Paso 1
Elige una página pública
Ejemplo ilustrativo, no un resultado en directo
https://clocktools.app/Inspecciona solo destinos autorizados. Se eliminan los parámetros de la URL inicial; no envíes secretos.
Is It WP? Comprobador de indicios WordPress
Examina indicios públicos de WordPress, descubrimiento REST y archivos visibles de temas y plugins sin afirmar certeza sobre el servidor.
Cómo usar la herramienta
Examina indicios públicos de WordPress, descubrimiento REST y archivos visibles de temas y plugins sin afirmar certeza sobre el servidor.
Paso 2
Contrasta indicios
Ejemplo ilustrativo, no un resultado en directo
wp/v2 · wp-contentCompara espacios de nombres REST, generador y rutas de archivos. Un fallo de acceso no prueba ausencia.
Paso 3
Guarda las pruebas
Ejemplo ilustrativo, no un resultado en directo
JSONExporta el informe fechado para una migración o entrega. Los nombres visibles no son un inventario completo.
Usos prácticos
Preparar una migración
Antes de presupuestar una migración, inspecciona por separado portada y una página pública representativa. Anota URL final, REST, temas y slugs de plugins. Pide después al propietario inventario real y detalles de despliegue. Las pruebas orientan preguntas sobre formularios y contenido, sin determinar esfuerzo ni todas las dependencias del servidor.
Investigar la caché
Tras cambiar tema o plugin, la página puede seguir citando archivos antiguos. Exporta un informe fechado y compáralo con configuración y caché actuales. Abre la misma página anónimamente antes de purgar nada. Un generador o stylesheet antiguo describe lo servido, no una necesidad de reinstalar WordPress.
Entregar al soporte
En un traspaso técnico, guarda JSON y no solo puntuación. Respuesta, sondeos fallidos y rutas de ejemplo permiten explicar lo observado. Retira URL sensibles de tickets. Compartir prepara otra inspección, sin transmitir tu sesión ni reproducir automáticamente las pruebas previas.
HTML público
Pruebas REST
Valoración prudente
Contexto y funcionamiento
Descubrir es mejor que adivinar un directorio
WordPress documenta la relación https://api.w.org/ en HTML o en la cabecera HTTP Link. Permite localizar la raíz de la API incluso en instalaciones dentro de una subcarpeta. El comprobador busca espacios de nombres del núcleo.
wp/v2 es un indicio relevante, pero una solicitud fallida no prueba que WordPress esté ausente. Cortafuegos, restricciones y sistemas desacoplados pueden ocultarlo. La puntuación suma pesos hasta 100; no es una probabilidad estadística. Guía de descubrimiento REST de WordPress.
Visible no significa instalado ni completo
La ruta de un tema puede revelar su identificador; la cabecera pública de style.css puede indicar nombre, versión o tema padre. Son datos publicados que pueden estar editados o desactualizados. Un tema hijo no equivale al padre.
Las rutas de plugins solo muestran referencias de la respuesta examinada. Plugins del servidor, archivos agrupados y carpetas renombradas pueden no dejar indicios reconocibles. Una versión no demuestra seguridad, licencia ni un inventario completo. Documentación de hojas de estilo de WordPress.
Ejemplo: un exportado estático con rastros WordPress
La página muestra un generador WordPress e imágenes wp-content, pero la API responde 404. Puede ser un exportado, una caché o una API protegida. Pregunta al propietario cómo se genera y sirve la página; no des por demostrado un servidor WordPress activo.
- Generador
- Indicio visible
- REST HTTP 404
- No se observó el espacio de nombres del núcleo
- Siguiente paso
- Confirmar el origen con el propietario
Lee las pruebas antes del veredicto
Cada señal está encontrada, no encontrada o no disponible. No encontrada significa que la respuesta examinada no contenía ese indicio reconocible. No disponible indica que petición o respuesta no eran utilizables. Si un cortafuegos devuelve un error, la ausencia de un tema dice poco sobre la página que reciben los visitantes. La vista compacta muestra las primeras seis filas de señales y los campos principales. Exporta JSON para consultar la lista completa y los metadatos devueltos del stylesheet, incluidos los indicios que no aparecen en esa vista.
Los pesos son explícitos: núcleo REST 45, generador WordPress 35, descubrimiento 25, rutas content e includes 20 cada una, scripts del núcleo 15, prefijos de cookies 12, descubrimiento de publicación 10 y pingback 8. La suma se limita a 100. Diez referencias de un plugin no son diez señales independientes; contar assets y ponderar indicios son tareas diferentes.
El veredicto también depende de la página principal. Fallo, error, truncado o contenido no HTML dan resultado inconcluso aunque haya indicios. Con HTML utilizable, núcleo REST más otra señal, o tres señales que sumen al menos 55, producen pruebas fuertes. De otro modo, 30 o más pueden dar probable; menos puntos positivos quedan inconclusos. Son reglas del motor, no probabilidades ni acceso al backend.
| Señales observadas | Puntos | Interpretación |
|---|---|---|
Solo wp-content | 20 | Inconcluso: una ruta aporta evidencia limitada. |
| Solo generador | 35 | Probable con HTML utilizable, sin demostrar backend. |
wp/v2 y descubrimiento | 70 | Pruebas públicas fuertes con HTML utilizable. |
| Varias señales en página HTTP 403 | Según las señales | Inconcluso: no se inspeccionó por completo la página prevista. |
| Ninguna señal en HTML utilizable | 0 | Sin señales públicas, no probabilidad de cero por ciento. |
Por qué distintas páginas muestran distintas API
El comprobador prefiere una URL de descubrimiento publicada en Link o HTML. Si no existe, deriva un candidato wp-json/ de rutas content visibles o del origen de la página. No busca en todos los directorios. Una publicación bajo /news/ puede diferir de una portada de otro sistema, sobre todo si esta no expone una relación API útil.
La documentación de descubrimiento REST define https://api.w.org/. Para esta herramienta importa además que el destino publique espacios de nombres o rutas del núcleo reconocibles. Enlace API e índice utilizable son pruebas diferentes: publicar un enlace no confirma que su destino respondiera durante la consulta.
Los espacios personalizados son útiles, pero no constituyen automáticamente un inventario de plugins: un tema o código propio puede registrar rutas. RSD, Windows Live Writer y X-Pingback añaden pesos menores. ClockTools observa esas referencias sin enviar publicaciones ni probar credenciales. Desactivar una interfaz puede cambiar las señales sin cambiar el CMS.
Usa las rutas para preguntar por el inventario
Un recurso bajo /wp-content/themes/atelier/ revela un slug de directorio. El candidato principal tiene más referencias, con orden alfabético en caso de empate; no es la selección autenticada del tema activo. Se puede leer su style.css convencional y los campos publicados. Si no hay nombre, el slug sigue siendo un slug, no un producto inventado.
Dos directorios merecen investigación, no un aviso automático de conflicto. En el modelo de tema hijo, Template identifica el directorio padre. Con atelier-child y atelier, pregunta dónde están las personalizaciones y qué aporta el padre. Caché o recursos independientes también explican otro slug. Confirma el conjunto en administración antes de planear actualizaciones.
Las rutas /wp-content/plugins/ y /wp-content/mu-plugins/ se agrupan por slug y número de referencias. La documentación de plugins obligatorios explica su carga especial, pero una ruta visible no revela todos los componentes. Una página de contacto puede cargar formularios ausentes en portada. Revísala aparte para la migración y compara con inventario activo y must-use del propietario.
Plugins solo de servidor, bundles, rutas propias y reescrituras CDN pueden permanecer invisibles; una caché puede conservar archivos ya eliminados. Una versión de tema pertenece al tema; un ?ver= arbitrario no identifica el núcleo. La versión de WordPress se obtiene solo de un generador explícito. Por eso un campo vacío puede ser correcto.
Theme Name es el nombre visible publicado; Author y Theme URI son atribuciones declaradas. Text Domain identifica un dominio de traducción, no el host de la web. Sirven para localizar documentación prevista, pero son texto editable. No autentican propiedad, derechos de licencia ni una actualización disponible para los archivos desplegados.
Distingue creación del contenido y entrega de la página
Un sitio tradicional sirve HTML de WordPress; una caché, una copia anterior. Una exportación estática conserva marcas y rutas sin ejecutar WordPress para cada visitante. Un frontend headless puede usar contenido de un servicio privado o separado sin publicar rutas reconocibles. La herramienta observa entrega, no todos los sistemas de producción.
Esto explica ambas sorpresas. Un score alto en un exportado puede describir correctamente los indicios aunque sería falso afirmar un backend activo. Ninguna señal en un headless también puede ser correcta mientras los editores usan WordPress. Pregunta dónde se escribe, construye y sirve el contenido; esas respuestas ayudan más al proyecto que discutir una etiqueta.
En el ejemplo fijo de exportación, generador y wp-content suman 55, sin REST del núcleo utilizable. Dos indicios no cumplen la regla de tres para pruebas fuertes; con HTML válido el resultado puede ser probable. Si la página está bloqueada o truncada, permanece inconcluso. Otros indicios copiados pueden aumentar el score sin demostrar ejecución del backend.
Investiga sorpresas sin consultar páginas privadas
Empieza por URL enviada y final. Una redirección puede acabar en otro host, una traducción o un desafío de seguridad. Compara estado y bytes examinados antes de mirar componentes. El HTML truncado puede dejar fuera señales posteriores, así que la lista no es exhaustiva. Asegúrate de qué respuesta pública se inspeccionó realmente.
La inspección es anónima y limitada: una página, un candidato REST y, si procede, un stylesheet. No ejecuta JavaScript. Se quita la query inicial; una página que depende de parámetros puede diferir del navegador. No lo esquives con un enlace firmado o de acceso. Usa una ruta pública normal y revisa localmente tus páginas autenticadas.
Con API bloqueada o límite, conserva la fila no disponible, espera y revisa tus reglas si corresponde. No retires protecciones para mejorar una cifra. Verifica versiones y actualizaciones en el sistema autenticado; no se comparan vulnerabilidades aquí. Una corrección útil incluye URL segura, hora, indicio esperado y respuesta pública, no solo «la puntuación está mal».
Metodología
Se inspeccionan HTML público anónimo limitado, un candidato REST y un stylesheet disponible, con destinos públicos validados y redirecciones limitadas. No se envía tu sesión ni se ejecuta JavaScript. Encontrado, no encontrado y no disponible se conservan por separado. Los componentes son referencias expuestas; historial y JSON no son inventarios autenticados.
Limitaciones
Los indicios fuertes no son certeza. El contenido puede copiarse, almacenarse en caché o resultar engañoso. La falta de indicios no excluye un WordPress oculto. No es un análisis de vulnerabilidades, un inventario de plugins ni una revisión autenticada.
Correcciones
Comunica un problema reproducible mediante la página de contacto. Incluye la URL de la herramienta, una entrada sin datos confidenciales, la hora de comprobación, el resultado esperado y pruebas de la fuente. Adjunta la respuesta pública si es posible, sin datos de cuentas ni enlaces secretos. Un cambio en la fuente no implica un error de cálculo. Compara el mismo nombre, página y momento.
Preguntas frecuentes
¿La puntuación es la probabilidad de que WordPress esté instalado?
No. Suma pesos explícitos con un límite y aplica reglas que también consideran si el HTML es utilizable. Lee las pruebas y el estado. Cero puede corresponder a un headless y una cifra alta a contenido copiado o cacheado. Ninguna es una probabilidad medida.
¿Por qué queda inconcluso aunque haya indicios de WordPress?
La página prevista puede estar bloqueada, truncada, no ser HTML o devolver un error. Los indicios conservados no convierten las ausencias en pruebas. Guarda el informe, compara URL y estado y prueba una página pública normal en lugar de forzar un sí o no.
¿Un sitio estático puede parecer WordPress?
Sí. Generador, assets y descubrimiento pueden sobrevivir a una exportación o caché. El resultado describe esas señales. Pregunta al propietario cómo se construyen y sirven las páginas para distinguir exportación y aplicación; la cadena privada no es visible aquí.
¿El tema detectado tiene que estar activo?
No. Se selecciona entre directorios citados públicamente, no en administración. Tema hijo, padre, caché o recursos extra pueden mostrar varios slugs. Lee metadatos y confirma la organización antes de instalar, comprar o actualizar un tema con nombre parecido.
¿Se listan todos los plugins instalados?
No. Solo se agrupan referencias reconocibles de la página. Un formulario puede aparecer en contacto, y un plugin de servidor nunca. Los espacios REST siguen siendo indicios de API, no afirmaciones automáticas sobre plugins.
¿Por qué falta versión aunque haya valores ?ver=?
Pueden referirse a plugin, tema o caché, no al núcleo. No se usan para adivinar WordPress. Un generador explícito puede aportar una pista; si falta, consulta el sistema autenticado en lugar de sustituirla por un número de archivo.
¿REST 404 o 403 demuestra que no es WordPress?
No. El candidato puede estar restringido, no disponible o no corresponder a la instalación. Descubrimiento e índice del núcleo son pruebas separadas. Mira también HTML y, para tu sitio, ruta y política previstas sin quitar protección solo para el detector.
¿Esta comprobación puede establecer si el sitio es seguro?
No. No prueba accesos, enumera usuarios, explota componentes ni compara vulnerabilidades. Los nombres visibles ayudan a revisar exposición pública, no toda la seguridad. Para eso hacen falta inventario autenticado y una evaluación autorizada independiente.
¿Por qué difiere de mi navegador con sesión iniciada?
No se envían cookies ni autorización, no corre JavaScript y se elimina la query inicial. El navegador puede recibir contenido personalizado, otra caché o API autenticada. Compara el mismo camino anónimamente y conserva URL final y hora.