Alguns visitants arriben al WordPress real mentre altres veuen una còpia falsa, avís de certificat o servidor aliè. Es poden haver canviat registres DNS, nameservers o l’origen del CDN. Netejar fitxers no repara el trànsit que mai arriba a WordPress.
Inclou el registrador i el proveïdor DNS en l’abast crític de l’incident.
Captura la resolució des de diverses ubicacions
Registra nameservers i respostes A, AAAA i CNAME del host afectat des de diversos resolvers de confiança. Inclou TTL i hora.
Compara amb la configuració coneguda del servidor o CDN i amb l’historial de zona. La propagació, DNS dividit o diversos registres legítims també poden produir respostes diferents.
No consultis eines públiques a l’atzar amb hostnames interns privats.
Conserva la zona i l’historial del compte
Exporta la zona, logs d’auditoria, usuaris, tokens API i canvis recents de nameservers o registres. Desa el contacte del registrador i l’estat de bloqueig de transferència.
Protegeix aquesta evidència perquè revela infraestructura i demana als proveïdors que retinguin logs d’autenticació i canvis.
No esborris cada registre desconegut: correu, verificacions i subdominis de servei poden ser legítims.
Assegura el registrador i el proveïdor DNS
Des d’un dispositiu net, protegeix el correu del propietari, revoca sessions, usuaris i tokens desconeguts i activa MFA fort. Canvia credencials i revisa els contactes de recuperació.
Activa el bloqueig del domini quan correspongui i verifica que no hi hagi cap transferència o canvi de nameservers pendent sense autorització.
Contacta amb suport mitjançant una URL o telèfon verificats, no dades incloses en correus sospitosos.
Restaura els registres autoritzats
Utilitza una zona bona documentada o els valors de l’allotjament o CDN. Comprova IPv4 i IPv6: un AAAA maliciós pot desviar xarxes que prefereixen IPv6 mentre les proves IPv4 semblen correctes.
Confirma comodins i el comportament del domini arrel i www. Coordina MX, SPF, DKIM i DMARC per no trencar el correu durant la recuperació.
Baixar el TTL després que una resposta estigui emmagatzemada no invalida les memòries cau existents.
Valida DNSSEC abans i després
Si s’utilitza DNSSEC, compara el registre DS del registrador amb la configuració de signatura del proveïdor actiu. Canviar nameservers o regenerar claus sense coordinar el DS pot provocar errors de validació generalitzats.
No desactivis DNSSEC només per amagar una discrepància. Conserva l’historial de claus i DS, identifica el proveïdor autoritzat i segueix el seu procediment de rotació o retirada.
Després, consulta resolvers validadors i monitoritza SERVFAIL a més de les respostes A i AAAA esperades. Documenta qui gestionarà futures rotacions.
Revisa el CDN i la configuració d’origen
Si Cloudflare o un altre proxy és autoritatiu, inspecciona adreces d’origen, Workers, redireccions i balancejadors. Un DNS correcte encara pot enviar trànsit a un origen controlat per l’atacant.
Verifica certificats TLS i, quan sigui possible, registres d’emissió per detectar certificats desconeguts. Revoca o substitueix credencials d’origen afectades.
No exposis l’origen protegit durant la recuperació.
Inspecciona també WordPress i l’allotjament
El compromís DNS pot ser independent o part d’un robatori més ampli. Revisa usuaris del panell, administradors WordPress, fitxers, base, cron i correu de restabliment.
Si els visitants van introduir credencials o pagaments a la còpia falsa, coordina la resposta legal, de privacitat i pagaments. No pressuposis que el desviament era innocu.
Conserva la destinació maliciosa com a text i no hi interactuïs.
Verifica la propagació i l’estabilitat
Monitoritza resolvers autoritatius i recursius durant diversos períodes TTL. Prova HTTP i TLS mitjançant el domini canònic i regions rellevants.
Confirma que els logs mostren només canvis autoritzats i que les alertes estan activades. Documenta la zona final i els propietaris i programa una revisió trimestral.
Quan cal una recuperació urgent
Demana ajuda immediata si van canviar els nameservers, es disputa la propietat o els visitants van arribar a una còpia de credencials o pagaments. Envia domini i evidència DNS censurada, mai contrasenyes.
La reparació ha de recuperar l’autoritat, assegurar el compte i verificar que el trànsit arriba de manera consistent al servei de confiança.