Tornar a entrar a /wp-admin és només una part de recuperar el control. Un atacant amb accés al hosting, correu o base de dades pot desfer qualsevol canvi de contrasenya; a més, un compte d’emergència sense documentar pot convertir-se en el següent problema.
El servei de recuperació de l’accés a l’administració de WordPress revisa el bloqueig i la via autoritzada de recuperació. Un incident més ampli es connecta amb la recuperació de WordPress hackejat.
Verifica la propietat, conserva evidències i utilitza la via de control fiable menys invasiva.
Confirma la instal·lació i la identitat
Comprova el hostname HTTPS canònic, ruta de WordPress, nom de la base i prefix de taules. Un DNS erroni o una migració fallida pot mostrar el login d’una còpia de staging.
Confirma des del hosting o la base protegida l’ID i correu del propietari. No revelis públicament si una adreça està registrada. Anota l’hora de l’error i canvis recents en comptes, plugins o migracions.
Protegeix primer els canals de control
Des d’un dispositiu net, assegura el correu principal, panell de hosting i registrador o DNS. Revoca sessions desconegudes i activa MFA.
Si la bústia està compromesa, el restabliment normal no és segur. Si ho està el hosting, l’atacant pot modificar fitxers o base després de cada recuperació. Utilitza el procés de verificació d’identitat del proveïdor i no intercanviïs contrasenyes en tiquets.
Prova el restabliment compatible
Quan la bústia del propietari i el domini siguin fiables, sol·licita un únic restabliment de WordPress. Comprova el lliurament des del proveïdor de correu sense compartir l’enllaç ni el token.
No generis enllaços repetits: els nous poden invalidar els anteriors i activar límits. Confirma que la URL utilitza el domini canònic i TLS. En entrar, estableix una contrasenya única i tanca les altres sessions.
Recupera mitjançant hosting o WP-CLI
Amb accés de shell autoritzat a la instal·lació correcta, WP-CLI permet identificar usuaris i restablir un compte verificat sense dependre del correu. Fes abans una còpia de la base i executa com el propietari apropiat.
wp user list --fields=ID,user_login,roles
wp user update ID_USUARI_VERIFICAT --prompt=user_passLa referència oficial de wp user update documenta la petició interactiva d’arguments. Verifica primer l’ID del propietari. Així no escrius la contrasenya en aquest comandament; comprova també com es registra la sessió i utilitza el canal segur acordat.
Limita qualsevol canvi a la base
Si WP-CLI no està disponible, un tècnic autoritzat pot actualitzar un únic compte prevalidat mitjançant phpMyAdmin o una altra eina controlada. Captura primer la base i confirma el prefix actiu.
No creïs un usuari ocult amb nom familiar ni copiïs hashes entre webs. Evita modificacions àmplies a users i usermeta, especialment en multilloc. Registra l’ID modificat i retira després l’accés temporal.
Aïlla conflictes d’autenticació
SSO, plugins de membresia o seguretat poden bloquejar el login encara que el compte continuï intacte. Revisa registres PHP i del plugin, a més d’actualitzacions recents.
Prova els components sospitosos en una còpia aïllada. Reanomenar tots els plugins a producció pot desactivar alhora checkout, tallafoc i auditoria. Mantén una ruta de propietari documentada, sense convertir-la en un bypass públic.
Busca mecanismes de persistència
Revisa administradors, contrasenyes d’aplicació, sessions, mu-plugins, tasques, wp-config.php i PHP en directoris escrivibles. Compara el codi mantingut amb paquets fiables.
Un atacant pot recrear el compte eliminat. Corregeix el component vulnerable o la credencial robada i rota secrets de hosting, base i desplegament. No reobris la web basant-te únicament en un login correcte.
Mantén la contenció independent
Si la web redirigeix visites, exposa el checkout o envia spam, contén el comportament des de hosting o CDN mentre recuperes l’accés. Entrar al panell no ha de reactivar automàticament producció.
Utilitza una resposta estàtica fora de WordPress quan sigui possible. Documenta qualsevol excepció per IP o manteniment i elimina-la en acabar les proves.
Assigna la decisió de recuperació i desa un tancament
Dona un responsable a cada canal de control. El propietari valida la identitat i aprova reobrir el negoci. El proveïdor de correu o allotjament fa les comprovacions de recuperació del seu compte. El tècnic de WordPress registra el canvi autoritzat, l’accés utilitzat, les troballes pendents i les proves. Si una persona ocupa diversos papers, deixa-ho anotat perquè el traspàs no quedi implícit.
Registre de recuperació de l'accés:
Propietari verificat i via de recuperació aprovada
Referència de compte existent modificat; hora i aprovació
Correu/hosting: verificat o pendent explícit
Rols aprovats i accés d'emergència revisats
Resultats de login/logout/reset i entorn de prova
Persistència pendent i responsable següent
Decisió separada de reobertura de la web públicaDeixa secrets i enllaços de restabliment fora del registre. Entrar correctament tanca un símptoma, no tots els canals de control. Si cal reconstruir codi o una còpia, utilitza la guia per restaurar WordPress sense restaurar la intrusió i conserva la mateixa referència d’incident. Abans d’acceptar, demana llista d’accessos aprovats, resultats i responsable explícit de cada pendent.
Verifica el control recuperat
Confirma administradors i rols aprovats, absència de contrasenyes d’aplicació desconegudes, correu del propietari segur i claus de hosting previstes. Prova login, logout, restabliment, formularis, checkout i correu transaccional.
Monitoritza canvis d’usuaris privilegiats i intents fallits. Elimina credencials d’emergència i documenta la recuperació. Si correu, hosting i WordPress discrepen sobre la propietat, demana ajuda urgent mitjançant canals gestionats sense compartir hashes, tokens ni bolcats.
Preparar una avaluació de recuperació d’accés
Anota el símptoma del bloqueig, el primer moment observat, canvis recents de compte i si continuen disponibles el correu del propietari i el hosting. El primer contacte descriu l’incident; les proves de propietat i els accessos necessaris utilitzen el canal acordat.
Sol·licita una avaluació de l’accés a l’administració de WordPress o revisa com es delimita i verifica la recuperació.