ตรวจธีม WordPress · ตรวจจับปลั๊กอิน: ใส่ที่อยู่เว็บไซต์ → ดูโฮสติ้ง

ตรวจธีม WordPress และตรวจจับปลั๊กอินได้เพียงใส่ที่อยู่เว็บไซต์ ดูได้ถึงชื่อและเวอร์ชันของธีมที่ใช้ ปลั๊กอินที่ติดตั้ง ผู้ให้บริการโฮสติ้ง และช่วง IP พร้อมสรุปกรณีที่ผลลัพธ์ถูกจำกัดเพราะการซ่อนเส้นทางหรือ CDN และเปรียบเทียบเว็บไซต์ตรวจสอบภายนอกไว้ด้วย

วางที่อยู่เว็บไซต์เพื่อตรวจว่าสร้างด้วย WordPress หรือไม่ จะใส่ https:// หรือไม่ก็ได้

Ⅰ. วิธีใช้เครื่องมือตรวจปลั๊กอิน & ตรวจจับธีม WordPress

เมื่อตรวจสอบปลั๊กอิน WordPress เสร็จ ผลลัพธ์จะแสดงแยกตามลำดับ ป้ายผลตรวจ ธีม ปลั๊กอิน และโฮสติ้ง เพราะมีหลายรายการ ตอนแรกอาจสับสนว่าควรดูตรงไหน โดยเฉพาะปลั๊กอินที่แสดงแยกเป็นสองส่วน และทั้งสองส่วนค้นหาด้วยวิธีที่ต่างกัน
จึงไม่ใช่ผลที่ผิดพลาดแม้ส่วนใดส่วนหนึ่งจะว่างอยู่ มาดูกันทีละรายการว่าแต่ละส่วนหมายถึงอะไร

1️⃣ ป้ายผลตรวจ 3 แบบ

เมื่อตรวจสอบเสร็จ จะมีป้ายหนึ่งอันแสดงอยู่เหนือที่อยู่เว็บไซต์ ความหมายต่างกันไปตามสีและข้อความ

1. สีเขียว: [WordPress] หมายถึงเว็บไซต์ที่สร้างด้วย WordPress อย่างแน่นอน โดยพบร่องรอยอย่างเส้นทาง wp-content, เมตาแท็ก generator หรือลิงก์ REST API อย่างน้อยหนึ่งอย่าง
2. สีส้ม: [WordPress (ซ่อนเส้นทาง)] หมายถึงเป็น WordPress จริง แต่เส้นทางของธีมและปลั๊กอินถูกซ่อนไว้ ถ้าเว็บไซต์ใช้ปลั๊กอินความปลอดภัยเปลี่ยนชื่อโฟลเดอร์ไว้ก็จะแสดงแบบนี้ ไม่ใช่ว่าเครื่องมือหาไม่เจอ แต่เว็บไซต์ปลายทางซ่อนไว้เอง
3. สีแดง: [ไม่ใช่ WordPress] หมายถึงไม่พบร่องรอยของ WordPress อาจเป็นเว็บไซต์ที่สร้างด้วยวิธีอื่น หรือมี CDN อยู่ด้านหน้าซึ่งบังข้อมูลต้นทางไว้
4. ใต้ป้าย: ส่วน [หลักฐานการตรวจพบ] จะแสดงตามจริงว่าตัดสินจากร่องรอยใด ถ้ามีหลักฐานเพียงอย่างเดียว ให้ถือว่าความมั่นใจยังต่ำ

2️⃣ ความต่างระหว่าง “ปลั๊กอิน (จากเส้นทาง)” กับ “ผลตรวจเพิ่มเติม”

ในหน้าผลลัพธ์ ปลั๊กอินจะแสดงอยู่สองที่ แยกไว้เพราะใช้วิธีค้นหาต่างกัน

“ปลั๊กอิน (จากเส้นทาง)” คือผลที่ดึงจากเส้นทางไฟล์โดยตรง จะตรวจพบได้ก็ต่อเมื่อซอร์สยังมีรูปแบบ /wp-content/plugins/ชื่อ/ เหลืออยู่ จึงแม่นยำ แต่ถ้าปลั๊กอินแคชรวมหลายไฟล์เป็นไฟล์เดียว เส้นทางจะหายไปและจะไม่แสดงอะไรเลย

“ผลตรวจเพิ่มเติม (ธีม · ปลั๊กอิน)” คือผลที่หาได้จากร่องรอยอื่นที่ไม่ใช่เส้นทาง เช่น คำที่เหลืออยู่ในชื่อไฟล์ที่ถูกรวม คลาสเฉพาะที่ติดอยู่บนหน้าเว็บ หรือ Response Header ที่เซิร์ฟเวอร์ส่งมา จึงตรวจพบได้แม้เส้นทางจะถูกเปลี่ยนหรือหายไป รายการที่รู้จักจะแสดงด้วยชื่อทางการ ส่วนรายการที่ไม่รู้จักจะแสดงตามชื่อที่เว็บไซต์ลงทะเบียนไว้ (slug) ชื่อธีมก็แสดงอยู่ตรงนี้ด้วย

ถ้าส่วนบนว่างแต่ส่วนล่างมีข้อมูล แสดงว่าเว็บไซต์นั้นเพิ่มประสิทธิภาพ Asset ไว้ ถ้าส่วนบนมีข้อมูลแต่มีบางรายการไม่อยู่ในส่วนล่าง รายการนั้นคือปลั๊กอินที่ไม่ทิ้งร่องรอย ต้องดูทั้งสองส่วนประกอบกันจึงจะใกล้เคียงกับการตั้งค่าจริง

3️⃣ ข้อมูลโฮสติ้ง·เครือข่าย

ในส่วนโฮสติ้งจะแสดงข้อมูลเซิร์ฟเวอร์และเครือข่ายไว้ด้วยกัน

ข้อควรระวังตรงนี้คือ เว็บไซต์ที่ใช้ CDN จะแสดง IP และผู้ให้บริการเป็นของ CDN ทั้งหมด ไม่สามารถรู้ได้ว่าเซิร์ฟเวอร์จริงอยู่ที่ไหน และในกรณีนี้จะมีข้อความแจ้งแสดงอยู่ใต้ผลลัพธ์ด้วย การซ่อนต้นทางคือจุดประสงค์ของ CDN ต่อให้ใช้เครื่องมือตรวจสอบอื่นก็ได้ผลเหมือนกัน

แม้เป็นบริษัทเดียวกัน ชื่อที่แสดงก็อาจต่างกันได้ เช่น Cloudways ไม่ได้มีเซิร์ฟเวอร์ของตัวเอง แต่เช่าโครงสร้างพื้นฐานของบริษัทอื่น ช่อง “ผู้ให้บริการ” จึงแสดงบริษัทโครงสร้างพื้นฐานนั้น และช่อง “โฮสติ้งที่คาดว่าเป็น” อาจแสดงทั้งสองบริษัท

Ⅱ. เมื่อตรวจไม่พบธีม·ปลั๊กอิน

บางครั้งตรวจธีม WordPress (&ปลั๊กอิน) แล้ว แต่ช่องธีมและปลั๊กอินกลับว่างเปล่า ส่วนใหญ่ไม่ได้เกิดจากเครื่องมือผิดพลาด แต่เป็นเพราะเว็บไซต์ปลายทางซ่อนข้อมูลไว้หรือมีโครงสร้างที่เปลี่ยนไป สาเหตุหลักแบ่งได้เป็น 3 แบบ

1️⃣ ปลั๊กอินซ่อนเส้นทาง

WordPress โหลดไฟล์ธีมและปลั๊กอินจากเส้นทาง /wp-content/themes/ชื่อ/ และ /wp-content/plugins/ชื่อ/ เครื่องมือตรวจสอบจะอ่านเส้นทางนี้เพื่อหาชื่อ ในทางกลับกัน แค่เปลี่ยนชื่อโฟลเดอร์ก็ทำให้ตรวจไม่ได้แล้ว

ปลั๊กอินความปลอดภัยอย่าง Hide My WP ทำหน้าที่นี้ โดยเปลี่ยนชื่อโฟลเดอร์เป็นตัวอักษรสุ่ม ย้าย URL ล็อกอิน และเปลี่ยนชื่อไฟล์ readme ด้วย เมื่อตรวจเว็บไซต์แบบนี้ ป้ายผลตรวจจะขึ้นเป็นสีส้ม “WordPress (ซ่อนเส้นทาง)” และช่องธีมกับปลั๊กอินจะว่างเปล่า

ข้อเท็จจริงที่ว่าเป็น WordPress นั้นซ่อนได้ยาก เพราะยังมีร่องรอยที่ไม่เกี่ยวกับเส้นทางเหลืออยู่ เช่น ลิงก์ REST API หรือสคริปต์อีโมจิ จึงกลายเป็นสภาพที่ตรวจได้ว่าเป็น WordPress แต่รายละเอียดถูกปิดกั้น

อย่างไรก็ตาม ก็ไม่ได้ถูกปิดกั้นทั้งหมด หลายครั้งชื่อโฟลเดอร์เปลี่ยนไปแต่ชื่อไฟล์ยังเหมือนเดิม บางรายการจึงถูกตรวจพบใน “ผลตรวจเพิ่มเติม” จากคำที่เหลืออยู่ในชื่อไฟล์ที่ถูกรวม

2️⃣ เว็บไซต์ที่ผ่าน CDN

CDN คือเซิร์ฟเวอร์ตัวกลางที่อยู่ระหว่างผู้เข้าชมกับเซิร์ฟเวอร์ต้นทาง ตัวที่รู้จักกันดีคือ Cloudflare เมื่อเครื่องมือตรวจสอบเข้าถึงเว็บไซต์ จะเชื่อมต่อกับเซิร์ฟเวอร์ CDN แทนเซิร์ฟเวอร์ต้นทาง IP และผู้ให้บริการที่แสดงจึงเป็นของ CDN ทั้งหมด

ในกรณีนี้จะมีข้อความแจ้งแสดงอยู่ใต้ผลลัพธ์ด้วย ไม่สามารถรู้ได้ว่าเซิร์ฟเวอร์ต้นทางอยู่กับบริษัทใด การซ่อนต้นทางเป็นหนึ่งในจุดประสงค์ของ CDN ต่อให้ใช้เครื่องมือตรวจสอบอื่นผลก็เหมือนกัน

บางครั้งการตั้งค่า CDN ก็ทำให้ตรวจไม่ได้แม้แต่ว่าเป็น WordPress หรือไม่ ถ้ากฎความปลอดภัยบล็อกการเข้าถึงแบบอัตโนมัติ เครื่องมือจะดึงหน้าเว็บไม่ได้เลยและแสดงเป็น “ไม่ใช่ WordPress” ทั้งที่จริงเป็น WordPress ก็ยังแสดงแบบนั้น

3️⃣ เมื่อเส้นทางหายไปเพราะการเพิ่มประสิทธิภาพ Asset

ปลั๊กอินแคชจะรวมไฟล์ CSS และ JS หลายไฟล์เป็นไฟล์เดียวเพื่อความเร็ว เช่น ฟังก์ชันรวมไฟล์ของ WP Rocket หรือ Autoptimize เมื่อเป็นเช่นนี้ จะเหลือเพียงไฟล์ที่รวมแล้วไฟล์เดียวโดยไม่ผ่านโฟลเดอร์ของแต่ละปลั๊กอิน จึงดึงชื่อจากเส้นทางไม่ได้

นี่ไม่ใช่การตั้งใจซ่อน แต่เป็นผลจากการเพิ่มประสิทธิภาพ จึงมักเห็นรูปแบบที่ “ปลั๊กอิน (จากเส้นทาง)” ว่าง แต่ “ผลตรวจเพิ่มเติม” ตรวจพบหลายรายการ เพราะชื่อไฟล์ที่ถูกรวมหรือคลาสเฉพาะบนหน้าเว็บยังมีร่องรอยเหลืออยู่

สรุปผลของทั้ง 3 กรณีได้ดังนี้ การซ่อนเส้นทางจะตรวจได้แค่ว่าเป็น WordPress แต่รายละเอียดถูกปิดกั้นทั้งหมด CDN จะบังไปถึงข้อมูลโฮสติ้ง ส่วนการเพิ่มประสิทธิภาพ Asset จะทำให้หายไปแค่เส้นทางแต่ร่องรอยยังอยู่ แยกได้ว่าเป็นกรณีไหนโดยเทียบป้ายผลตรวจกับปลั๊กอินทั้งสองส่วน

Ⅲ. เปรียบเทียบเว็บไซต์ตรวจธีม WordPress

Ⅳ. ถ้าไม่อยากให้เว็บไซต์ของคุณถูกตรวจสอบ

ที่ผ่านมาเป็นมุมของการตรวจเว็บไซต์คนอื่น ในทางกลับกัน ก็ตรวจได้ด้วยวิธีเดียวกันว่าเว็บไซต์ของคุณเปิดเผยข้อมูลไปถึงไหน ถ้ามีคนรู้ว่าใช้ธีมและปลั๊กอินอะไร อาจมีการโจมตีที่มุ่งเป้าช่องโหว่ที่รู้กันอยู่แล้วของเวอร์ชันนั้น อย่างน้อยจึงควรซ่อนรายละเอียดไว้

ขอบอกเงื่อนไขหนึ่งข้อก่อน การซ่อนทั้งหมดเป็นไปไม่ได้ เพราะไม่สามารถกันคนที่เปิดดูซอร์สด้วยตัวเองได้ เป้าหมายคือระดับที่กันไม่ให้เครื่องมือตรวจสอบอัตโนมัติดึงรายการไปได้

1️⃣ ปลั๊กอินซ่อนเส้นทาง

เป็นวิธีที่ตรงที่สุด ปลั๊กอินอย่าง Hide My WP จะเปลี่ยนเส้นทาง /wp-content/themes/ และ /wp-content/plugins/ เป็นชื่อสุ่ม วิธีดึงชื่อจากเส้นทางจึงใช้ไม่ได้ เมื่อตรวจสอบจะแสดงแค่ “WordPress (ซ่อนเส้นทาง)” และช่องธีมกับปลั๊กอินจะว่างเปล่า

ยังมีฟีเจอร์อย่างการเปลี่ยน URL ล็อกอินและการเปลี่ยนชื่อไฟล์ readme มาด้วย การสแกนอัตโนมัติจะไล่ดูจากเส้นทางมาตรฐานก่อน แค่เปลี่ยนเส้นทางก็กรองความพยายามออกไปได้มาก

หลังเปิดใช้งานแล้วต้องตรวจหน้าเว็บเสมอ เพราะเป็นการเปลี่ยนเส้นทาง CSS หรือ JS ของบางปลั๊กอินอาจเสียได้ ล้างแคชแล้วตรวจดูทั้งบน PC และมือถือ

2️⃣ ใช้ CDN

ถ้าวาง CDN ไว้ด้านหน้า เครื่องมือตรวจสอบจะเชื่อมต่อกับเซิร์ฟเวอร์ CDN แทนเซิร์ฟเวอร์ต้นทาง IP ผู้ให้บริการ และข้อมูลเครือข่ายจะแสดงเป็นของ CDN ทั้งหมด ตำแหน่งเซิร์ฟเวอร์จริงจึงถูกซ่อนไว้

ถ้าเพิ่มกฎความปลอดภัยเข้าไปด้วย ขอบเขตจะกว้างขึ้น หากตั้งให้บล็อกคำขอที่ถูกมองว่าเป็นการเข้าถึงอัตโนมัติ เครื่องมือตรวจสอบจะดึงหน้าเว็บไม่ได้เลย จนตรวจไม่ได้แม้แต่ว่าเป็น WordPress หรือไม่

แต่ยิ่งเพิ่มความเข้มงวด ก็ยิ่งเสี่ยงที่ครอว์เลอร์ของเครื่องมือค้นหาจะโดนบล็อกไปด้วย หลังปรับกฎการบล็อกแล้ว ควรตรวจสถานะการจัดทำดัชนีใน Search Console เพื่อความปลอดภัย

3️⃣ บล็อกด้วยไฟร์วอลล์

เป็นวิธีบล็อกการเข้าถึงจากเว็บไซต์ตรวจสอบบางแห่งโดยตรงที่ไฟร์วอลล์ของเซิร์ฟเวอร์ ถ้าใส่ IP หรือ User Agent ของเว็บนั้นลงในรายการปฏิเสธ การตรวจสอบจะล้มเหลวไปเลย ใช้แรงมากกว่า 2 วิธีข้างต้น และถ้าเว็บนั้นเปลี่ยน IP ก็ต้องบล็อกใหม่

เครื่องมือตรวจสอบในหน้านี้ก็ยกเว้นบางโดเมนไว้ไม่ให้ตรวจสอบเช่นกัน แต่ข้อมูลเหล่านี้ยังหาได้จากเครื่องมืออื่น จึงไม่ใช่การบล็อกที่สมบูรณ์ เป้าหมายที่เป็นไปได้จริงคือแค่กันการตรวจสอบอัตโนมัติ

ไม่จำเป็นต้องใช้ทั้ง 3 วิธี แค่ซ่อนเส้นทางก็บังรายละเอียดได้เกือบหมด และถ้าใช้ CDN อยู่แล้ว ข้อมูลโฮสติ้งก็จะถูกซ่อนไปเองโดยอัตโนมัติ

Ⅴ. FAQ

ℹ️ ประกาศเรื่องลิงก์แอฟฟิลิเอต
เนื้อหาของเว็บไซต์นี้มีลิงก์แอฟฟิลิเอต หากผู้เข้าชมซื้อสินค้าหรือบริการผ่านลิงก์เหล่านี้ เว็บไซต์นี้จะได้รับค่าคอมมิชชันจากผู้ขาย ในกระบวนการนี้ ราคาที่ผู้ซื้อจ่าย^{(ราคาจะลดลงเมื่อมีโปรโมชัน↓)}จะไม่สูงขึ้นแต่อย่างใด ราคา ส่วนลด และข้อมูลสต็อกที่แสดงเป็นข้อมูล ณ เวลาที่เขียนและอาจต่างจากความเป็นจริง โปรดตรวจสอบกับผู้ขายอีกครั้งก่อนซื้อ การเลือกและการประเมินสินค้าเขียนตามเกณฑ์ของเราเอง และการได้รับค่าคอมมิชชันหรือไม่ไม่มีผลต่อลำดับการแนะนำหรือเนื้อหาการประเมิน