Commits
Enduriment del connector: sessions, força bruta i anti-replay reals
Cinc arranjaments de seguretat del connector de manteniment: sessions de WooCommerce que ja no s'esborren vives, xmlrpc dins del bloqueig, hardening que verifica el que afirma, firmes anti-replay i latència que no encalla el llistat.
Jornada d'enduriment del connector de manteniment: cinc fronts al mateix fitxer de seguretat i als veïns, tot sota test.
Sessions que respiren
L'esborrat de sessions de WooCommerce no tenia WHERE: s'enduia carrets actius amb les velles. Ara filtra per session_expiry amb UTC_TIMESTAMP() i només marxa el que ja ha caducat.
xmlrpc també compta
El bloqueig per força bruta cobria wp-login però no xmlrpc: els atacs de diccionari omplien el comptador de fallades sense arribar a bloquear mai. Ara les dues portes compten al mateix pany.
Hardening honest
El blocatge d'execució de PHP a uploads escrivia el .htaccess i donava la cosa per feta. Si l'escriptura fallava, el panell mostrava una protecció que no existia. Ara el connector comprova que el bloc segueix a disc i, si no pot escriure, ho diu: resposta d'error, opció en 'no' i estat d'enduriment actiu només quan es pot verificar.
Anti-replay de veritat
Les mutacions signades amb HMAC podien reenviar-se tal qual: la firma era vàlida sempre. Ara tota firma de mutació ja consumida es recorda cinc minuts i el reenviament es rebutja. Els GET no es memoritzen per no trencar les verificacions repetides del portal.
Latència
El llistat de plugins marcava la comprovació com a feta encara que l'actualització fallés, i el panell passava tres hores sense dades. Ara el marca només quan ha anat bé i reintenta al següent llistat. L'escaneig de malware de l'auditoria es cau uns cinc minuts per no martellejar cada obertura de pestanya.
Estat: el connector fa la seva feina sense afirmar mai el que no ha pogut comprovar.