Riconoscere il tema WordPress · rilevare i plugin: inserisci l'indirizzo del sito → verifica dell'hosting

Riconoscere il tema WordPress e rilevare i plugin richiede solo l'indirizzo del sito. Puoi vedere nome e versione del tema in uso, plugin installati, provider di hosting e perfino l'intervallo IP. Ho raccolto anche i casi in cui la protezione dei percorsi o una CDN limita i risultati e un confronto con altri siti di ricerca.

Incolla l'indirizzo e vedi se il sito è fatto con WordPress. Puoi includere https:// oppure no.

Ⅰ. Come verificare i plugin WordPress & usare il rilevatore di tema

Al termine della verifica dei plugin WordPress, il risultato è diviso in quest'ordine: badge, tema, plugin e hosting. Le voci sono parecchie e all'inizio può non essere chiaro dove guardare. In particolare i plugin compaiono in due punti e, dato che le due voci li trovano in modi diversi,
se una delle due è vuota non è un errore. Vediamo in ordine che cosa significa ogni voce.

1️⃣ I tre badge del risultato

Al termine della ricerca compare un badge sopra l'indirizzo. Il significato cambia in base al colore e al testo.

1. Verde: [WordPress] significa che il sito è sicuramente fatto con WordPress. È stata trovata almeno una traccia, come il percorso wp-content, il meta tag generator o il link alla REST API del sito.
2. Arancione: [WordPress (percorsi nascosti)] significa che è WordPress, ma i percorsi di tema e plugin sono nascosti. Succede quando i nomi delle cartelle sono stati cambiati con un plugin di sicurezza. Non è lo strumento a non trovarli: è il sito di destinazione ad averli nascosti.
3. Rosso: [Non è WordPress] indica che non è stata trovata alcuna traccia di WordPress. Il sito può essere stato realizzato in altro modo, oppure una CDN davanti può nascondere le informazioni di origine.
4. Sotto il badge: la voce [Base del rilevamento] mostra esattamente su quali tracce si basa il risultato; se ce n'è una sola, considera bassa la certezza.

2️⃣ Differenza tra Plugin (dai percorsi) e Rilevamenti aggiuntivi

Nella schermata dei risultati i plugin compaiono in due punti. Sono separati perché vengono trovati in modi diversi.

“Plugin (dai percorsi)” ricava i nomi direttamente dai percorsi dei file. Trova solo ciò che resta nel sorgente nella forma /wp-content/plugins/nome/, quindi è preciso; ma se un plugin di cache unisce più file in uno, i percorsi spariscono e non compare nulla.

“Rilevamenti aggiuntivi (tema · plugin)” sono risultati trovati con tracce diverse dai percorsi: parole rimaste nei nomi dei file combinati, classi uniche applicate alla pagina, intestazioni di risposta inviate dal server. Vengono rilevati anche se i percorsi cambiano o spariscono. Gli elementi noti compaiono con il nome ufficiale, quelli sconosciuti con il nome registrato dal sito (slug). Qui compare anche il nome del tema.

Se la voce in alto è vuota e solo quella in basso è piena, il sito ha ottimizzato i propri asset; se in alto c'è qualcosa che manca in basso, è un plugin che non lascia tracce. Guarda le due voci insieme per avvicinarti alla configurazione reale.

3️⃣ Informazioni su hosting e rete

La voce Hosting mostra insieme dati del server e della rete.

Qui c'è un punto a cui fare attenzione. Nei siti che usano una CDN, l'IP e il provider mostrati appartengono entrambi alla CDN. Non si può sapere dove si trovi il server reale, e in questo caso sotto il risultato compare anche un avviso. Nascondere l'origine è proprio lo scopo di una CDN, quindi anche con un altro strumento di ricerca succede lo stesso.

Anche per la stessa società l'indicazione può cambiare. Cloudways, per esempio, non usa server propri ma noleggia l'infrastruttura di un'altra azienda, quindi in Provider compare quell'azienda di infrastruttura e in Stima a volte entrambe.

Ⅱ. Quando tema e plugin non compaiono

A volte, dopo aver verificato il tema WordPress (& i plugin), tema e plugin risultano vuoti. Nella maggior parte dei casi non è un errore dello strumento: il sito di destinazione ha nascosto le informazioni o ha una struttura diversa. Le cause sono principalmente tre.

1️⃣ Plugin di protezione dei percorsi

WordPress carica i file di temi e plugin dai percorsi /wp-content/themes/nome/ e /wp-content/plugins/nome/. Lo strumento di ricerca legge questi percorsi per ricavarne i nomi. In altre parole, basta cambiare il nome delle cartelle per bloccare la ricerca.

È ciò che fa un plugin di sicurezza come Hide My WP. Sostituisce i nomi delle cartelle con caratteri casuali, sposta l'indirizzo di login e rinomina perfino il file readme. Se cerchi un sito così, il badge esce arancione come “WordPress (percorsi nascosti)” e le voci di tema e plugin restano vuote.

Il fatto che sia WordPress, invece, è difficile da nascondere. Restano tracce indipendenti dai percorsi, come il link della REST API o lo script delle emoji. Per questo WordPress viene riconosciuto, ma i dettagli restano bloccati.

Non è però un blocco totale. Anche se i nomi delle cartelle cambiano, i nomi dei file spesso restano uguali, e alcuni elementi compaiono comunque in “Rilevamenti aggiuntivi” grazie alle parole rimaste nei nomi dei file combinati.

2️⃣ Siti dietro una CDN

Una CDN è un server intermedio tra il visitatore e il server di origine. Cloudflare è l'esempio più noto. Quando lo strumento di ricerca si collega, raggiunge il server della CDN e non l'origine, quindi l'IP e il provider mostrati sono quelli della CDN.

In questo caso sotto il risultato compare anche un avviso. Non si può sapere presso quale società si trovi il server di origine. Nascondere l'origine è uno degli scopi di una CDN, quindi con un altro strumento di ricerca il risultato è lo stesso.

A seconda delle impostazioni della CDN, può essere bloccato perfino il riconoscimento di WordPress. Se le regole di sicurezza bloccano gli accessi automatici, lo strumento non riceve affatto la pagina e compare “Non è WordPress”. È il caso in cui il sito in realtà è WordPress ma viene mostrato così.

3️⃣ Quando l'ottimizzazione degli asset fa sparire i percorsi

I plugin di cache uniscono più file CSS e JS in uno solo per guadagnare velocità. WP Rocket o Autoptimize lo fanno con la funzione di combinazione dei file. Resta così un solo file combinato, che non passa dalle singole cartelle dei plugin, e dal percorso non si può più ricavare il nome.

Non è un tentativo di nascondere, ma il risultato dell'ottimizzazione. Per questo capita spesso che “Plugin (dai percorsi)” sia vuoto mentre “Rilevamenti aggiuntivi” ne trova diversi. Nei nomi dei file combinati e nelle classi uniche applicate alla pagina restano infatti delle tracce.

Riassumendo, i tre casi danno questo risultato: con la protezione dei percorsi WordPress viene riconosciuto ma tutti i dettagli sono bloccati; con una CDN è nascosto anche l'hosting; con l'ottimizzazione degli asset spariscono solo i percorsi e restano le tracce. Per capire di quale caso si tratta, confronta il badge con le due voci dei plugin.

Ⅲ. Confronto dei siti per riconoscere il tema WordPress

Ⅳ. Come evitare che il tuo sito venga analizzato

Finora abbiamo analizzato i siti degli altri. Allo stesso modo puoi verificare quanto del tuo sito è visibile. Se si sa quali temi e plugin usi, possono arrivare tentativi di sfruttare le vulnerabilità note di quelle versioni, quindi conviene nascondere almeno i dettagli.

Prima una premessa: nascondere tutto è impossibile. Non puoi fermare chi controlla direttamente il codice sorgente. L'obiettivo è impedire agli strumenti di ricerca automatici di estrarre l'elenco.

1️⃣ Plugin di protezione dei percorsi

È il metodo più diretto. Un plugin come Hide My WP cambia i percorsi /wp-content/themes/ e /wp-content/plugins/ con nomi casuali. Ricavare i nomi dai percorsi non funziona più: la ricerca mostra solo “WordPress (percorsi nascosti)” e le voci di tema e plugin restano vuote.

Offre anche funzioni come cambiare l'indirizzo di login e rinominare il file readme. Le scansioni automatiche partono dai percorsi predefiniti, quindi già cambiare i percorsi filtra molti tentativi.

Dopo l'applicazione controlla sempre le pagine. Dato che i percorsi cambiano, il CSS o il JS di alcuni plugin può rompersi. Svuota la cache e controlla sia su PC sia su mobile.

2️⃣ Usare una CDN

Con una CDN davanti, lo strumento di ricerca si collega al server della CDN e non al server di origine. IP, provider e dati di rete risultano tutti della CDN e la posizione reale del server resta nascosta.

Aggiungendo regole di sicurezza, la copertura si allarga. Se blocchi le richieste riconosciute come accessi automatici, lo strumento di ricerca non riceve nemmeno la pagina e non si capisce neppure se è WordPress.

Però, più le regole sono severe, più rischi di bloccare anche i crawler dei motori di ricerca. Dopo aver modificato le regole di blocco, è più sicuro controllare lo stato di indicizzazione in Search Console.

3️⃣ Blocco nel firewall

Si tratta di bloccare l'accesso di uno specifico sito di ricerca direttamente nel firewall del server. Se metti l'IP o lo user agent di quel sito nella lista di blocco, la ricerca stessa fallisce. Richiede più lavoro dei due metodi precedenti e, se il sito cambia IP, devi bloccarlo di nuovo.

Anche lo strumento di ricerca di questa pagina esclude alcuni domini dalle ricerche. Con altri strumenti l'informazione si trova comunque, quindi non è un blocco completo; l'obiettivo realistico è fermare le ricerche automatiche.

Non serve applicarli tutti e tre. La sola protezione dei percorsi nasconde già la maggior parte dei dettagli, e se usi già una CDN l'hosting resta nascosto automaticamente.

Ⅴ. FAQ

ℹ️ Informativa sull'affiliazione
I contenuti di questo sito includono link di affiliazione. Se un visitatore acquista un prodotto o un servizio tramite uno di questi link, il sito riceve una commissione dal venditore. In questo processo l'importo pagato dall'acquirente ^{(durante le promozioni l'importo scende↓)} non aumenta. Prezzi, sconti e disponibilità indicati si riferiscono al momento della stesura e possono differire da quelli reali: prima di acquistare verifica sempre presso il venditore. I prodotti vengono scelti e valutati secondo criteri propri, e le commissioni non influiscono sull'ordine di presentazione né sul contenuto delle valutazioni.