Wykrywanie motywu WordPressa · wtyczek: wpisz adres witryny → sprawdzenie hostingu
Wykrywanie motywu WordPressa i wtyczek wymaga tylko adresu strony. Sprawdzisz nazwę i wersję używanego motywu, zainstalowane wtyczki, firmę hostingową, a nawet zakres adresów IP. Zebrane są tu też przypadki, w których ochrona ścieżek lub CDN ogranicza wyniki, oraz porównanie innych serwisów do sprawdzania.
Wklej adres, a sprawdzisz, czy strona powstała na WordPressie. https:// możesz wpisać albo pominąć.
Nawet jeśli informacje ukryto np. za pomocą Hide My WP, przy Lite Speed można praktycznie przesądzić, że strona działa na WordPressie.
Ⅰ. Sprawdzanie wtyczek WordPressa & korzystanie z wykrywacza motywu
Po sprawdzeniu wtyczek WordPressa wynik dzieli się w tej kolejności: plakietka, motyw, wtyczki i hosting. Pozycji jest sporo, więc na początku można się pogubić, gdzie patrzeć. Zwłaszcza wtyczki są pokazane w dwóch miejscach, a ponieważ oba pola wykrywają je w różny sposób,
to, że jedno z nich jest puste, nie oznacza błędu. Przejdźmy kolejno przez to, co oznacza każda pozycja.
1️⃣ Trzy plakietki wyniku
Po sprawdzeniu nad adresem pojawia się plakietka. Jej znaczenie zależy od koloru i napisu.
- Zielony: [WordPress] oznacza, że strona na pewno powstała na WordPressie. Znaleziono co najmniej jeden ślad, np. ścieżkę wp-content, metatag generator lub link do REST API witryny.
- Pomarańczowy: [WordPress (ścieżki ukryte)] oznacza, że to WordPress, ale ścieżki motywu i wtyczek są ukryte. Tak wychodzi, gdy nazwy folderów zmieniono wtyczką bezpieczeństwa. To nie narzędzie czegoś nie znalazło – to sprawdzana witryna je ukryła.
- Czerwony: [To nie WordPress] oznacza, że nie znaleziono śladów WordPressa. Strona mogła powstać w inny sposób albo CDN przed nią zasłania informacje o źródle.
- Pod plakietką: pole [Podstawa rozpoznania] pokazuje dokładnie, na jakich śladach oparto wynik; jeśli jest tylko jeden, uznaj, że pewność jest niska.
2️⃣ „Wtyczki (ze ścieżek)” a „Dodatkowe ustalenia” – różnica
Na ekranie wyniku wtyczki pojawiają się w dwóch miejscach. Są rozdzielone, bo wykrywa się je na różne sposoby.
„Wtyczki (ze ścieżek)” odczytują nazwy wprost ze ścieżek plików. Wykrywane jest tylko to, co zostało w kodzie w postaci /wp-content/plugins/nazwa/, więc wynik jest dokładny; jeśli jednak wtyczka cache połączy wiele plików w jeden, ścieżki znikają i nic się nie pojawia.
„Dodatkowe ustalenia (motyw · wtyczki)” to wyniki znalezione po innych śladach niż ścieżki: słowach pozostałych w nazwach połączonych plików, unikalnych klasach na stronie czy nagłówkach odpowiedzi wysyłanych przez serwer. Wykrywa się je nawet wtedy, gdy ścieżki się zmienią lub znikną. Znane elementy mają oficjalne nazwy, nieznane – nazwę zarejestrowaną przez witrynę (slug). Tu pojawia się też nazwa motywu.
Jeśli górne pole jest puste, a wypełnione tylko dolne, witryna ma zoptymalizowane zasoby; jeśli na górze jest coś, czego brakuje na dole, to wtyczka, która nie zostawia śladów. Patrz na oba pola razem, by zbliżyć się do faktycznej konfiguracji.
3️⃣ Informacje o hostingu i sieci
Sekcja Hosting pokazuje razem dane serwera i sieci.
Warto tu uważać na jedno. W witrynach korzystających z CDN wyświetlany adres IP i dostawca należą do CDN. Nie da się ustalić, gdzie stoi prawdziwy serwer, a pod wynikiem pojawia się wtedy także komunikat. Ukrywanie serwera źródłowego to właśnie cel CDN, więc w innym narzędziu do sprawdzania będzie tak samo.
Nawet ta sama firma może być opisana różnie. Cloudways nie ma na przykład własnych serwerów, tylko wynajmuje infrastrukturę innej firmy, dlatego w polu Dostawca widać tę firmę infrastrukturalną, a w polu Szacunek czasem obie firmy naraz.
Ⅱ. Gdy motyw i wtyczki się nie pojawiają
Czasem po sprawdzeniu motywu WordPressa (& wtyczek) pola motywu i wtyczek są puste. Zwykle nie jest to błąd narzędzia – to sprawdzana witryna ukryła informacje albo ma inną strukturę. Przyczyny są w zasadzie trzy.
1️⃣ Wtyczki chroniące ścieżki
WordPress wczytuje pliki motywów i wtyczek ze ścieżek /wp-content/themes/nazwa/ i /wp-content/plugins/nazwa/. Narzędzie do sprawdzania odczytuje te ścieżki i z nich poznaje nazwy. Inaczej mówiąc: wystarczy zmienić nazwy folderów, by zablokować sprawdzanie.
Tak działają wtyczki bezpieczeństwa w rodzaju Hide My WP. Zmieniają nazwy folderów na losowe znaki, przenoszą adres logowania, a nawet zmieniają nazwę pliku readme. Po sprawdzeniu takiej witryny plakietka jest pomarańczowa – „WordPress (ścieżki ukryte)” – a pola motywu i wtyczek pozostają puste.
Samego faktu, że to WordPress, trudno nie zdradzić. Zostają ślady niezależne od ścieżek, np. link REST API czy skrypt emoji. Dlatego WordPress zostaje rozpoznany, ale szczegóły pozostają zablokowane.
Nie jest to jednak blokada całkowita. Nawet gdy nazwy folderów się zmieniają, nazwy plików często zostają te same, więc część elementów i tak trafia do „Dodatkowe ustalenia” dzięki słowom pozostałym w nazwach połączonych plików.
2️⃣ Witryny za CDN
CDN to serwer pośredniczący między odwiedzającym a serwerem źródłowym. Cloudflare to najbardziej znany przykład. Narzędzie do sprawdzania łączy się wtedy z serwerem CDN, a nie ze źródłowym, więc wyświetlany adres IP i dostawca należą do CDN.
W takim przypadku pod wynikiem pojawia się też komunikat. Nie da się ustalić, w jakiej firmie stoi serwer źródłowy. Ukrywanie źródła to jeden z celów CDN, więc w innym narzędziu wynik będzie taki sam.
Zależnie od ustawień CDN zablokowane może być nawet samo rozpoznanie WordPressa. Jeśli reguły bezpieczeństwa blokują automatyczny dostęp, narzędzie w ogóle nie dostaje strony i pokazuje „To nie WordPress”. Witryna w rzeczywistości jest wtedy WordPressem, a mimo to tak ją oznaczono.
3️⃣ Gdy optymalizacja zasobów usuwa ścieżki
Wtyczki cache dla szybkości łączą wiele plików CSS i JS w jeden. WP Rocket lub Autoptimize robią to funkcją łączenia plików. Zostaje wtedy jeden połączony plik, który nie przechodzi przez foldery poszczególnych wtyczek, i z jego ścieżki nie da się odczytać nazwy.
To nie próba ukrycia, tylko skutek optymalizacji. Dlatego często pole „Wtyczki (ze ścieżek)” jest puste, a „Dodatkowe ustalenia” wykrywają kilka pozycji. Ślady zostają bowiem w nazwach połączonych plików i w unikalnych klasach na stronie.
Podsumowując, trzy przypadki dają taki wynik: przy ochronie ścieżek WordPress jest rozpoznany, ale wszystkie szczegóły są zablokowane; przy CDN ukryte są nawet dane hostingu; przy optymalizacji zasobów znikają tylko ścieżki, a ślady zostają. Który to przypadek, rozpoznasz, porównując plakietkę z dwoma polami wtyczek.
Ⅲ. Porównanie serwisów do wykrywania motywu WordPressa
Ⅳ. Jak sprawić, by Twoja witryna nie była sprawdzana
Do tej pory chodziło o sprawdzanie cudzych witryn. W ten sam sposób sprawdzisz, ile widać z Twojej własnej. Jeśli wiadomo, jakich motywów i wtyczek używasz, mogą pojawić się próby wykorzystania znanych luk w tych wersjach, więc lepiej ukryć przynajmniej szczegóły.
Najpierw jedno założenie: całkowite ukrycie jest niemożliwe. Nie zatrzymasz kogoś, kto sam zajrzy do źródła strony. Celem jest powstrzymanie automatycznych narzędzi przed wyciąganiem listy.
1️⃣ Wtyczki chroniące ścieżki
To najbardziej bezpośrednia metoda. Wtyczka w rodzaju Hide My WP zmienia ścieżki /wp-content/themes/ i /wp-content/plugins/ na losowe nazwy. Wyciąganie nazw ze ścieżek przestaje działać: po sprawdzeniu widać tylko „WordPress (ścieżki ukryte)”, a pola motywu i wtyczek są puste.
Ma też funkcje takie jak zmiana adresu logowania i zmiana nazwy pliku readme. Automatyczne skany zaczynają od domyślnych ścieżek, więc sama zmiana ścieżek odsiewa sporo prób.
Po wdrożeniu koniecznie sprawdź wygląd strony. Zmiana ścieżek może zepsuć CSS lub JS niektórych wtyczek. Wyczyść pamięć podręczną i obejrzyj stronę na komputerze i na telefonie.
2️⃣ Wdrożenie CDN
Gdy przed stroną stoi CDN, narzędzie łączy się z serwerem CDN, a nie ze źródłowym. Adres IP, dostawca i dane sieci należą wtedy do CDN, a prawdziwa lokalizacja serwera jest ukryta.
Dodanie reguł bezpieczeństwa poszerza ten zakres. Jeśli zablokujesz żądania rozpoznane jako automatyczne, narzędzie w ogóle nie dostanie strony i nie da się nawet ustalić, czy to WordPress.
Im ostrzejsze reguły, tym większe jednak ryzyko zablokowania także robotów wyszukiwarek. Po zmianie reguł blokowania bezpieczniej sprawdzić stan indeksowania w Search Console.
3️⃣ Blokada w zaporze
To blokowanie dostępu konkretnego serwisu do sprawdzania bezpośrednio w zaporze serwera. Gdy wpiszesz jego adres IP lub user agent na listę blokowanych, samo sprawdzenie się nie powiedzie. Wymaga to więcej pracy niż dwie powyższe metody, a gdy serwis zmieni IP, trzeba blokować od nowa.
Narzędzie na tej stronie również wyklucza niektóre domeny ze sprawdzania. Inne narzędzia te informacje i tak pokażą, więc to nie pełna blokada; realnym celem jest powstrzymanie automatycznego sprawdzania.
Nie trzeba stosować wszystkich trzech. Sama ochrona ścieżek ukrywa większość szczegółów, a jeśli już korzystasz z CDN, dane hostingu są ukryte automatycznie.
Ⅴ. FAQ
ℹ️ Informacja o linkach partnerskich
Treści tej witryny zawierają linki partnerskie. Jeśli odwiedzający kupi produkt lub usługę przez taki link, witryna otrzymuje od sprzedawcy prowizję. Kwota płacona przy tym przez kupującego (podczas promocji spada↓) nie wzrasta. Podane ceny, rabaty i dostępność odnoszą się do chwili pisania i mogą różnić się od stanu faktycznego, dlatego przed zakupem sprawdź je u sprzedawcy. Produkty wybieramy i oceniamy według własnych kryteriów, a prowizja nie wpływa ani na kolejność prezentacji, ani na treść ocen.