiones (por ejemplo, sin acceso al administrador), uso un agente temporal que se sube por FTP, caduca a las 72 horas y se borra solo. ### Mi web está en Joomla 3, ¿tiene sentido revisarla? Sí: es el caso con más riesgo, porque el núcleo ya no recibe parches. El informe te dice qué hay que proteger ya y qué implica migrar a una versión con soporte, que es un proyecto y no una simple actualización. ### ¿El plugin lee mis datos o los de mis usuarios? No. Envía versiones, huellas de archivos y metadatos, y el contenido de los archivos que le pido para revisarlos; nunca la configuración con contraseñas, ni copias o volcados. No modifica nada y solo responde a peticiones firmadas desde mi panel. ### ¿Cuánto cuesta limpiar un Joomla hackeado? desde 390 €, IVA no incluido, con el precio cerrado por escrito después del análisis y antes de empezar. Contratar o preguntar: https://webintacta.com/soporte