Un redirect de pago falso es un incidente activo de seguridad del cliente. Puede originarse en WordPress, Tag Manager, CDN, DNS o una cuenta de plugin o pasarela. Ocultarlo en un navegador no hace seguro el checkout.
Detén transacciones, conserva la cadena e implica de inmediato a responsables de pagos e incidentes.
Desconecta checkout
Deshabilita checkout o pago desde hosting, CDN o proveedor fiable, o sirve mantenimiento estático fuera de WordPress. Bloquea sesiones si también puede robar credenciales.
No pidas reintentar, usar otra tarjeta real o visitar el destino falso. Nunca introduzcas datos de pago. Registra hora y métodos afectados.
Conserva la cadena de redirección
Desde un entorno aislado registra URL de origen, horas, estados HTTP, destinos de scripts, frames o formularios y una captura segura. Recoge dominios de red sin enviar datos.
No publiques URL maliciosas ni subas scripts a herramientas públicas. Guarda evidencia restringida. Anota si depende de referrer, móvil, primera visita o valor del carrito.
Localiza la capa de control
Determina si ocurre por estado HTTP, JavaScript, acción de formulario, iframe o salto del proveedor. Compara origen y CDN mediante acceso autorizado.
Inspecciona archivos y MySQL, .htaccess, reglas de servidor, versiones de Tag Manager, Workers, redirects y DNS. Plugins limpios no descartan una cuenta externa. Conserva auditoría antes de corregir.
Protege las cuentas de pago
Revisa administradores del proveedor, API, webhooks, liquidaciones y configuración reciente. Revoca accesos desconocidos y rota claves mediante el proceso del proveedor.
No pegues claves ni logs de pagos en tickets ordinarios. Confirma que páginas alojadas y dominios son oficiales. Utiliza MFA y cuentas nominativas.
Comprueba la procedencia del código
Inventaría todos los scripts del carrito y checkout: pago, fraude, consentimiento, analytics, chat y código propio. Confirma responsable, dominio y versión aprobada.
Revisa Tag Manager, snippets, hooks del tema y actualizaciones. Conserva código sospechoso sin ejecutarlo ni decodificarlo en producción. Excluye terceros sin propietario de la compilación limpia.
Revisa sesiones y CSP
Examina cookies del checkout, informes y política CSP, SRI cuando se use y restricciones de iframe o form-action. Conserva violaciones e historial.
Una CSP fuerte limita futuras inyecciones, pero debe admitir dominios oficiales de pago y challenge. No despliegues reglas sin probar que rompan pagos. Nunca incluyas campos del cliente en reportes.
Evalúa pedidos y exposición
Define el intervalo e identifica clientes que llegaron a checkout, redirects, pedidos fallidos y eventos del proveedor. Logs y analytics no prueban por sí solos que se enviaran datos.
Coordina evaluación legal, privacidad y pagos y comunicaciones mediante responsables. Que WooCommerce no guarde tarjetas no demuestra ausencia de exposición. Protege clientes en la evidencia.
Conserva las versiones exactas de cualquier aviso o mensaje enviado a clientes y la lista autorizada de destinatarios, sin duplicar sus datos en documentos de trabajo. La comunicación debe indicar acciones confirmadas y canales seguros, no especular sobre información capturada.
Reconstruye desde componentes fiables
Crea una raíz limpia con WordPress, WooCommerce y pasarela verificados, personalizaciones revisadas y base/uploads evaluados. Cierra la entrada y rota hosting, MySQL, WordPress, CDN, tags y pagos.
Mantén raíces infectadas aisladas. No actualices encima y reabras. Elimina staging inseguro y credenciales compartidas.
Planifica monitorización
Vigila el dominio falso, allowlist de checkout, fallos, scripts nuevos e informes de clientes. Envía alertas por un canal independiente.
Coordina bloqueo o retirada con hosting, registrador, navegadores, buscadores y proveedores cuando esté autorizado. No contactes al operador malicioso. Conserva indicadores sin mantener checkout expuesto.
Prueba sin datos reales
Usa sandbox y clientes sintéticos. Confirma dominios, CSP, red, estados de pedido y pago, webhooks, reembolsos y correos.
Prueba acceso directo, buscador, móvil, primera visita y caché. Obtén aprobación del responsable de pagos. Para una página falsa, solicita respuesta urgente compartiendo acceso gestionado y evidencia censurada, nunca tarjetas o código.