Détecteur de thème WordPress : trouver le thème · détecter les extensions → hébergeur
Avec ce détecteur de thème WordPress, il suffit de saisir l'adresse d'un site pour trouver son thème et détecter ses extensions. Vous obtenez le nom et la version du thème, les extensions installées, l'hébergeur et la plage d'adresses IP. L'article explique aussi quand la protection des chemins ou un CDN limitent les résultats, et compare d'autres sites d'analyse.
Collez l'adresse pour vérifier si un site est fait avec WordPress. Le préfixe https:// est facultatif.
Même si les informations sont masquées avec Hide My WP ou un outil similaire, un site qui tourne sur LiteSpeed utilise en pratique WordPress à coup sûr.
Ⅰ. Utiliser le détecteur d'extensions et de thèmes WordPress
Une fois l'analyse terminée, le résultat s'affiche dans cet ordre : badge de détection, thème, extensions et hébergement. Avec autant de rubriques, on ne sait pas toujours où regarder au début. Les extensions apparaissent notamment à deux endroits, et comme ces deux rubriques les trouvent de façon différente,
il n'y a pas d'erreur si l'une d'elles reste vide. Voyons dans l'ordre ce que signifie chaque rubrique.
1️⃣ Les trois badges de détection
Après l'analyse, un badge s'affiche au-dessus de l'adresse. Sa couleur et son texte indiquent des choses différentes.
- Vert: [WordPress] signifie que le site est sans aucun doute fait avec WordPress. Au moins une trace a été trouvée : le chemin wp-content, la balise meta generator, le lien REST API ou une trace similaire.
- Orange: [WordPress (chemins masqués)] signifie que le site tourne bien sous WordPress, mais que les chemins du thème et des extensions sont masqués. C'est ce qui se passe quand une extension de sécurité renomme les dossiers. L'outil n'a rien manqué : c'est le site qui les cache.
- Rouge: [Pas WordPress] signifie qu'aucune trace de WordPress n'a été trouvée. Le site est construit autrement, ou un CDN placé devant masque les informations d'origine.
- Sous le badge: la rubrique [Base de la détection] indique les traces qui ont servi à la détection ; s'il n'y en a qu'une, le résultat est d'autant moins sûr.
2️⃣ Différence entre « Extensions (via les chemins) » et « Détections complémentaires »
Dans le résultat, les extensions apparaissent à deux endroits, parce qu'elles sont trouvées de deux façons différentes.
« Extensions (via les chemins) » lit les noms directement dans les chemins de fichiers. C'est précis, mais cela suppose que des chemins comme /wp-content/plugins/nom/ figurent dans le code source. Quand une extension de cache fusionne plusieurs fichiers en un seul, les chemins disparaissent et rien ne s'affiche.
« Détections complémentaires (thème · extensions) » s'appuie sur d'autres traces : des mots restés dans les noms de fichiers fusionnés, des classes propres affichées sur la page ou les en-têtes de réponse du serveur. Cela fonctionne même si les chemins ont été modifiés ou ont disparu. Les éléments connus s'affichent sous leur nom officiel, les autres sous le nom (slug) enregistré par le site. Le nom du thème apparaît aussi ici.
Si la partie du haut est vide et que seule celle du bas est remplie, les ressources du site ont été optimisées. Si une extension figure en haut mais pas en bas, c'est qu'elle ne laisse pas d'autres traces. C'est en regardant les deux ensemble que vous vous rapprochez de la configuration réelle.
3️⃣ Informations d'hébergement et de réseau
La rubrique Hébergement affiche les informations du serveur et du réseau.
Attention : pour un site qui utilise un CDN, l'IP et le fournisseur affichés sont ceux du CDN. Il est impossible de savoir où se trouve le serveur réel ; un message s'affiche alors sous le résultat. Masquer l'origine est le but même d'un CDN : les autres outils d'analyse montrent la même chose.
Pour une même entreprise, l'indication peut varier. Cloudways, par exemple, n'exploite pas ses propres serveurs mais loue l'infrastructure d'autres fournisseurs : la rubrique Fournisseur affiche donc l'entreprise d'infrastructure, et Hébergement probable montre parfois les deux.
Ⅱ. Quand le thème et les extensions ne sont pas détectés
Il arrive que le thème et les extensions restent vides après l'analyse. La plupart du temps, ce n'est pas l'outil qui est en cause : le site analysé masque des informations ou il est construit autrement. Il y a trois causes principales.
1️⃣ Extensions de protection des chemins
WordPress charge les fichiers des thèmes et des extensions depuis /wp-content/themes/nom/ et /wp-content/plugins/nom/. Les outils d'analyse lisent les noms dans ces chemins. Autrement dit, il suffit de renommer les dossiers pour bloquer l'analyse.
C'est le rôle des extensions de sécurité comme Hide My WP. Elles remplacent les noms des dossiers par des caractères aléatoires, déplacent l'adresse de connexion et renomment même le fichier readme. Quand on analyse un tel site, le badge affiche en orange « WordPress (chemins masqués) » et les rubriques thème et extensions restent vides.
Il est en revanche difficile de cacher qu'il s'agit de WordPress, car des traces comme le lien REST API ou le script emoji n'ont rien à voir avec les chemins. WordPress est donc détecté, mais les détails restent masqués.
Ce n'est pas étanche pour autant. Les noms de dossiers changent, mais les noms de fichiers restent souvent les mêmes, si bien qu'une partie des extensions apparaît dans « Détections complémentaires » grâce aux mots restés dans les noms de fichiers fusionnés.
2️⃣ Sites derrière un CDN
Un CDN est un serveur relais placé entre les visiteurs et le serveur d'origine. Cloudflare, l'exemple le plus connu, fonctionne ainsi : quand un outil d'analyse se connecte, il atteint le serveur du CDN et non l'origine ; l'IP et le fournisseur affichés sont alors ceux du CDN.
Dans ce cas, un message s'affiche sous le résultat. Il est impossible de savoir chez quelle entreprise se trouve le serveur d'origine. Masquer l'origine fait partie du rôle d'un CDN : les autres outils d'analyse donnent le même résultat.
Selon les réglages du CDN, même la détection de WordPress peut être bloquée. Si des règles de sécurité refusent les accès automatisés, l'outil ne reçoit pas la page du tout et affiche « Pas WordPress », alors qu'il s'agit bien de WordPress.
3️⃣ Chemins effacés par l'optimisation des ressources
Les extensions de cache fusionnent plusieurs fichiers CSS et JS en un seul pour gagner en vitesse. WP Rocket/ Autoptimize, par exemple, le font avec leur fonction de concaténation. Il ne reste alors qu'un fichier fusionné au lieu des dossiers de chaque extension, et les noms ne peuvent plus être lus dans les chemins.
Il ne s'agit pas de cacher quoi que ce soit, mais d'un effet de l'optimisation. C'est pourquoi on voit souvent « Extensions (via les chemins) » vide alors que « Détections complémentaires » contient plusieurs éléments : les noms de fichiers fusionnés et les classes propres affichées sur la page gardent des traces.
En résumé, voici ce que donnent les trois cas : avec la protection des chemins, seul WordPress est détecté et tous les détails sont masqués ; avec un CDN, les informations d'hébergement sont masquées elles aussi ; avec l'optimisation des ressources, seuls les chemins disparaissent et des traces restent. Pour savoir dans quel cas vous êtes, comparez le badge et les deux rubriques d'extensions.
Ⅲ. Comparatif des sites pour trouver le thème WordPress
Ⅳ. Empêcher l'analyse de votre site
Jusqu'ici, il s'agissait d'analyser les sites des autres. À l'inverse, vous pouvez vérifier de la même façon ce que votre propre site laisse voir. Si l'on sait quels thèmes et quelles extensions vous utilisez, des attaques visant les failles connues de ces versions peuvent suivre : il vaut donc mieux masquer au moins les détails.
Une précision d'abord : tout masquer est impossible, car on ne peut pas empêcher quelqu'un de lire directement le code source. L'objectif est d'empêcher les outils d'analyse automatiques d'extraire des listes.
1️⃣ Extensions de protection des chemins
C'est la méthode la plus directe. Des extensions comme Hide My WP changent les chemins /wp-content/themes/ et /wp-content/plugins/ en noms aléatoires. La lecture des noms dans les chemins ne fonctionne plus ; une analyse n'affiche que « WordPress (chemins masqués) », et les rubriques thème et extensions restent vides.
Elles proposent aussi des fonctions comme le changement de l'adresse de connexion ou le renommage du fichier readme. Comme les scans automatisés parcourent d'abord les chemins par défaut, le simple fait de changer les chemins arrête déjà beaucoup de tentatives.
Après la mise en place, vérifiez absolument l'affichage. Comme les chemins changent, le CSS ou le JS de certaines extensions peut casser. Videz le cache et contrôlez le site sur ordinateur et sur mobile.
2️⃣ Utiliser un CDN
Avec un CDN devant le site, les outils d'analyse se connectent au serveur du CDN et non au serveur d'origine. L'IP, le fournisseur et les informations réseau sont alors ceux du CDN, et l'emplacement réel du serveur reste masqué.
Des règles de sécurité permettent d'aller plus loin. Si vous bloquez les requêtes jugées automatisées, les outils d'analyse ne reçoivent pas la page du tout, et même l'utilisation de WordPress n'est pas confirmée.
Mais plus les règles sont strictes, plus le risque de bloquer aussi les robots des moteurs de recherche augmente. Après avoir modifié les règles de blocage, vérifiez l'état d'indexation dans la Search Console.
3️⃣ Bloquer avec le pare-feu
Il s'agit de bloquer l'accès de certains sites d'analyse directement dans le pare-feu du serveur. Si leur IP ou leur user-agent figure dans la liste de blocage, l'analyse échoue. C'est plus contraignant que les deux autres méthodes, et si le site change d'IP, il faut le bloquer à nouveau.
L'outil d'analyse de cette page exclut lui aussi uknew.co des analyses. Saisissez uknew.co dans l'outil ci-dessus : un message signale l'exclusion. Ces informations restent accessibles avec d'autres outils ; ce n'est donc pas un blocage complet, et l'objectif réaliste est de bloquer les analyses automatiques.
Inutile d'appliquer les trois méthodes. La protection des chemins masque déjà la plupart des détails, et si vous utilisez déjà un CDN, les informations d'hébergement sont masquées automatiquement.
Ⅴ. FAQ
ℹ️ Mention d'affiliation
Le contenu de ce site contient des liens d'affiliation. Lorsqu'un visiteur achète un produit ou un service via l'un de ces liens, le site perçoit une commission du vendeur. Le montant payé par l'acheteur(il baisse lors des promotions ↓), lui, n'augmente pas. Les prix, remises et stocks indiqués correspondent à la date de rédaction et peuvent différer ; vérifiez-les donc auprès du vendeur avant d'acheter. Les produits sont choisis et évalués selon nos propres critères, et les commissions n'influencent ni l'ordre de présentation ni le contenu des évaluations.