WordPress-thema herkennen · plugins detecteren: voer een site-adres in → hosting opzoeken
Een WordPress-thema herkennen en plugins detecteren doe je hier alleen met het adres van de site. Je ziet de naam en versie van het thema, de geïnstalleerde plugins, de hostingprovider en zelfs het IP-bereik. Ook de gevallen waarin padbescherming of een CDN het resultaat beperkt, en een vergelijking met andere opzoeksites, heb ik op een rij gezet.
Plak het adres en je ziet of de site met WordPress is gemaakt. Met of zonder https:// werkt allebei.
Ook als informatie verborgen is met bijvoorbeeld Hide My WP: draait de site op Lite Speed, dan staat vrijwel vast dat het om WordPress gaat.
Ⅰ. WordPress-plugins controleren & de themadetector gebruiken
Na het controleren van WordPress-plugins zie je het resultaat in deze volgorde: badge, thema, plugins en hosting. Omdat het veel onderdelen zijn, is het in het begin lastig om te weten waar je moet kijken. Vooral de plugins staan op twee plekken, en omdat die twee onderdelen op verschillende manieren worden gevonden,
is het geen fout als een van beide leeg is. Laten we per onderdeel bekijken wat het betekent.
1️⃣ De drie badges
Na het opzoeken verschijnt er boven het adres een badge. De betekenis hangt af van de kleur en de tekst.
- Groen: [WordPress] betekent dat de site zeker met WordPress is gemaakt. Er is minstens één spoor gevonden, zoals het wp-content-pad, de generator-metatag of de link naar de REST API van de site.
- Oranje: [WordPress (paden verborgen)] betekent dat het wel WordPress is, maar dat de paden van thema en plugins verborgen zijn. Dat zie je als de mapnamen met een beveiligingsplugin zijn veranderd. De tool heeft dan niet gefaald; de andere site heeft ze verborgen.
- Rood: [Geen WordPress] betekent dat er geen sporen van WordPress zijn gevonden. De site is op een andere manier gebouwd, of een CDN schermt de oorspronkelijke gegevens af.
- Onder de badge: het veld [Basis van de detectie] toont precies op welke sporen het oordeel berust. Is er maar één aanwijzing, ga er dan van uit dat de zekerheid laag is.
2️⃣ Verschil tussen Plugins (uit paden) en Aanvullende bevindingen
Op het resultaatscherm staan plugins op twee plekken. Ze worden op verschillende manieren gevonden en zijn daarom gescheiden.
‘Plugins (uit paden)’ haalt de namen rechtstreeks uit de bestandspaden. Alleen wat in de vorm /wp-content/plugins/naam/ in de broncode staat, wordt gevonden, dus het is nauwkeurig; maar voegt een cacheplugin meerdere bestanden samen, dan verdwijnen de paden en verschijnt er niets.
‘Aanvullende bevindingen (thema · plugins)’ is gevonden via andere sporen dan paden: woorden in samengevoegde bestandsnamen, unieke classes op de pagina en de antwoordheaders die de server stuurt. Ook als paden veranderen of verdwijnen, wordt het gevonden. Bekende onderdelen staan er met hun officiële naam, onbekende met de naam die de site heeft geregistreerd (slug). Ook de themanaam staat hier.
Is het bovenste veld leeg en alleen het onderste gevuld, dan heeft de site zijn assets geoptimaliseerd; staat er boven iets wat onder ontbreekt, dan is dat een plugin die geen sporen achterlaat. Bekijk beide velden samen om dicht bij de echte opbouw te komen.
3️⃣ Hosting- en netwerkgegevens
Het onderdeel Hosting toont zowel server- als netwerkgegevens.
Let hier op één ding. Bij sites met een CDN horen het getoonde IP-adres en de provider allebei bij het CDN. Waar de echte server staat, is niet te achterhalen; in dat geval verschijnt er onder het resultaat ook een melding. Het verbergen van de oorspronkelijke server is precies het doel van een CDN, dus met een andere opzoektool is het niet anders.
Ook bij hetzelfde bedrijf kan de vermelding verschillen. Cloudways gebruikt bijvoorbeeld geen eigen servers maar huurt infrastructuur van een ander bedrijf, dus bij Provider staat dat infrastructuurbedrijf en bij Schatting soms beide bedrijven.
Ⅱ. Als het thema en de plugins niet verschijnen
Soms blijven thema en plugins leeg nadat je het WordPress-thema (& de plugins) hebt gecontroleerd. Meestal ligt dat niet aan de tool, maar heeft de andere site informatie verborgen of een andere opbouw. Er zijn grofweg drie oorzaken.
1️⃣ Plugins voor padbescherming
WordPress laadt thema- en pluginbestanden uit /wp-content/themes/naam/ en /wp-content/plugins/naam/. Een opzoektool leest deze paden en haalt er de namen uit. Andersom gezegd: alleen al de mapnamen veranderen blokkeert het opzoeken.
Dat doet een beveiligingsplugin als Hide My WP. Die vervangt mapnamen door willekeurige tekens, verplaatst het inlogadres en hernoemt zelfs het readme-bestand. Zoek je zo'n site op, dan krijg je de oranje badge ‘WordPress (paden verborgen)’ en blijven de velden voor thema en plugins leeg.
Dat een site WordPress is, valt zelf moeilijk te verbergen. Er blijven sporen achter die los staan van de paden, zoals de REST API-link of het emoji-script. Daardoor wordt WordPress wel herkend, maar blijven de details afgeschermd.
Helemaal dicht is het echter niet. Ook als de mapnamen veranderen, blijven de bestandsnamen vaak hetzelfde, zodat een deel toch via woorden in de samengevoegde bestandsnamen onder ‘Aanvullende bevindingen’ verschijnt.
2️⃣ Sites achter een CDN
Een CDN is een tussenserver tussen de bezoeker en de oorspronkelijke server. Cloudflare is daar het bekendste voorbeeld van. Een opzoektool maakt dan verbinding met de CDN-server in plaats van met de oorspronkelijke server, dus het getoonde IP-adres en de provider zijn allebei die van het CDN.
In dat geval staat er onder het resultaat ook een melding. Bij welk bedrijf de oorspronkelijke server staat, is niet te zien. Het verbergen van de oorsprong is een van de doelen van een CDN, dus met een andere opzoektool krijg je hetzelfde resultaat.
Afhankelijk van de CDN-instellingen kan zelfs de WordPress-herkenning worden geblokkeerd. Blokkeren de beveiligingsregels geautomatiseerde toegang, dan krijgt de tool de pagina helemaal niet binnen en verschijnt ‘Geen WordPress’. De site is dan in werkelijkheid wel WordPress, maar wordt zo weergegeven.
3️⃣ Als asset-optimalisatie de paden laat verdwijnen
Cacheplugins voegen voor de snelheid meerdere CSS- en JS-bestanden samen tot één bestand. WP Rocket of Autoptimize doet dat met de functie om bestanden te combineren. Dan blijft er één samengevoegd bestand over dat niet via de afzonderlijke pluginmappen loopt, en kan de naam niet meer uit het pad worden gehaald.
Het is geen poging om iets te verbergen, maar een gevolg van optimalisatie. Daarom zie je vaak dat ‘Plugins (uit paden)’ leeg is, terwijl ‘Aanvullende bevindingen’ er meerdere vindt. In samengevoegde bestandsnamen en in unieke classes op de pagina blijven namelijk sporen achter.
Samengevat geven de drie gevallen dit resultaat. Bij padbescherming wordt WordPress alleen herkend en zijn alle details afgeschermd; bij een CDN is zelfs de hostinginformatie verborgen; bij asset-optimalisatie verdwijnen alleen de paden en blijven sporen achter. Welk geval het is, zie je door de badge te vergelijken met de twee pluginvelden.
Ⅲ. Sites om WordPress-thema's te herkennen vergeleken
Ⅳ. Zo voorkom je dat je eigen site wordt opgezocht
Tot nu toe ging het over het opzoeken van andermans sites. Op dezelfde manier kun je ook nagaan hoeveel er van je eigen site te zien is. Als bekend is welke thema's en plugins je gebruikt, kunnen er pogingen komen om bekende kwetsbaarheden van die versies uit te buiten; verberg dus op zijn minst de details.
Eerst één uitgangspunt: helemaal verbergen kan niet. Iemand die zelf de broncode bekijkt, houd je niet tegen. Het doel is voorkomen dat geautomatiseerde opzoektools de lijst kunnen uitlezen.
1️⃣ Plugins voor padbescherming
Dit is de meest directe methode. Een plugin als Hide My WP geeft de paden /wp-content/themes/ en /wp-content/plugins/ willekeurige namen. Namen uit paden halen werkt dan niet meer: een opzoektool toont alleen ‘WordPress (paden verborgen)’ en de velden voor thema en plugins blijven leeg.
Ook functies als het inlogadres wijzigen en het readme-bestand hernoemen zitten erbij. Geautomatiseerde scans beginnen bij de standaardpaden, dus alleen al andere paden houden veel pogingen tegen.
Controleer na het toepassen altijd hoe de site eruitziet. Omdat de paden veranderen, kan de CSS of JS van sommige plugins breken. Leeg de cache en bekijk de site op zowel pc als mobiel.
2️⃣ Een CDN gebruiken
Zet je een CDN ervoor, dan maakt een opzoektool verbinding met de CDN-server in plaats van met de oorspronkelijke server. IP, provider en netwerkgegevens horen dan allemaal bij het CDN, en de echte serverlocatie blijft verborgen.
Voeg je daar beveiligingsregels aan toe, dan wordt het effect groter. Blokkeer je verzoeken die als geautomatiseerd worden herkend, dan krijgt de opzoektool de pagina zelf niet binnen en is zelfs niet te zien of het WordPress is.
Hoe strenger je de regels maakt, hoe groter wel de kans dat je ook zoekmachinecrawlers tegenhoudt. Controleer na het aanpassen van blokkeerregels daarom de indexeringsstatus in Search Console.
3️⃣ Blokkeren in de firewall
Hierbij blokkeer je de toegang van een bepaalde opzoeksite rechtstreeks in de serverfirewall. Zet je het IP-adres of de user agent van die site op de blokkeerlijst, dan mislukt het opzoeken zelf. Het kost meer werk dan de twee methoden hierboven, en verandert de site van IP-adres, dan moet je opnieuw blokkeren.
Ook de opzoektool op deze pagina sluit bepaalde domeinen uit van opzoeken. Met andere tools is die informatie wel te vinden, dus het is geen volledige blokkade; realistisch gezien is het doel geautomatiseerd opzoeken tegenhouden.
Je hoeft niet alle drie toe te passen. Padbescherming alleen verbergt al de meeste details, en gebruik je al een CDN, dan is de hostinginformatie vanzelf afgeschermd.
Ⅴ. FAQ
ℹ️ Affiliatemelding
De content van deze site bevat affiliatelinks. Koopt een bezoeker via een van deze links een product of dienst, dan ontvangt deze site een commissie van de verkoper. Het bedrag dat de koper betaalt (bij acties gaat het omlaag ↓) wordt daardoor niet hoger. De vermelde prijzen, kortingen en voorraad gelden op het moment van schrijven en kunnen afwijken; controleer ze daarom vóór je aankoop bij de verkoper. Producten worden gekozen en beoordeeld volgens onze eigen criteria, en commissies hebben geen invloed op de volgorde of de inhoud van de beoordelingen.