Определение темы и плагинов WordPress: введите адрес сайта → проверка хостинга
Определение темы и плагинов WordPress по одному только адресу сайта. Можно узнать название и версию темы, установленные плагины, хостинг-провайдера и блок IP-адресов. Здесь же разобраны случаи, когда результат ограничен защитой путей или CDN, и сравнение с другими сервисами проверки.
Вставьте адрес — и вы узнаете, сделан ли сайт на WordPress. https:// можно указывать, а можно и нет.
Даже если скрыть данные с помощью Hide My WP и подобных плагинов, при использовании LiteSpeed можно практически наверняка определить, что сайт работает на WordPress.
Ⅰ. Как пользоваться: проверка плагинов & определение темы WordPress
После проверки плагинов WordPress результат делится на значок, тему, плагины и хостинг. Пунктов много, и поначалу непонятно, куда смотреть. Особенно смущает то, что плагины показаны в двух местах: эти два пункта находят их разными способами, поэтому
если один из них пуст, это не ошибка. Разберём по порядку, что означает каждый пункт.
1️⃣ Три значка результата
После проверки над адресом появляется значок. Его цвет и надпись означают разное.
- Зелёный: [WordPress] — сайт точно сделан на WordPress. Найден хотя бы один след: путь wp-content, мета-тег generator, ссылка на REST API и т. п.
- Оранжевый: [WordPress (пути скрыты)] — это WordPress, но пути к теме и плагинам скрыты. Так бывает, если переименовать папки плагином безопасности. Инструмент ничего не упустил — это сайт скрыл данные.
- Красный: [Не WordPress] — следов WordPress не найдено. Сайт может быть сделан на другой платформе, либо CDN перед ним скрывает данные исходного сервера.
- Под значком: в пункте [Основания определения] видно, по каким следам сделан вывод. Если основание всего одно, считайте уверенность низкой.
2️⃣ Разница между «Плагины (по путям)» и «Дополнительно»
Плагины в результате показаны в двух местах. Их находят разными способами, поэтому они разделены.
Пункт «Плагины (по путям)» — это то, что извлечено прямо из путей к файлам. Плагин попадает сюда, только если в коде страницы остался путь вида /wp-content/plugins/имя/, поэтому результат точный; но когда плагин кеширования объединяет файлы в один, пути исчезают и здесь ничего не будет.
Пункт «Дополнительно (тема · плагины)» — это то, что найдено не по путям, а по другим следам: словам в именах объединённых файлов, уникальным классам на странице, заголовкам ответа сервера. Такие следы находятся, даже если пути изменены или исчезли. Известные плагины показаны под официальными названиями, неизвестные — под именем (слагом), под которым их зарегистрировал сайт. Здесь же показывается и название темы.
Если верхний пункт пуст, а нижний заполнен, значит, ресурсы сайта оптимизированы. Если вверху есть плагин, которого нет внизу, — это плагин, не оставляющий следов. Чтобы приблизиться к реальному составу, смотрите оба пункта вместе.
3️⃣ Данные хостинга и сети
В пункте «Хостинг» показаны данные сервера и сети.
Здесь есть важная оговорка. У сайта на CDN и IP, и провайдер будут принадлежать CDN. Где находится настоящий сервер, узнать нельзя; в этом случае под результатом появляется пояснение. Скрывать исходный сервер — это и есть задача CDN, поэтому другие инструменты проверки покажут то же самое.
Одна и та же компания может отображаться по-разному. Например, Cloudways не держит собственных серверов, а арендует инфраструктуру другой компании, поэтому в «Провайдер» будет эта компания, а в «Вероятный хостинг» иногда показаны обе.
Ⅱ. Когда тема и плагины не определяются
Бывает, что после проверки темы WordPress (& плагинов) пункты темы и плагинов пусты. Чаще всего инструмент тут ни при чём: сайт сам скрыл данные или изменил структуру. Причин в основном три.
1️⃣ Плагины защиты путей
WordPress загружает файлы тем и плагинов из путей /wp-content/themes/имя/ и /wp-content/plugins/имя/. Инструмент проверки читает эти пути и узнаёт по ним названия. Иначе говоря, достаточно переименовать папки, и проверка не сработает.
Именно это делают плагины безопасности вроде Hide My WP: заменяют имена папок случайными символами, переносят адрес входа и даже переименовывают файлы readme. Если проверить такой сайт, значок будет оранжевым — «WordPress (пути скрыты)», а пункты темы и плагинов останутся пустыми.
Скрыть сам факт использования WordPress сложно: остаются следы, не связанные с путями, — например, ссылка на REST API или скрипт эмодзи. Поэтому определить WordPress удаётся, а подробности — нет.
Но и это не полная защита. Имена папок меняются, а имена файлов часто остаются прежними, поэтому часть плагинов может попасть в пункт «Дополнительно» по словам в именах объединённых файлов.
2️⃣ Сайты за CDN
CDN — это промежуточный сервер между посетителями и исходным сервером. Типичный пример — Cloudflare. Инструмент проверки подключается не к исходному серверу, а к серверу CDN, поэтому и IP, и провайдер будут принадлежать CDN.
В этом случае под результатом появляется пояснение. В какой компании находится исходный сервер, узнать нельзя. Скрывать исходный сервер — одна из задач CDN, поэтому другие инструменты покажут то же самое.
В зависимости от настроек CDN может блокироваться даже определение WordPress. Если правила безопасности запрещают автоматические подключения, инструмент вовсе не получает страницу и показывает «Не WordPress» — хотя на самом деле это WordPress.
3️⃣ Пути исчезли после оптимизации ресурсов
Плагины кеширования ради скорости объединяют несколько файлов CSS и JS в один. Так работает, например, объединение файлов в WP Rocket или Autoptimize. После этого вместо отдельных папок плагинов остаётся один объединённый файл, и извлечь имена из путей уже нельзя.
Это не попытка что-то скрыть, а следствие оптимизации. Поэтому часто бывает так: «Плагины (по путям)» пуст, а в «Дополнительно» найдено несколько плагинов — следы остаются в именах объединённых файлов и уникальных классах на странице.
Итак, в трёх случаях результат выглядит так: при защите путей WordPress определяется, но все подробности скрыты; при CDN скрыты даже данные хостинга; при оптимизации ресурсов исчезают только пути, а следы остаются. Какой случай перед вами, можно понять, сравнив значок и два пункта плагинов.
Ⅲ. Сравнение сервисов определения темы WordPress
Ⅳ. Как скрыть свой сайт от проверки
До сих пор речь шла о проверке чужих сайтов. Тем же способом можно посмотреть, что видно о вашем сайте. Если известно, какие тема и плагины у вас стоят, возможны попытки использовать известные уязвимости этих версий, поэтому подробности лучше хотя бы скрыть.
Сначала одна оговорка: скрыть всё полностью невозможно — того, кто смотрит исходный код вручную, не остановить. Цель — не дать автоматическим инструментам проверки собирать списки.
1️⃣ Плагины защиты путей
Это самый прямой способ. Плагины вроде Hide My WP заменяют пути /wp-content/themes/ и /wp-content/plugins/ случайными именами. Извлечь названия из путей становится невозможно, и проверка показывает только «WordPress (пути скрыты)», а пункты темы и плагинов остаются пустыми.
Заодно такие плагины меняют адрес входа и имена файлов readme. Автоматические сканеры начинают с путей по умолчанию, поэтому одна только смена путей отсекает немалую часть попыток.
После включения обязательно проверьте внешний вид сайта: смена путей иногда ломает CSS или JS отдельных плагинов. Очистите кеш и посмотрите и на компьютере, и на мобильном.
2️⃣ Подключение CDN
Если поставить CDN впереди, инструмент проверки подключается не к исходному серверу, а к серверу CDN. IP, провайдер и данные сети будут принадлежать CDN, и реальное местоположение сервера скрыто.
Если добавить правила безопасности, охват расширится. Настройте блокировку запросов, похожих на автоматические, — и инструмент не получит саму страницу, так что не определится даже WordPress.
Но чем строже правила, тем выше риск заблокировать и поисковых роботов. Изменив правила блокировки, проверьте статус индексирования в Search Console.
3️⃣ Блокировка брандмауэром
Можно напрямую закрыть доступ конкретным сервисам проверки в брандмауэре сервера: добавьте их IP или user-agent в список запрещённых — и проверка не удастся. Это сложнее двух способов выше, а если сервис сменит IP, блокировать придётся заново.
Инструмент проверки на этой странице тоже исключает некоторые домены из проверки. Эти данные всё равно можно узнать другими инструментами, так что это не полная блокировка: реалистичная цель — остановить автоматические проверки.
Применять все три способа не обязательно. Одной защиты путей хватает, чтобы скрыть большую часть подробностей, а если вы уже используете CDN, данные хостинга скрыты автоматически.
Ⅴ. FAQ
ℹ️ О партнёрских ссылках
Материалы этого сайта содержат партнёрские ссылки. Если посетитель покупает товар или услугу по такой ссылке, сайт получает комиссию от продавца. При этом сумма, которую платит покупатель (при акционных скидках сумма снижается ↓), не увеличивается. Указанные цены, скидки и наличие актуальны на момент написания и могут отличаться, поэтому перед покупкой уточняйте их у продавца. Товары выбираются и оцениваются по нашим собственным критериям, а комиссия не влияет ни на порядок, ни на содержание обзоров.