Credencials SFTP o SSH robades porten l’incident fora de WordPress. Reinstal·lar connectors o canviar admins no elimina un accés que continua existint al sistema o al compte d’allotjament. Tracta cada clau o contrasenya exposada com a compromesa i usa registres d’accés/fitxers per acotar el període.
Revoca la via antiga abans d’investigar-hi
Desactiva o rota el compte/clau exposat i tanca sessions actives. No continuïs administrant producció amb la mateixa credencial que investigues.
Revisa l’historial d’autenticació
Consulta IP/origen, horaris, logins correctes/fallits i auditoria disponible. Correlaciona-ho amb modificacions de fitxers i finestres de desplegament.
Busca persistència per sobre de WordPress
Revisa authorized_keys, perfils shell, cron/systemd/tasques del proveïdor, hooks i webs germanes escrivibles. wp-content net no basta.
Separa claus de desplegament i comptes humans
Identifica CI/CD, backup i agències que reutilitzin credencials. Rota secrets dependents sense trencar automatitzacions en silenci.
Reconstrueix fitxers des de fonts fiables
Compara aplicació amb repositori/paquets coneguts. Conserva uploads/contingut a part i analitza’ls en lloc de confiar en executables modificats.
Comprova que la credencial antiga ja falla
Prova la revocació des d’un client extern i vigila nous logins. Documenta propietaris, caducitat i mínim privilegi de les noves claus.
Usa rotació de credencials després del compromís i recuperació del panell si també dubtes de l’allotjament.
Comprova on es desava la credencial
Revisa portàtils de desenvolupament, secrets CI, gestors de contrasenyes, lliuraments antics d’agència i scripts de backup que puguin contenir la mateixa credencial SFTP/SSH. Rotar la clau al servidor sense retirar les còpies exposades deixa una via previsible per a un altre incident.