Detectar tema do WordPress · plugins: digite o endereço do site → consulta da hospedagem
Detectar o tema do WordPress e os plugins de um site só exige o endereço. Dá para ver o nome e a versão do tema em uso, os plugins instalados, a empresa de hospedagem e até a faixa de IP. Também reuni os casos em que a proteção de caminhos ou uma CDN limita o resultado e uma comparação com outros sites de consulta.
Cole o endereço e você vê se o site foi feito com WordPress. Pode colocar https:// ou não.
Mesmo com as informações escondidas por ferramentas como o Hide My WP, se o site usa Lite Speed, praticamente dá para confirmar que é WordPress.
Ⅰ. Como verificar plugins do WordPress & usar o detector de tema
Ao terminar a verificação de plugins do WordPress, o resultado vem dividido nesta ordem: selo, tema, plugins e hospedagem. Como são muitos itens, no começo pode ser confuso saber onde olhar. Os plugins, em especial, aparecem em dois lugares, e como cada um encontra os plugins de um jeito,
um deles vazio não significa resultado errado. Vamos ver, na ordem, o que cada item quer dizer.
1️⃣ Os três selos de resultado
Ao fim da consulta, aparece um selo acima do endereço. O significado muda conforme a cor e o texto.
- Verde: [WordPress] significa que o site foi feito com WordPress, com certeza. Pelo menos um rastro foi encontrado, como o caminho wp-content, a meta tag generator ou o link para a REST API do site.
- Laranja: [WordPress (caminhos ocultos)] quer dizer que é WordPress, sim, mas os caminhos do tema e dos plugins estão escondidos. Aparece assim quando o nome das pastas foi trocado com um plugin de segurança. Não é que a ferramenta não encontrou: o outro site escondeu.
- Vermelho: [Não é WordPress] indica que não foi encontrado nenhum rastro de WordPress. O site pode ter sido feito de outra forma, ou uma CDN na frente pode estar escondendo as informações de origem.
- Abaixo do selo: o campo [Base da detecção] mostra exatamente em quais rastros o resultado se baseou; se houver só um, considere que a certeza é baixa.
2️⃣ Diferença entre Plugins (pelos caminhos) e Detecções adicionais
Na tela de resultado, os plugins aparecem em dois lugares. Eles ficam separados porque são encontrados de formas diferentes.
“Plugins (pelos caminhos)” tira os nomes direto dos caminhos dos arquivos. Só pega o que ficou no código-fonte no formato /wp-content/plugins/nome/, por isso é preciso; mas, se um plugin de cache junta vários arquivos em um só, os caminhos somem e nada aparece.
“Detecções adicionais (tema · plugins)” são resultados encontrados por outros rastros que não os caminhos: palavras que restam nos nomes dos arquivos combinados, classes exclusivas aplicadas à página, cabeçalhos de resposta enviados pelo servidor. São detectados mesmo quando os caminhos mudam ou somem. Itens conhecidos aparecem com o nome oficial; os desconhecidos, com o nome registrado pelo site (slug). O nome do tema também aparece aqui.
Se o de cima está vazio e só o de baixo preenchido, é um site com recursos otimizados; se algo aparece em cima e não embaixo, é um plugin que não deixa rastros. Veja os dois juntos para chegar perto da configuração real.
3️⃣ Informações de hospedagem e rede
A seção Hospedagem mostra dados do servidor e da rede juntos.
Aqui vale um cuidado. Em sites que usam CDN, o IP e o provedor exibidos são os da CDN. Não dá para saber onde fica o servidor real, e nesse caso aparece também um aviso abaixo do resultado. Esconder a origem é justamente o objetivo da CDN, então com outra ferramenta de consulta acontece o mesmo.
Mesmo para a mesma empresa, a indicação pode variar. A Cloudways, por exemplo, não usa servidores próprios, mas aluga a infraestrutura de outra empresa; por isso, em Provedor aparece essa empresa de infraestrutura e em Estimativa às vezes as duas juntas.
Ⅱ. Quando o tema e os plugins não aparecem
Às vezes você verifica o tema do WordPress (& plugins) e o tema e os plugins ficam vazios. Na maioria dos casos, a ferramenta não errou: o outro site escondeu as informações ou tem uma estrutura diferente. As causas se dividem em três.
1️⃣ Plugins de proteção de caminhos
O WordPress carrega os arquivos de tema e plugins dos caminhos /wp-content/themes/nome/ e /wp-content/plugins/nome/. A ferramenta de consulta lê esses caminhos para descobrir os nomes. Ou seja, basta mudar o nome das pastas para bloquear a consulta.
É isso que faz um plugin de segurança como o Hide My WP. Ele troca o nome das pastas por caracteres aleatórios, muda o endereço de login e renomeia até o arquivo readme. Ao consultar um site assim, o selo aparece em laranja como “WordPress (caminhos ocultos)” e os campos de tema e plugins ficam vazios.
Já o fato de ser WordPress é difícil de esconder. Ficam rastros que não dependem dos caminhos, como o link da REST API ou o script de emojis. Por isso o WordPress é identificado, mas os detalhes ficam bloqueados.
Mas o bloqueio não é total. Mesmo com as pastas renomeadas, os nomes dos arquivos muitas vezes continuam iguais, e parte deles aparece em “Detecções adicionais” pelas palavras que restam nos nomes dos arquivos combinados.
2️⃣ Sites que passam por uma CDN
A CDN é um servidor intermediário entre o visitante e o servidor de origem. Cloudflare é o exemplo mais conhecido. Quando a ferramenta de consulta acessa o site, ela se conecta ao servidor da CDN e não à origem, por isso o IP e o provedor exibidos são os da CDN.
Nesse caso, aparece também um aviso abaixo do resultado. Não dá para saber em qual empresa está o servidor de origem. Esconder a origem é um dos objetivos da CDN, então com outra ferramenta de consulta o resultado é o mesmo.
Dependendo da configuração da CDN, até a identificação do WordPress pode ser bloqueada. Se as regras de segurança barram acessos automáticos, a ferramenta nem chega a receber a página e o resultado sai como “Não é WordPress”. É o caso em que o site é WordPress de fato, mas aparece assim.
3️⃣ Quando a otimização de recursos (assets) apaga os caminhos
Plugins de cache juntam vários arquivos CSS e JS em um só para ganhar velocidade. WP Rocket ou Autoptimize fazem isso com a função de combinar arquivos. Assim sobra um único arquivo combinado, que não passa pelas pastas de cada plugin, e não dá mais para tirar o nome do caminho.
Não é intenção de esconder, e sim resultado da otimização. Por isso é comum ver “Plugins (pelos caminhos)” vazio enquanto “Detecções adicionais” encontra vários. Os nomes dos arquivos combinados e as classes exclusivas aplicadas à página deixam rastros.
Resumindo, os três casos dão este resultado: com proteção de caminhos, o WordPress é identificado, mas todos os detalhes ficam bloqueados; com CDN, até as informações de hospedagem ficam ocultas; com a otimização de recursos, só os caminhos somem e os rastros ficam. Para saber qual é o caso, compare o selo com os dois campos de plugins.
Ⅲ. Comparação de sites para detectar o tema do WordPress
Ⅳ. Como evitar que o seu site seja consultado
Até aqui, o assunto foi consultar sites de outras pessoas. Do mesmo jeito, você pode verificar quanto do seu próprio site fica exposto. Se souberem quais temas e plugins você usa, podem surgir tentativas de explorar falhas conhecidas dessas versões, então é melhor esconder pelo menos os detalhes.
Antes, uma premissa: esconder tudo é impossível. Não dá para impedir quem confere diretamente pelo código-fonte. O objetivo é impedir que ferramentas automáticas de consulta extraiam a lista.
1️⃣ Plugins de proteção de caminhos
É o método mais direto. Um plugin como o Hide My WP troca os caminhos /wp-content/themes/ e /wp-content/plugins/ por nomes aleatórios. Tirar nomes dos caminhos deixa de funcionar: na consulta aparece só “WordPress (caminhos ocultos)” e os campos de tema e plugins ficam vazios.
Também traz recursos como mudar o endereço de login e renomear o arquivo readme. Como as varreduras automáticas começam pelos caminhos padrão, só trocar os caminhos já filtra muitas tentativas.
Depois de aplicar, confira as páginas sem falta. Como os caminhos mudam, o CSS ou o JS de alguns plugins pode quebrar. Limpe o cache e confira tanto no computador quanto no celular.
2️⃣ Usar uma CDN
Com uma CDN na frente, a ferramenta de consulta se conecta ao servidor da CDN e não ao servidor de origem. IP, provedor e dados de rede aparecem todos como da CDN, e a localização real do servidor fica oculta.
Somando regras de segurança, o alcance aumenta. Se você bloquear as requisições identificadas como acesso automático, a ferramenta nem recebe a página e não dá para saber nem se é WordPress.
Só que, quanto mais rígidas as regras, maior o risco de barrar também os rastreadores dos buscadores. Depois de mexer nas regras de bloqueio, o mais seguro é conferir o status de indexação no Search Console.
3️⃣ Bloqueio no firewall
É o método de bloquear o acesso de um site de consulta específico diretamente no firewall do servidor. Ao colocar o IP ou o user agent desse site na lista de bloqueio, a própria consulta falha. Dá mais trabalho que os dois métodos acima, e se o site mudar de IP, é preciso bloquear de novo.
A ferramenta de consulta desta página também deixa alguns domínios fora das consultas. Como a informação ainda pode ser obtida com outras ferramentas, não é um bloqueio completo; o objetivo realista é barrar as consultas automáticas.
Não é preciso aplicar os três. Só a proteção de caminhos já esconde a maior parte dos detalhes, e se você já usa uma CDN, as informações de hospedagem ficam ocultas automaticamente.
Ⅴ. FAQ
ℹ️ Aviso de afiliados
O conteúdo deste site contém links de afiliados. Quando um visitante compra um produto ou serviço por meio de um desses links, o site recebe uma comissão do vendedor. O valor que o comprador paga (em promoções, ele diminui ↓) não aumenta por causa disso. Preços, descontos e informações de estoque valem para o momento em que o texto foi escrito e podem ter mudado, por isso confirme com o vendedor antes de comprar. Os produtos são escolhidos e avaliados por critérios próprios, e o recebimento de comissão não influencia a ordem de apresentação nem o conteúdo das avaliações.