El codi del checkout pot canviar sense release Git o WordPress. Tag Manager, Workers, scripts remots, snippets MySQL, constructors i comptes compromesos modifiquen el resultat del navegador.
Tracta qualsevol JavaScript inexplicat com a alt risc fins a verificar propietari, font i finalitat.
Contén abans d’investigar
Pausa checkout o serveix manteniment fiable fora de WordPress. Si confirmes un script extern maliciós, bloqueja’l en una capa fiable conservant evidència.
No provis amb targetes reals ni el deixis actiu perquè només aparegui en mòbil. Registra hora i dominis i avisa el responsable de pagaments.
Captura el codi desplegat
Registra URL, hora, URL del script o hash inline, capçaleres, iniciador i destinació de xarxa. Conserva versions de tags/CDN i font del navegador sense enviar pagaments.
No publiquis ni executis el codi en eines online. Utilitza emmagatzematge protegit. Compara primera visita, mòbil i referrer.
Distingeix codi estàtic i dinàmic
Un asset de tema pot canviar al disc; un inline pot venir d’opcions, snippets o resposta remota. Utilitza iniciador, source maps i logs per identificar la capa.
Compara origen i CDN. Registra estat i edat de memòria cau: una memòria cau antiga pot servir un recurs compromès després de netejar el disc. Purga després de conservar evidència.
Audita Tag Manager i analytics
Revisa usuaris, historial de publicació, entorns, tags HTML propis i tokens API. Confirma propietari empresarial de cada tag de checkout.
Revoca accessos i torna a una versió verificada mitjançant el responsable. Analytics no té menys risc que WordPress. Evita camps de pagament o client als data layers.
Audita CDN i DNS
Inspecciona Workers Cloudflare, regles transform, redireccions, pàgines, Zaraz, memòria cau i tokens. Verifica nameservers i origen.
L’edge pot injectar amb WordPress intacte. Protegeix registrador i CDN amb MFA i usuaris nominatius. No exposis l’origen en comparar.
Inspecciona MySQL i hooks
Revisa plugins de snippets, widgets, opcions, constructors, hooks de checkout, plugins actius i mu-plugins, i personalitzacions del tema. Busca dominis i hashes confirmats.
Protegeix files i aplica canvis precisos. No esborris tot JavaScript propi: pagaments, consentiment i accessibilitat poden dependre de codi revisat. Examina tasques que republican snippets.
Comprova consentiment i idiomes
La plataforma de consentiment pot injectar scripts diferents per regió, idioma o elecció. Reprodueix l’estat exacte i identifica publicacions de configuració.
Els constructors multilingües poden desar snippets separats. Audita locals i plantilles mòbils, no només escriptori per defecte. El pagament no ha de dependre del consentiment publicitari.
Repeteix la prova amb consentiment acceptat, rebutjat i encara no triat, i des de regions amb configuracions diferents. Registra quin contenidor, plantilla o proveïdor introdueix cada diferència per no validar un script que només apareix en una variant poc provada.
Revisa scripts de proveïdors
Un proveïdor pot actualitzar JavaScript a la mateixa URL sense desplegament. Confirma domini, controls d’integritat, contracte, estat i avisos d’incident.
Minimitza tercers i utilitza CSP i monitorització adequats. Allotja localment només si llicència i actualitzacions ho permeten. Documenta responsable de la versió.
Estableix un baseline
Mantén inventari aprovat de dominis, versió del contenidor i propietaris, amb alertes davant d’afegits o canvis en rutes sensibles. Els hashes ajuden en assets estàtics, no sempre en proveïdors remots.
Revisa les diferències en lloc de bloquejar-les automàticament. Combina baseline amb CSP, MFA i auditoria. Exclou valors de camps de la monitorització.
Verifica el checkout fiable
Reconstrueix codi i configuracions externes des de fonts aprovades, rota secrets i prova sandbox. Compara allowlist, hashes i dominis de pagament allotjat.
Prova mòbil, referrer i memòria cau, creació de comandes, webhooks i correu. Monitoritza tags, CDN, fitxers i base. Si apareix un script inexplicat, demana investigació urgent mitjançant hashes i IDs censurats.