Destino Access Audit

Destino Access Audit añade una única página de administración (Herramientas → Destino Access Audit) que centraliza la respuesta a una pregunta: quién y qué tiene acceso actualmente a este sitio.

La página es información de auditoría de solo lectura, excepto por una acción deliberada: revocar una contraseña de aplicación, que delega completamente en la propia API del núcleo de WordPress. Destino Access Audit nunca crea, modifica ni almacena ninguna conexión de gestión remota por sí mismo.

Lo que muestra

• Contraseñas de aplicación — todas las contraseñas de aplicación activas en el sitio (todos los usuarios), con fecha de creación, fecha de último uso, última IP y un botón Revocar de un clic (AJAX, sin recargar la página) más una exportación CSV.
• Usuarios administradores — una lista simple de todos los usuarios con el perfil administrator, con un enlace directo para editar cada uno. Útil para detectar una cuenta de administrador que no reconoces.
• UpdraftPlus / UpdraftCentral — si UpdraftPlus está instalado/activo, un enlace directo a su pantalla de ajustes, si está conectado a un escritorio de UpdraftCentral (incluyendo qué usuario de WordPress hizo esa conexión) y si la función propia de UpdraftPlus «Bloquear ajustes» con contraseña está ocultando actualmente esa pantalla.
• MainWP Child — si MainWP Child está instalado/activo, un enlace directo a su pantalla de ajustes, si está emparejado con un escritorio de MainWP y qué usuario de WordPress estableció ese emparejamiento.
• ManageWP Worker — estado de instalado/activo. ManageWP Worker se empareja con su escritorio mediante un intercambio de claves OpenSSL sin una bandera «conectado» legible localmente, por lo que este bloque documenta esa limitación en lugar de adivinar.
• InfiniteWP Client — estado de instalado/activo, con la misma nota de limitación honesta que ManageWP Worker.

Notas de seguridad

• Cada acción de escritura (revocar una clave) está protegida por un nonce, una comprobación de capacidad manage_options y una segunda comprobación de capacidad (edit_user) específica del usuario propietario de la clave.
• La exportación CSV se genera en el servidor y neutraliza los campos que podrían interpretarse como fórmulas de hoja de cálculo (inyección de fórmulas CSV/Excel).
• El propio escritorio requiere la capacidad manage_options para poder verlo.