El código del checkout puede cambiar sin release Git o WordPress. Tag Manager, Workers, scripts remotos, snippets MySQL, constructores y cuentas comprometidas modifican el resultado del navegador.
Trata cualquier JavaScript inexplicado como alto riesgo hasta verificar propietario, fuente y finalidad.
Contén antes de investigar
Pausa checkout o sirve mantenimiento fiable fuera de WordPress. Si confirmas un script externo malicioso, bloquéalo en una capa fiable conservando evidencia.
No pruebes con tarjetas reales ni dejes activo porque solo aparezca en móvil. Registra hora y dominios y avisa al responsable de pagos.
Captura el código desplegado
Registra URL, hora, URL del script o hash inline, cabeceras, iniciador y destino de red. Conserva versiones de tags/CDN y fuente del navegador sin enviar pagos.
No publiques ni ejecutes el código en herramientas online. Usa almacenamiento protegido. Compara primera visita, móvil y referrer.
Distingue código estático y dinámico
Un asset de tema puede cambiar en disco; un inline puede venir de opciones, snippets o respuesta remota. Usa iniciador, source maps y logs para identificar la capa.
Compara origen y CDN. Registra estado y edad de caché: una caché antigua puede servir un asset comprometido tras limpiar disco. Purga después de conservar evidencia.
Audita Tag Manager y analytics
Revisa usuarios, historial de publicación, entornos, tags HTML propios y tokens API. Confirma propietario empresarial de cada tag de checkout.
Revoca accesos y vuelve a una versión verificada mediante el responsable. Analytics no tiene menos riesgo que WordPress. Evita campos de pago o cliente en data layers.
Audita CDN y DNS
Inspecciona Workers Cloudflare, reglas transform, redirects, páginas, Zaraz, caché y tokens. Verifica nameservers y origen.
El edge puede inyectar con WordPress intacto. Protege registrador y CDN con MFA y usuarios nominativos. No expongas el origen al comparar.
Inspecciona MySQL y hooks
Revisa plugins de snippets, widgets, opciones, constructores, hooks de checkout, plugins activos y mu-plugins, y personalizaciones del tema. Busca dominios y hashes confirmados.
Protege filas y aplica cambios precisos. No borres todo JavaScript propio: pagos, consentimiento y accesibilidad pueden depender de código revisado. Examina tareas que republican snippets.
Comprueba consentimiento e idiomas
La plataforma de consentimiento puede inyectar scripts distintos por región, idioma o elección. Reproduce el estado exacto e identifica publicaciones de configuración.
Los constructores multilingües pueden guardar snippets separados. Audita locales y plantillas móviles, no solo escritorio por defecto. El pago no debe depender del consentimiento publicitario.
Repite la prueba con estados de consentimiento aceptado, rechazado y aún no elegido, y desde regiones que activen configuraciones distintas. Registra qué contenedor, plantilla o proveedor introduce cada diferencia. Así se evita clasificar como legítimo un script que solo aparece en una variante poco probada.
Revisa scripts de proveedores
Un proveedor puede actualizar JavaScript en la misma URL sin tu despliegue. Confirma dominio, controles de integridad, contrato, estado y avisos de incidente.
Minimiza terceros y usa CSP y monitorización adecuados. Aloja localmente solo si licencia y proceso de actualización lo permiten. Documenta responsable de la versión.
Establece un baseline
Mantén inventario aprobado de dominios, versión del contenedor y propietarios, con alertas ante añadidos o cambios en rutas sensibles. Los hashes ayudan en assets estáticos, no siempre en proveedores remotos.
Revisa las diferencias en vez de bloquear todas automáticamente. Combina baseline con CSP, MFA y auditoría. Excluye valores de campos del monitoreo.
Verifica el checkout fiable
Reconstruye código y configuraciones externas desde fuentes aprobadas, rota secretos y prueba sandbox. Compara allowlist, hashes y dominios de pago alojado.
Prueba móvil, referrer y caché, creación de pedidos, webhooks y correo. Monitoriza tags, CDN, archivos y base. Si aparece cualquier script inexplicado, solicita investigación urgente mediante hashes e IDs censurados.