Is It WP? Verifica indizi WordPress

Leggere le prove prima del verdetto

Ogni segnale è trovato, non trovato o non disponibile. Non trovato significa assenza dell’indizio nella risposta esaminata; non disponibile indica richiesta o risposta inutilizzabile. Se un firewall serve una pagina di errore, la mancanza di un tema dice poco sulla pagina reale dei visitatori. La vista compatta mostra le prime sei righe di segnali e i campi principali. Esporta JSON per l’elenco completo e i metadati restituiti dallo stylesheet, inclusi gli indizi non presenti nella vista compatta.

I pesi sono espliciti: nucleo REST 45, generator WordPress 35, discovery 25, percorsi content e includes 20 ciascuno, script riconoscibili 15, prefissi cookie 12, discovery di pubblicazione 10 e pingback 8. La somma è limitata a 100. Dieci riferimenti a un plugin non sono dieci segnali indipendenti; conteggio di risorse e peso rispondono a domande diverse.

Conta anche la pagina principale. Errore, troncamento o risposta non HTML restano inconcludenti malgrado indizi. Con HTML utilizzabile, REST core più un altro segnale, oppure almeno tre segnali per 55 punti, danno prove forti. Altrimenti 30 o più possono dare probabile; piccoli valori positivi restano inconcludenti. Sono regole del motore, non probabilità né accesso al backend.

Perché pagine diverse espongono API diverse

Il controllo preferisce l’URL discovery pubblicato in Link o HTML. In assenza ricava un candidato wp-json/ da percorsi content visibili o origine della pagina. Non cerca ogni directory. Una pubblicazione sotto /news/ può differire da una homepage di altro sistema, specie se questa non espone una relazione utile.

La documentazione di discovery REST definisce https://api.w.org/. Qui conta inoltre che il candidato restituisca namespace o rotte core riconoscibili. Link API e indice utilizzabile sono prove distinte: un collegamento pubblicato non conferma il funzionamento dell’endpoint durante il test.

Namespace personalizzati sono utili ma non inventario automatico: tema o codice proprio possono registrare rotte. RSD, Windows Live Writer e X-Pingback aggiungono pesi minori. ClockTools osserva riferimenti senza richieste di pubblicazione o test di credenziali. Un’interfaccia disattivata cambia gli indizi senza necessariamente cambiare CMS.

Usare i percorsi per chiarire l’inventario

Un asset in /wp-content/themes/atelier/ rivela uno slug di directory. Il candidato principale ha più riferimenti, con ordine alfabetico in parità; non è la selezione autenticata del tema attivo. Si può leggere style.css convenzionale e campi pubblici. Senza nome, lo slug resta slug, non un prodotto inventato.

Due directory richiedono approfondimento, non allarme automatico. Nel modello di tema figlio, Template indica la directory padre. Con atelier-child e atelier, chiedi dove stanno personalizzazioni e file padre. Cache o risorse indipendenti spiegano anch’essi un secondo slug. Conferma nell’amministrazione prima di aggiornare.

Percorsi /wp-content/plugins/ e /wp-content/mu-plugins/ sono raggruppati per slug e riferimenti. La documentazione dei plugin must-use spiega il caricamento particolare, ma un percorso visibile non svela tutto. Una pagina contatti può caricare moduli assenti nella homepage. Ispezionala separatamente per la migrazione e confronta con inventario attivo e must-use del proprietario.

Plugin solo server, bundle, percorsi propri e riscritture CDN restano talvolta invisibili; una cache può conservare vecchi riferimenti. Una versione del tema riguarda il tema; ?ver= arbitrario non identifica il core. La versione WordPress viene letta solo da generator esplicito. Un campo vuoto può quindi essere corretto.

Theme Name è il nome visualizzato pubblicato; Author e Theme URI sono attribuzioni dichiarate. Text Domain identifica il dominio di traduzione, non l’host del sito. Questi campi aiutano a trovare documentazione, ma sono testo modificabile. Non autenticano proprietà, diritto di licenza o disponibilità di aggiornamenti per i file distribuiti.

Separare produzione dei contenuti e distribuzione

Un sito tradizionale serve HTML WordPress, una cache una copia precedente. Un export statico conserva markup e percorsi senza eseguire WordPress a ogni visita. Un frontend headless usa contenuti da servizio privato o distinto senza pubblicare percorsi familiari. Si osserva la distribuzione, non ogni sistema della produzione.

Questo spiega entrambe le sorprese. Punteggio alto su export può descrivere bene gli indizi, mentre affermare backend attivo sarebbe sbagliato. Nessun segnale su headless può essere corretto anche se la redazione usa WordPress. Chiedi dove si scrive, costruisce e serve il contenuto: sono risposte più utili di una disputa sull’etichetta.

Nell’esempio fisso, generator e wp-content sommano 55 senza REST core utilizzabile. Due indizi non soddisfano la regola dei tre per prove forti; con HTML valido può apparire probabile. Se la pagina è bloccata o troncata resta inconcludente. Altri indizi copiati possono aumentare il punteggio senza provare un backend in esecuzione.

Indagare risultati inattesi senza pagine private

Parti da URL inserito e finale. Un redirect può portare a host diverso, traduzione o challenge. Confronta stato e byte ispezionati prima dei componenti. HTML troncato può lasciare fuori indizi successivi, quindi la lista non è completa. Verifica quale risposta pubblica è stata realmente letta.

L’ispezione è anonima e limitata: una pagina, un candidato REST ed eventualmente uno stylesheet. Non esegue JavaScript. La query iniziale viene rimossa; pagine dipendenti da parametri possono differire dal browser. Non aggirarlo con link firmati o di login. Usa percorsi pubblici normali e controlla pagine autenticate localmente.

Per API bloccata o limite conserva la riga non disponibile, riprova più tardi e rivedi proprie regole se opportuno. Non togliere protezioni per migliorare il punteggio. Controlla versioni e aggiornamenti nell’amministrazione: qui non si confrontano vulnerabilità. Una correzione utile richiede URL sicuro, ora, indizio atteso e risposta pubblica, non solo un numero contestato.