Qué le puedes preguntar a tu IA

Solo leyendo, encontró un skimmer de tarjetas, un backdoor con ejecución remota, el jQuery del core adulterado y 3 administradores fantasma — y te dejó el plan de limpieza exacto.

Cruza la evidencia: un PHP «sospechoso» de 0 bytes era falso positivo, y un spam de apuestas dado por «arreglado» seguía inyectado con cloaking en 3 lugares.

Confirmó el falso positivo (score de bot 0, URLs de admin legítimas) y dejó lista la whitelist de su IP.

Reconstruye la línea de tiempo desde usuarios y logs — y cuando el host ya rotó los logs, te lo dice en vez de inventar un vector.

Los lee uno por uno: separa los benignos (restos de un plugin, módulos del core) de los realmente peligrosos, con la prueba de cada uno.

Recibía más de 100 envíos al mes pero no había webhook, la licencia no traía el add-on y 2 snippets estaban en borrador — no hacía falta rebuild, solo el puente.

Encuentra cada página, shortcode y template de Elementor donde aparece — sin que lo busques a mano.

Inventaría todo: qué form está activo, sus destinatarios y sus webhooks (uno iba a Salesforce, otro a un CRM) — desenreda el setup.

Lee las entradas y te da la proporción real (activas vs spam de Akismet) y desde qué páginas llega cada una.

Causa raíz: un cambio de TTL de caché (28 días → 10 min) duplicó los renders en PHP y saturó los workers — no fue ataque, fue config.

Midió la cobertura real (12% del CSS usado, YouTube al inicio) y, por ser Agency, escribió el mu-plugin del fix y te lo dejó activable con 1 click.

Un pico de scrapers pegando a paths sin caché, sin Redis, más una credencial vieja martillando el sitio — con la mitigación exacta.

La auto-investigación junta sola los fatales, 5xx, brute-force y cambios recientes, e infiere la causa probable — antes de que preguntes.

Encontró 587 MB de tablas de staging duplicadas, más de mil revisiones y tablas huérfanas de un plugin — pesando en cada request.

Encontró tres capas de caché sirviendo lo viejo (edge del host, un 304 eterno y el TTL) y armó el purge-on-publish.

Re-trazó 130 redirects en vivo, separó los tuyos de una capa externa y dejó los tuyos 25/25 a un solo salto.

Verificó: producción estaba limpia (139/139 páginas), el reclamo era la URL de staging — no aceptó el claim a ciegas.

Arma un 410 Gone genuino y la saca del sitemap, sin noindex ni bloquear robots — verificado en staging.

Causa: una regresión del plugin de Stripe 10.9.0 que colgaba el sheet de pago — el fix era actualizar a 10.9.1, verificado.

No — descartado con evidencia: solo Stripe renderiza el botón, los wrappers de WooPayments estaban vacíos.

Un bug de expiry/sync con Stripe (no del plugin de membresías) — 238 suscriptores resincronizados, el flapping frenado, 0 errores.

Reconcilió cuenta por cuenta: 458 con sub activa, 38 a triar — con la lista exacta para revisar.

No era un bug: la tienda enviaba solo a EE.UU.; una dirección de afuera fallaba, una de EE.UU. daba «Free shipping» OK.

Un script borraba utm_source al cargar la página — ~$2.500/semana en ads perdiendo atribución. Localizado, con el fix.

Instaló el A/B testing vía GTM (sobrevive los push de staging a prod) con la meta atada al submit del form, verificado.

Un defecto de ruteo por nivel — corregido para que los free vayan a la lista free, verificado en la config.

Reactivó el logger de crawlers LLM (estaba apagado en prod) y verificó que registra — para que veas quién scrapea.

El servicio de email no tenía API key válida — miles de envíos fallando desde una fecha exacta; key nueva y verificado sin fallos.

Revisa el alineamiento de SPF / DKIM / DMARC y el servicio de envío, y te dice qué falta para llegar a la bandeja.

Lee la config de notificaciones del form: a qué email va, la confirmación y si falta un webhook al CRM.

Midió un CLS de 1.95 — el logo sin dimensiones y las fuentes cargando tarde. Por ser Agency, escribió el mu-plugin con los preloads y el aspect-ratio y te lo dejó activable con 1 click → CLS 0.07.

La imagen del hero en móvil era un JPG de 337 KB y el CDN servía la copia de escritorio a los teléfonos. WebP liviano + preload por dispositivo, activable con 1 click.

La versión de tablet era un JPG de 252 KB mientras las demás ya eran WebP. Lo cambió a WebP y purgó la caché — activable con 1 click.

Los mide uno por uno — GTM 515 KB / 920 ms, Facebook, el challenge del CDN — y te dice cuánto ganas sacando o difiriendo cada uno.

Inventarió los plugins, el tema y hasta los snippets de código guardados en la base, y te dice qué es compatible y qué no antes de tocar nada.

Lo abrió: solo dejaba un tag de Analytics muerto en el HTML — cero riesgo, pero listo para quitar.

Leyó cada snippet activo directo de la base de datos y confirmó que el código es moderno y compatible.

Encontró WP_DEBUG y WP_DEBUG_LOG en true en el wp-config — fuga de errores y un log creciendo. Preparó el cambio a false con backup del archivo.

Un plugin escribía «Migrating…» en cada request. Lo desenganchó y truncó el log en un mu-plugin one-time — activable con 1 click.

No: eran archivos de la plataforma del hosting administrado (un auto_prepend y un checksum comparado contra la versión equivocada). Dos falsos positivos, con la prueba.

Vio los hooks de wp_head que corren en el front-end (los que un escáner externo no ve) y determinó que era la integración en runtime de un tercero, no algo pegado en la base.

No era un bug del tema: era el focus ring del navegador sobre el enlace de cada tarjeta. Te dejó el CSS exacto para suavizarlo sin perder accesibilidad.

Un script de terceros cargaba tarde y bloqueaba el render en iOS; adelantarlo en el <head> lo resolvió — verificado en un iPhone real.

Detectó 2 saltos al sitemap y dejó la línea corregida a 0 saltos — y te avisa cuando la vista vieja es solo caché del CDN, no el archivo real.