Cap manteniment pot prometre que WordPress no serà compromès mai. Un servei seriós redueix l’exposició, detecta aviat canvis perillosos, demostra còpies i funcions comercials i manté preparada la resposta.
L’abast ha de seguir el valor i l’arquitectura de la web, no només el nombre de connectors.
Mantén un inventari complet
Llista versions de WordPress, PHP i base, connectors, temes, mu-plugins, drop-ins, codi propi, webs, staging, usuaris, integracions i propietaris. Registra font i suport.
Elimina components abandonats i entorns temporals. No deixis codi vulnerable inactiu al disc. Revisa l’inventari després de cada canvi d’arquitectura.
Aplica actualitzacions controlades
Vigila avisos de seguretat i actualitza mitjançant staging, còpia provada, matriu de compatibilitat i reversió. Prioritza components crítics exposats sense esperar la revisió mensual.
Prova formularis, checkout, cron i correu. Substitueix programari sense suport en lloc de fixar-lo indefinidament. Registra releases nets.
Revisa accessos periòdicament
Audita administradors, gestors, contrasenyes d’aplicació, hosting, SFTP, SSH, base, correu, DNS, CDN, tags, pagaments, còpies i repositoris.
Utilitza comptes individuals de privilegi mínim, MFA i secrets únics. Retira antics empleats, proveïdors i accessos d’emergència caducats. Separa i documenta la recuperació del propietari.
Protegeix configuració i secrets
Desa secrets fora de temes, repositoris i còpies públiques; rota’ls quan s’exposin i separa credencials per web i servei quan sigui viable.
Revisa wp-config.php, regles del servidor, tasques i automatització. Alerta sobre canvis sense registrar valors. Separa les credencials de staging.
Reforça el límit del hosting
Separa webs, usuaris de sistema i base; restringeix PHP en uploads quan sigui compatible i elimina eines i còpies públiques. Aplica permisos recomanats.
Revisa PHP, extensions, cron, límits de correu i accés a l’origen darrere de CDN. No imposis regles globals sense provar formularis, checkout i actualitzacions.
Monitoritza canvis d’alt valor
Alerta sobre privilegis, tokens, executables, configuració, instal·lacions, cron, DNS, CDN, tags, pagaments, webhooks i correu anòmal.
Envia registres a un canal extern protegit i exclou contrasenyes, autoritzacions i cossos de clients. Ajusta el soroll de fitxers generats sense ignorar executables als uploads.
Demostra les còpies
Crea còpies externes protegides de fitxers, base i configuració amb una freqüència d’acord amb la pèrdua tolerable de comandes o leads. Prova restauracions aïllades.
Separa instantànies de l’incident de la rotació ordinària i no desis mai ZIP o SQL a l’arrel pública. Concilia dades de WooCommerce entre punts.
Prova els processos comercials
Executa formularis sintètics sense sessió, lliurament a bústia, inici de sessió, reset i checkout sandbox periòdicament i després de canvis importants.
Verifica pagaments, webhooks, estoc, comandes, cron i Analytics sense contaminar vendes ni utilitzar targetes reals. Neteja dades de prova. L’uptime no demostra que un formulari o checkout funcioni.
Mantén reputació de seguretat i cerca
Revisa Safe Browsing, Search Console, accions, propietaris, sitemaps i recurrència d’URL. Si hi hagué correu brossa, vigila la reputació del correu transaccional.
Corregeix estats, canonical i sitemaps i assegura propietaris DNS i CDN. No repeteixis sol·licituds sense corregir problemes reals.
Respon a vulnerabilitats noves
Quan un avís afecti un component instal·lat, verifica versió, configuració, autenticació, pedaç i exposició. Prioritza segons capacitat i ruta comercial.
Contén temporalment només la ruta necessària i després actualitza o substitueix amb el procés provat. Cerca explotació a staging, webs veïnes i registres. No esperis l’escaneig mensual següent.
Mantén preparat el procés d’incident
Conserva contactes de hosting, pagaments, legal i privacitat, mètode de contenció, evidències, propietaris de credencials i funcions de comunicació.
Assaja manteniment i accés de recuperació. Defineix què requereix contenció urgent. No utilitzis un administrador ocult permanent com a pla.
Informa de resultats, no d’activitat
L’informe recurrent ha d’indicar controls, evidències, problemes, correccions, risc restant, propietari i termini. Executar escàners no demostra seguretat.
Demana protecció recurrent quan un canvi silenciós pugui afectar clients o ingressos. El servei útil conserva confiança i capacitat de recuperació sense prometre invulnerabilitat.