Acabar el mode incident no significa abandonar la seguretat. Significa que la recuperació està demostrada, la conciliació urgent està completa i els riscos restants tenen responsables i calendari normals.
Utilitza una transició formal, no la data en què va tornar la portada.
Confirma que ha desaparegut el comportament maliciós
Verifica que redireccions, phishing, correu brossa, codi del checkout, usuaris, tasques, fitxers i avisos ja no es reprodueixin sota les condicions originals.
Prova DNS públic, mòbil, referrer, primera visita, cicle cron i escalfament de memòria cau. Un navegador administrador o un escàner no són suficients. Conserva una contenció ràpida.
Confirma programari i dades fiables
Registra font, versió i propietari de WordPress, connectors, temes i codi propi. Revisa usuaris, opcions, cron, snippets, contingut i uploads de la base.
Elimina codi abandonat, arrels infectades i còpies públiques després de la retenció necessària. Resol diferències desconegudes i conserva l’identificador net.
Confirma accessos i secrets
Audita comptes i tokens de WordPress, hosting, SSH, SFTP, base, correu, DNS, CDN, tags, pagaments, còpies i codi font.
Verifica rotacions, sessions revocades, MFA i retirada de tècnics temporals. Cap secret ha de quedar en tiquets, repositoris o staging. Documenta propietaris, mai valors.
Confirma que s’ha tancat l’entrada
Explica el vector confirmat o probable, grau de confiança, alternatives i controls per a totes les rutes d’alt impacte. Corregeix components vulnerables i comptes robats.
Si no es coneix el vector, aplica controls més amplis d’arquitectura, accés i vigilància. Torna al manteniment només quan s’accepti expressament el risc residual. Revisa staging i webs germanes.
Confirma la conciliació comercial
Creua comandes, pagaments, reemborsaments, estoc i preparació, a més de formularis, leads, accessos i correu durant la finestra de l’incident i el canvi.
Resol registres absents i assigna un estat autoritatiu. La incertesa sobre comandes pagades no pot quedar com a manteniment rutinari. Obté aprovació segura del propietari.
Confirma totes les proves funcionals
Valida inici de sessió, reset, formularis, bústia, checkout sandbox, pagaments, webhooks, comandes, cron, uploads, mòbil, idiomes i Analytics sense efectes duplicats.
Elimina dades sintètiques i regles temporals. Comprova que els registres no desin secrets o cossos de clients i repeteix després dels últims canvis de DNS i memòria cau.
Confirma còpies i reversió
Crea i restaura una còpia neta protegida. Assegura que repositoris i automatitzacions no reintrodueixin programari maliciós, components abandonats o secrets antics.
La reversió ha d’arribar a un release net o manteniment segur, mai a l’arrel infectada. Documenta temps i pèrdua tolerable i separa l’evidència.
Confirma responsables de monitorització
Mantén alertes accionables per a privilegis, executables, configuració, cron, correu sortint, pagaments i indicadors originals. Cadascuna necessita propietari i canal independent.
Completa un període de vigilància reforçada d’acord amb el risc, habitualment un cicle de 30 dies en incidents crítics. Redueix soroll només amb evidència.
Completa la revisió posterior
Documenta cronologia, impacte, entrada i confiança, contenció, recuperació, errors de detecció i millores. Assigna propietari i termini a cada acció.
Separa fets tècnics de decisions legals o de clients i conserva evidència segons la política. No incloguis credencials, payloads ni dades innecessàries. Actualitza inventaris i procediments.
Tanca accessos i registres de l’incident
Retira comptes, claus, eines de base, excepcions IP, debug i permisos excessius. Desa la matriu final, cronologia i decisions.
Elimina amb seguretat còpies de treball innecessàries i conserva avisos legals o de pagament segons els requisits. Programa la revisió següent.
Lliura a responsables nominals
Transfereix actualitzacions, accessos, còpies, alertes, conciliació i contactes. Confirma que cada responsable accedeix amb compte individual i MFA.
Prova l’acusament d’una alerta i un canvi ordinari abans de tancar. Retira tècnics sense necessitat, documenta llindars i un canal independent.
Torna a una freqüència basada en risc
El manteniment normal inclou inventari, actualitzacions, accessos, restauracions, proves comercials i preparació d’incidents. Augmenta la freqüència després de canvis o amenaces.
Demana atenció recurrent si l’organització no pot sostenir aquests controls. La transició acaba quan l’evidència i els propietaris, no l’optimisme, donen suport al funcionament.