Est-ce WP ? Détecteur WordPress

Qu'est-ce que l'outil Is It WP ?

Is It WP est un détecteur WordPress qui vérifie si un site Web public expose des preuves reconnaissables de WordPress. Au lieu de s'appuyer sur une chaîne copiée, ClockTools compare les signaux indépendants des en-têtes HTML, HTTP renvoyés, de la découverte officielle de l'API REST, de l'espace de noms principal wp/v2, des chemins d'accès aux actifs wp-content et wp-includes, des noms de scripts principaux, des liens de publication, des cookies de réponse et des en-têtes pingback. Le résultat conserve le verdict à côté des preuves afin que l'utilisateur puisse voir exactement ce qui a été trouvé et ce qui est resté indisponible.

L’outil répond à plus que la question étroite de ce site WordPress. Il affiche un score de signal WordPress transparent, tout indice de version publique, l'URL finale après les redirections, la réponse HTTP, la quantité de HTML inspectée, les slugs de thème et de plugin détectés, les métadonnées de la feuille de style du thème public, les espaces de noms REST et le bord qui a géré la vérification. Ces preuves peuvent aider les développeurs à étudier une pile publique, les agences à examiner une migration, les propriétaires à vérifier les divulgations accidentelles et les chercheurs à comparer les plateformes de contenu sans se connecter à la cible.

La détection technologique a une frontière importante. Une page publique peut être mise en cache, proxy, exportée en tant que HTML statique, transformée par un CDN ou servie par une interface sans tête. Les outils de sécurité peuvent supprimer les chemins et métadonnées WordPress ordinaires. Un résultat sans signal signifie donc que la réponse vérifiée n'a pas révélé d'indice reconnu à ce moment-là. Il ne peut pas prouver que WordPress est absent de chaque backend privé, origine, processus de construction ou pipeline de contenu connecté au site.

Quels signaux peuvent confirmer WordPress ?

Le signal lisible par machine le plus puissant est un index de l’API WordPress REST qui publie l’espace de noms wp/v2 ou les routes principales. WordPress décrit son API REST comme distribuée car chaque site support expose sa propre API. La plateforme définit également une relation de découverte officielle nommée https://api.w.org/. Cette relation peut être publiée dans un élément de lien HTML ou un en-tête de lien HTTP et peut pointer un client vers la racine d'API correcte même lorsque l'installation n'utilise pas l'URL racine évidente.

Les métadonnées du générateur qui nomment explicitement WordPress sont un autre signal fort et peuvent inclure une version publique. De nombreux propriétaires de sites et plugins de sécurité le suppriment, son absence est donc une preuve ordinaire et non négative. Les ressources publiques sous wp-content et wp-includes fournissent des preuves indépendantes à l’appui. Les scripts de base reconnaissables tels que les fichiers WordPress emoji, embed, hooks, internationalisation ou polyfill rendent la recherche de chemin d'actif plus spécifique qu'une phrase aléatoire qui mentionne simplement WordPress.

Les indices de publication traditionnels ajoutent des poids plus petits. Un lien RSD peut pointer vers xmlrpc.php, un manifeste Windows Live Writer peut identifier une configuration de publication familière, un en-tête X-Pingback peut annoncer XML-RPC et les cookies de réponse anonyme peuvent utiliser les préfixes WordPress, wp-settings ou WooCommerce. Chaque indice peut être désactivé, renommé, mis en cache ou copié, de sorte que ClockTools ne laisse jamais un en-tête faible décider de l'ensemble du verdict. Des preuves indépendantes sont plus utiles qu’une simple signature fragile.

Comment fonctionne le détecteur de thème WordPress ?

Les thèmes WordPress exposent souvent des fichiers publics ci-dessous /wp-content/themes/theme-slug/. ClockTools collecte ces références de ressources à partir du HTML vérifié, les regroupe par slug et compte le nombre d'actifs publics pointant vers chaque répertoire. Un site peut légitimement exposer plusieurs slugs de thème lorsqu'un thème enfant dépend d'un thème parent, lorsqu'un ancien actif en cache reste ou lorsqu'un composant charge une ressource à partir d'un autre répertoire de thème. Le slug public brut reste distinct d’un nom d’affichage vérifié.

Pour le thème candidat le plus fort, le détecteur demande le style.css public conventionnel dans ce même répertoire. Une feuille de style de thème WordPress peut déclarer le nom du thème, l'URI du thème, la description, l'auteur, la version, le modèle et le domaine de texte dans son en-tête. Le champ Modèle nomme généralement le thème parent utilisé par un thème enfant. ClockTools affiche ces champs uniquement lorsque la feuille de style les renvoie et ne convertit pas un slug d'apparence conviviale en métadonnées inventées.

La détection de thème peut échouer sans que WordPress soit absent. Les outils de construction peuvent regrouper CSS dans des fichiers hachés, les plugins d'optimisation peuvent combiner des ressources, un CDN peut réécrire les origines et les chemins, un thème personnalisé peut omettre les métadonnées publiques et un proxy inverse peut supprimer les noms de répertoires WordPress. Certains thèmes de bloc s'appuient également sur des ressources frontend différentes de celles d'un thème classique. Le résultat doit être lu comme une preuve de thème public provenant d'une seule page, et non comme un inventaire authentifié des fichiers installés sur le serveur.

Que peut trouver le détecteur de plugins WordPress ?

Les plugins frontend chargent généralement JavaScript, CSS, des images, des polices ou d'autres actifs à partir de /wp-content/plugins/plugin-slug/. Les plugins indispensables peuvent exposer des fichiers sous /wp-content/mu-plugins/. ClockTools extrait les slugs publics uniques, conserve un nombre de références d'actifs et répertorie séparément les emplacements réguliers et incontournables dans sa preuve JSON. Cela peut révéler des constructeurs de pages visibles, des outils de formulaire, des fonctionnalités commerciales, des intégrations d'analyse, des couches d'optimisation ou d'autres composants frontend sans deviner un produit à partir de la conception visuelle.

Un slug d’actifs de plugin n’est pas un inventaire complet de plugins. Les plugins backend uniquement, les plugins inactifs, les outils de ligne de commande, les intégrations de serveur, les plugins sans actifs frontend, les répertoires renommés, les bundles combinés, les transformations CDN et les déploiements personnalisés peuvent rester invisibles. Une référence mise en cache peut également survivre brièvement après la modification d'un plugin. Les espaces de noms REST peuvent offrir des indices technologiques supplémentaires, mais ClockTools n'appelle pas automatiquement chaque espace de noms un plugin, car un thème ou un code de site personnalisé peut également enregistrer des routes.

Le détecteur n'est pas un scanner de vulnérabilités. Il n'énumère pas les utilisateurs, ne tente pas d'authentification, ne soumet pas de formulaires de connexion, ne teste pas les mots de passe, n'exécute pas d'exploits, n'explore pas les chemins d'administration et ne compare pas chaque slug et version à une base de données de vulnérabilités. Un propriétaire doit vérifier les composants installés et actifs dans la zone d'administration WordPress authentifiée, maintenir à jour les logiciels pris en charge, examiner les sauvegardes et utiliser un flux de travail de sécurité autorisé pour l'évaluation des risques.

Que signifie le score de signal WordPress ?

Le score est une pondération transparente de zéro à cent, et non une probabilité statistique ni une mesure de la part de marché de WordPress. Un espace de noms REST principal confirmé contribue plus qu'un en-tête pingback. Les métadonnées explicites du générateur contribuent plus qu'un lien de publication général. Plusieurs indices d'actifs, d'API et d'en-tête peuvent se renforcer mutuellement jusqu'à ce que les preuves parviennent à un verdict confirmé. Le grand livre indique l'état et l'explication de chaque signal afin que le numéro soit vérifiable.

WordPress confirmé signifie que des preuves solides lisibles par machine ou plusieurs signaux publics indépendants identifient la plate-forme. WordPress signifie probablement qu’il existe des preuves significatives à l’appui, mais qu’un signal principal décisif n’était pas disponible. Une détection non concluante signifie qu'une réponse restreinte, échouée, partielle ou ambiguë ne prend pas en charge une réponse sûre. Aucun signal WordPress public trouvé signifie que les réponses vérifiées n'ont révélé aucun indice reconnu ; WordPress caché, renforcé, proxy, mis en cache, exporté ou sans tête reste possible.

Un score de zéro doit être interprété avec prudence. Cela ne signifie pas qu’il n’y a aucune chance que WordPress soit présent. Il enregistre uniquement qu'aucun signal pondéré n'a été trouvé dans les requêtes publiques limitées. À l’inverse, un score élevé ne prouve pas à qui appartient le site, si WordPress est à jour, si tous les plugins visibles sont actifs ou si l’installation est sécurisée. Le score organise les preuves technologiques plutôt que de remplacer l'accès direct au système contrôlé par un propriétaire.

Pourquoi WordPress renforcé ou sans tête peut-il être manqué ?

Une installation renforcée peut supprimer les métadonnées du générateur, désactiver les pingbacks, restreindre l'index REST, renommer les chemins de contenu, bloquer l'automatisation anonyme et placer des ressources derrière un CDN. Un pare-feu d'application Web peut renvoyer un défi ou une réponse 403 au bord ClockTools tandis qu'un visiteur normal reçoit la page complète. Un cache peut servir un document transformé contenant moins de détails sur l'origine. Ces contrôles modifient les preuves publiques sans nécessairement modifier le système de gestion de contenu.

Une architecture WordPress sans tête crée une séparation plus profonde. Le site Web visible peut être rendu par React, Next.js, Astro, un autre framework, une application native ou un service Edge. WordPress peut fournir du contenu lors d'une construction, via une API privée, à partir d'un autre nom d'hôte ou derrière un proxy. La vérification du frontend public révèle ce que ce frontend révèle ; il ne peut pas identifier un service de contenu privé qui n'est jamais référencé publiquement. Une exportation statique peut également contenir du contenu initialement créé dans WordPress alors qu’aucune application WordPress en direct ne dessert la page.

Les installations personnalisées et multisites introduisent plus de variations. WordPress peut vivre dans un sous-répertoire, utiliser le mappage de domaine, diffuser des médias à partir d'un autre nom d'hôte, exposer une API sur un itinéraire découvert ou placer des ressources de thème et de plugin derrière un domaine de contenu partagé. ClockTools utilise la relation API officielle lors de sa publication et dérive une racine API conventionnelle à partir des chemins de contenu visibles, mais il limite délibérément les requêtes au lieu de forcer brutalement chaque emplacement commun.

Une version WordPress exposée est-elle un résultat de sécurité ?

Non. Une version divulguée constitue une preuve d’inventaire plutôt qu’une découverte de vulnérabilité. ClockTools lit une version uniquement lorsque les métadonnées du générateur ou le générateur de l'API REST nomme explicitement WordPress et fournit une version. Il ne devine pas la version principale à partir des paramètres de requête arbitraires ?ver= sur les scripts et les styles, car ces valeurs peuvent décrire un thème, un plugin, une version, un cache ou une version sans rapport. Il est plus utile d’éviter une supposition que d’afficher une version précise mais fausse.

Une version actuelle visible ne prouve pas que les plugins, les thèmes, les informations d'identification, les autorisations, l'hébergement, les sauvegardes ou le code personnalisé sont sécurisés. Une version cachée ne prouve pas non plus la sécurité. Les propriétaires doivent utiliser une gestion des mises à jour authentifiées, WordPress Site Health, des sauvegardes testées, une surveillance, un accès au moindre privilège, une authentification multifacteur et une évaluation de sécurité autorisée. La détection technologique peut identifier l’exposition du public, mais elle ne peut pas évaluer l’ensemble de la situation de sécurité à partir d’une seule page anonyme.

Comment les limites de confidentialité, de sécurité et de demandes sont-elles gérées ?

L'adresse du site Web atteint le travailleur ClockTools car une page externe ne peut pas être inspectée de manière fiable à partir de tous les navigateurs. Les réponses de l'API sont marquées comme non stockées et seule une courte liste récente facultative est conservée dans le stockage du navigateur local. Les cookies du navigateur, les en-têtes d'autorisation, les sessions de connexion et les informations d'identification ne sont jamais transmis. Les chaînes de requête sont supprimées avant la requête cible pour réduire le risque d'envoi d'un paramètre signé, d'un identifiant personnel, d'un jeton de campagne ou d'un secret accidentel.

Le détecteur récupère la page publique soumise, un candidat à l'index REST et au plus une feuille de style de thème public. Chaque corps a une limite d'octets stricte, chaque opération partage une date limite et la profondeur de redirection est plafonnée. Chaque nom d'hôte de redirection est à nouveau vérifié via public DNS. L'hôte local, les réseaux privés, les adresses réservées, les hôtes mal formés, les cibles portant des informations d'identification, les schémas non pris en charge, les boucles et les destinations de redirection dangereuses sont bloqués avant qu'une demande sortante ne soit autorisée.

Utilisez l'outil uniquement pour les sites Web publics. Ne soumettez pas de tableaux de bord privés, de liens de réinitialisation, de liens de prévisualisation, de téléchargements signés, de jetons d'accès, d'hôtes intranet ou d'identifiants personnels. Le détecteur n'accorde pas l'autorisation de tester un système, de contourner les contrôles ou de rechercher des vulnérabilités. Si une cible bloque les demandes anonymes, le résultat honnête est restreint ou peu concluant. ClockTools n'échappe pas au contrôle et ne mute pas la cible à plusieurs reprises.