Есть такой файл в упакованном архиве Joomla-htaccess.txt.Иногда даже с русским поясняющим текстом,коментариями.Так вот-если переименовать файл с htaccess/txt на  ".htaccess",директивы прописанные в файле начнут указывать как серверу обрабатывать код и скрипты с того каталога,где находится файл ".htaccess". И есть много видов,назначений директив для веб-сервера,большинство которых уже прописал хостер.

Что нам предоставлили разработчики Joomla насчёт безопасности.Почти ничего серьёзного для нормальной защиты от посетителя,а может и от бота желающего посмотреть файлы находящиеся в корне сайта.Конечно поясняют разработчики что они работают над обновлениями,но читая ряд основных сайтов,форумов по Джумла,я увидел,что в основном расжевывается установка и настройка Джумла.Ну не буду сильно наезжать на кодеров Джумла,у программистов свой склад мышления.

Первая и очень необходимая директива -запрет на доступ к папке,которую не защитит даже установка chmod,права доступа 644.

А прописав в файле htaccess директиву ,указание серверу apache

Order Deny,Allow

Deny from all