Monitorización de cuentas de administrador: la puerta trasera es una cuenta, no solo un archivo.
Tras una intrusión, la persistencia rara vez es un archivo: es una cuenta. Relvato lee la lista de administradores a través del plugin y señala cualquier cuenta que tenga administrador más un rol de cliente o suscriptor, o un administrador registrado en las últimas dos semanas.
- ✓Ninguna cuenta tiene administrador más un rol de cliente o suscriptor
- ✓Ningún administrador ha aparecido en los últimos 14 días sin que lo sepas
- ✓El número total de admins en cada comprobación, para ver un crecimiento silencioso
- ✓Se vuelve a comprobar en cuanto cambia un rol, no solo por horario
El manual del skimmer de WooCommerce no deja un admin evidente llamado «hacker». Coge una cuenta de cliente existente y le añade el rol de administrador, así que la cuenta conserva su etiqueta de cliente y parece un comprador más entre miles. Un escáner de malware que busca archivos modificados no ve nada, porque en el disco no ha cambiado nada. Vigilar los roles es lo que lo detecta, y en cuanto un rol cambia, Relvato vuelve a comprobarlo en vez de esperar al pase nocturno.
- El plugin informa de la lista: usuario, nombre visible, roles, fecha de registro y el dominio del correo. Nunca direcciones completas.
- Una cuenta con administrador Y un rol de cliente o suscriptor hace fallar la comprobación: eso es una elevación, no un alta.
- Un administrador registrado en los últimos 14 días se muestra para que lo confirmes: lo apruebas una vez, o lo retiras.
¿Relvato lee los datos personales de mis usuarios?
No. El plugin informa, por cada administrador, del usuario, el nombre visible, los roles, la fecha de registro y la parte de dominio del correo: nunca la dirección completa, nunca una contraseña y ninguna cuenta por debajo de administrador.
¿Por qué «administrador + cliente» se considera un problema?
Porque es una elevación, no una configuración normal. Un administrador real se crea como tal; una cuenta de cliente que de pronto también es administrador casi siempre recibió ese rol de alguien que entró. Y se esconde bien: tu lista de usuarios sigue mostrando «Cliente».
He añadido yo un admin nuevo. ¿Seguirá avisando?
No. Un administrador recién creado es un aviso, no un fallo, y deja de aparecer cuando la cuenta supera las dos semanas, o de inmediato si marcas el hallazgo como revisado.
¿Funciona sin el plugin de WordPress?
No. Los roles solo existen dentro de WordPress, así que esta comprobación necesita el plugin gratuito de Relvato (1.3.0 o posterior). Las comprobaciones que miran tus páginas desde fuera no lo necesitan.
Pon esta comprobación en piloto automático.
Gratis para siempre en un sitio — 3 recorridos, 100 ejecuciones al mes. Sin tarjeta, sin llamada comercial.