# Seguridad Magento 2: parches a tiempo y nada raro en el checkout. > Seguridad Magento 2 y Adobe Commerce: parches, skimmers en el checkout y módulos con fallos, con un módulo de solo lectura. Informe desde 169 €. URL: https://webintacta.com/seguridad-magento Última actualización: 2026-10-15 **En resumen:** Una tienda Magento 2 (Adobe Commerce o Magento Open Source) es objetivo prioritario de los skimmers que roban tarjetas, y los fallos críticos como CosmicSting (2024) o SessionReaper (2025) se explotan en masa a los pocos días del aviso. En WebIntacta (Jose Soriano) reviso tu Magento por dentro con un módulo de solo lectura: integridad del núcleo y de su JavaScript, módulos y paquetes de Composer con fallos publicados, PHP escondido y copias olvidadas. El informe cuesta 169 €, IVA no incluido. Magento es la plataforma en la que nació el robo de tarjetas a gran escala (Magecart), y sigue siendo uno de sus objetivos favoritos. En una tienda Magento lo que más riesgo quita es aplicar los parches de Adobe en cuanto salen y saber si alguien ha tocado el código que se carga en el pago. ## Lo que reviso en un Magento - Versión exacta (con su parche `-pN`) frente a los boletines de seguridad de Adobe - Integridad del núcleo y de su JavaScript: un archivo de Magento alterado es la vía típica de un skimmer - Módulos activos y paquetes de `composer.lock` cruzados con fallos publicados - PHP escondido en `pub/media/` y copias como `app/etc/env.php.bak` o volcados en `var/backups/` - Scripts en la configuración de diseño (cabecera y pie) y en bloques CMS - Registros de `var/log/`: errores fatales repetidos y caídas de la base de datos ## Cómo lo hago 1. **Análisis externo gratuito.** Rama de Magento, avisos de Adobe, scripts de terceros y skimmers visibles en las páginas públicas, archivos expuestos, cabeceras y correo. 2. **Módulo de solo lectura.** Se copia a `app/code/` y se activa con `bin/magento` por SSH (Magento no instala módulos desde el panel). Solo responde a peticiones firmadas. 3. **Informe y plan.** PDF con la nota, lo urgente primero (parches y pago) y qué hacer con cada hallazgo. ## Seguridad en Magento 2: lo que no puede esperar ## Los parches de Adobe, en días y no en meses Adobe publica boletines de seguridad (APSB) para Adobe Commerce y Magento Open Source varias veces al año. Los críticos se explotan muy rápido: CosmicSting (CVE-2024-34102, junio de 2024) permitía leer archivos del servidor y, encadenado con otros fallos, ejecutar código; SessionReaper (CVE-2025-54236, septiembre de 2025) permitía tomar sesiones de clientes. En los dos casos hubo ataques masivos contra tiendas sin parchear en las semanas siguientes. Si no puedes actualizar de versión, Adobe suele publicar un parche aislado para aplicar sin esperar. Magento 1 dejó de recibir parches en junio de 2020. Si tu tienda sigue en Magento 1, ningún informe la hace segura: hay que migrar. ## Dónde se esconden los skimmers en Magento - **Configuración de diseño**: Contenido → Diseño → Configuración → HTML Head («Scripts and Style Sheets») y Footer («Miscellaneous HTML»). Es el sitio favorito: un script ahí se carga en todas las páginas, también en el checkout. - **Bloques CMS y widgets** con scripts que nadie puso. - **Archivos JavaScript del núcleo modificados** en `pub/static/` o en el código fuente: por eso comparo cada archivo con el original de tu versión. - **Módulos de pago modificados** o módulos que nadie sabe quién instaló. Cómo funciona un skimmer y qué hacer si lo encuentras, en la guía de [robo de tarjetas en tiendas online](https://webintacta.com/guias/robo-de-tarjetas-tienda-online). Si hay datos de clientes afectados, el RGPD tiene plazos: está en [brecha de datos en tiendas online](https://webintacta.com/guias/brecha-datos-tienda-online-rgpd). ## Lista de comprobación 1. **Versión al día**, con el último parche de seguridad de tu rama, y modo producción activado. 2. **Ruta del panel de administración propia** (no `/admin`) y autenticación en dos pasos para todos los usuarios, que Magento 2.4 trae de serie. 3. **Usuarios del panel revisados** en Sistema → Permisos → Todos los usuarios, y **tokens de integraciones** en Sistema → Extensiones → Integraciones. 4. **Sin copias ni volcados en la web pública** y `app/etc/env.php` sin copias `.bak`. 5. **Cron funcionando**: muchas tareas de limpieza y de índices dependen de él. ## Si tu Magento ya está hackeado Si un cliente te dice que le han usado la tarjeta después de comprar en tu tienda, actúa como si hubiera un skimmer hasta demostrar lo contrario: no borres nada antes de hacer una copia y revisa primero el pago. La limpieza de una tienda Magento cuesta desde 390 € con presupuesto cerrado tras el análisis, porque depende del tamaño de la instalación y de sus módulos. ## Mantenimiento de Magento No tengo un plan de mantenimiento con precio cerrado para Magento: aplicar parches en una tienda Magento exige un entorno de pruebas y depende mucho de sus módulos. Te lo presupuesto por escrito después del informe. ## Precio El informe de tienda incluye la revisión del pago y se descuenta íntegro si en 30 días contratas la limpieza. ### Análisis externo — Gratis Nota de seguridad y problemas visibles desde internet, en unos minutos y sin registro. - Plataforma y versión (WordPress, PrestaShop, WooCommerce, Shopify…) - Módulos y plugins visibles con fallos publicados - Archivos que no deberían verse (copias, .git, configuraciones) - HTTPS, certificado y cabeceras de seguridad - Correo del dominio (SPF, DKIM, DMARC) y listas negras - Preparación para agentes de IA (puntuación aparte) ### Informe de seguridad · tienda online — 169 € (IVA no incluido) Lo mismo que el informe web, más la revisión del pago y de los módulos de la tienda. 169 US$ en Latinoamérica. - Todo lo del informe para webs corporativas - Skimmers: scripts que copian tarjetas en el checkout - Overrides y módulos de pago modificados - Base de datos: scripts inyectados en contenidos y configuración > Se descuenta íntegro si contratas limpieza o mantenimiento en 30 días. ### Limpieza de otros CMS o PHP a medida — desde 390 € (IVA no incluido) Joomla, Drupal, Magento o código propio: presupuesto cerrado después del análisis. Desde 390 US$ en Latinoamérica. - Análisis previo para cerrar el alcance - Presupuesto cerrado antes de empezar Para tiendas Magento de Latinoamérica: el informe cuesta 169 US$ y la limpieza desde 390 US$. ## Preguntas frecuentes ### ¿Funciona con Adobe Commerce o solo con Magento Open Source? El módulo funciona en Magento 2.4. La integridad del núcleo se compara con las versiones publicadas de Magento Open Source; los paquetes exclusivos de Adobe Commerce y los de terceros no se juzgan como núcleo, pero sí se cruzan con los fallos publicados. ### No tengo acceso SSH, ¿puedo hacer la revisión? Sí. Sin SSH no se puede activar el módulo, pero puedo usar un agente temporal que se sube por FTP a la raíz de Magento, caduca a las 72 horas y se borra solo. ### ¿El módulo ve los datos de mis clientes o pedidos? No. Envía versiones, huellas de archivos y metadatos, y el contenido de los archivos de código que le pido; nunca `env.php` ni copias o volcados de la base de datos. No modifica nada. ### ¿Cuánto cuesta limpiar un Magento hackeado? desde 390 €, IVA no incluido, con el precio cerrado por escrito después del análisis. Contratar o preguntar: https://webintacta.com/soporte