È WP? Rilevatore WordPress

Cos'è lo strumento Is It WP?

Is It WP è un rilevatore di WordPress che controlla se un sito web pubblico espone prove riconoscibili di WordPress. Invece di fare affidamento su una stringa copiata, ClockTools confronta segnali indipendenti dalle intestazioni HTML, HTTP restituite, dal rilevamento dell'API REST ufficiale, dallo spazio dei nomi wp/v2 principale, dai percorsi delle risorse wp-content e wp-include, dai nomi degli script principali, dai collegamenti di pubblicazione, dai cookie di risposta e dalle intestazioni pingback. Il risultato mantiene il verdetto accanto alle prove in modo che l'utente possa vedere esattamente cosa è stato trovato e cosa è rimasto non disponibile.

Lo strumento risponde più della domanda ristretta è questo sito WordPress. Mostra un punteggio trasparente del segnale WordPress, qualsiasi indizio sulla versione pubblica, l'URL finale dopo i reindirizzamenti, la risposta HTTP, la quantità di HTML ispezionati, slug di temi e plugin rilevati, metadati del foglio di stile del tema pubblico, spazi dei nomi REST e il bordo che ha gestito il controllo. Queste prove possono aiutare gli sviluppatori a studiare uno stack pubblico, le agenzie a rivedere una migrazione, i proprietari a verificare la divulgazione accidentale e i ricercatori a confrontare le piattaforme di contenuti senza accedere al target.

Il rilevamento della tecnologia ha un confine importante. Una pagina pubblica può essere memorizzata nella cache, proxy, esportata come HTML statica, trasformata da una CDN o servita da un frontend headless. Gli strumenti di sicurezza possono rimuovere percorsi e metadati ordinari di WordPress. Un risultato senza segnale significa quindi che la risposta controllata non ha esposto un indizio riconosciuto in quel momento. Non può dimostrare che WordPress sia assente da ogni backend privato, origine, processo di creazione o pipeline di contenuti collegati al sito.

Quali segnali possono confermare WordPress?

Il segnale leggibile dalla macchina più potente è un indice API REST di WordPress che pubblica lo spazio dei nomi wp/v2 principale o i percorsi principali. WordPress descrive la sua API REST come distribuita perché ogni sito di supporto espone la propria API. La piattaforma definisce anche una relazione di scoperta ufficiale denominata https://api.w.org/. Tale relazione può essere pubblicata in un elemento di collegamento HTML o in un'intestazione di collegamento HTTP e può indirizzare un client alla radice API corretta anche quando l'installazione non utilizza l'URL radice ovvio.

I metadati del generatore che nominano esplicitamente WordPress sono un altro segnale forte e possono includere una versione pubblica. Molti proprietari di siti e plugin di sicurezza lo rimuovono, quindi l’assenza è una prova ordinaria e non negativa. Le risorse pubbliche in wp-content e wp-include forniscono prove di supporto indipendenti. Script core riconoscibili come emoji di WordPress, incorporamenti, hook, internazionalizzazione o file polyfill rendono la ricerca del percorso di una risorsa più specifica di una frase casuale che menziona semplicemente WordPress.

Gli indizi editoriali tradizionali aggiungono pesi minori. Un collegamento RSD può puntare a xmlrpc.php, un manifest di Windows Live Writer può identificare una configurazione di pubblicazione familiare, un'intestazione X-Pingback può pubblicizzare XML-RPC e i cookie di risposta anonimi possono utilizzare WordPress, wp-settings o prefissi WooCommerce. Ogni indizio può essere disabilitato, rinominato, memorizzato nella cache o copiato, quindi ClockTools non lascia mai che un'intestazione debole decida l'intero verdetto. Le prove indipendenti sono più utili di una firma fragile.

Come funziona il rilevatore di temi WordPress?

I temi WordPress spesso espongono file pubblici sotto /wp-content/themes/theme-slug/. ClockTools raccoglie i riferimenti alle risorse dal HTML controllato, li raggruppa per slug e conta quante risorse pubbliche puntano a ciascuna directory. Un sito può legittimamente esporre più di uno slug del tema quando un tema figlio dipende da un tema principale, quando rimane una vecchia risorsa memorizzata nella cache o quando un componente carica una risorsa da un'altra directory del tema. Lo slug pubblico non elaborato rimane separato da un nome visualizzato verificato.

Per il tema candidato più forte, il rilevatore richiede il convenzionale public style.css nella stessa directory. Un foglio di stile di un tema WordPress può dichiarare il nome del tema, l'URI del tema, la descrizione, l'autore, la versione, il modello e il dominio del testo nella sua intestazione. Il campo Modello solitamente nomina il tema principale utilizzato da un tema figlio. ClockTools visualizza questi campi solo quando il foglio di stile li restituisce e non converte uno slug dall'aspetto amichevole in metadati inventati.

Il rilevamento dei temi può fallire senza che WordPress sia assente. Gli strumenti di creazione possono raggruppare CSS in file con hash, i plug-in di ottimizzazione possono combinare risorse, una CDN può riscrivere origini e percorsi, un tema personalizzato può omettere metadati pubblici e un proxy inverso può rimuovere i nomi delle directory di WordPress. Alcuni temi a blocchi si basano anche su risorse frontend diverse rispetto a un tema classico. Il risultato dovrebbe essere letto come prova pubblica del tema da una pagina, non come un inventario autenticato di file installati sul server.

Cosa può trovare il rilevatore di plugin WordPress?

I plugin frontend caricano comunemente JavaScript, CSS, immagini, caratteri o altre risorse da /wp-content/plugins/plugin-slug/. I plugin indispensabili possono esporre i file in /wp-content/mu-plugins/. ClockTools estrae slug pubblici univoci, conserva un conteggio dei riferimenti alle risorse ed elenca separatamente le posizioni normali e quelle da utilizzare nelle sue prove JSON. Ciò può rivelare costruttori di pagine visibili, strumenti di moduli, funzionalità commerciali, integrazioni di analisi, livelli di ottimizzazione o altri componenti frontend senza indovinare un prodotto dal design visivo.

Uno slug di asset del plugin non è un inventario completo dei plugin. Plug-in solo backend, plug-in inattivi, strumenti da riga di comando, integrazioni server, plug-in senza risorse frontend, directory rinominate, pacchetti combinati, trasformazioni CDN e distribuzioni personalizzate possono rimanere invisibili. Un riferimento memorizzato nella cache può anche sopravvivere brevemente dopo la modifica di un plugin. Gli spazi dei nomi REST possono offrire ulteriori indizi tecnologici, ma ClockTools non chiama automaticamente ogni spazio dei nomi un plugin perché anche un tema o un codice di sito personalizzato può registrare percorsi.

Il rilevatore non è uno scanner di vulnerabilità. Non enumera gli utenti, non tenta l'autenticazione, non invia moduli di accesso, non testa le password, non esegue exploit, non esegue la scansione dei percorsi di amministrazione né confronta ogni slug e versione con un database delle vulnerabilità. Un proprietario deve verificare i componenti installati e attivi all'interno dell'area di amministrazione autenticata di WordPress, mantenere aggiornato il software supportato, esaminare i backup e utilizzare un flusso di lavoro di sicurezza autorizzato per la valutazione del rischio.

Cosa significa il punteggio del segnale WordPress?

Il punteggio è un peso di prova trasparente da zero a cento, non una probabilità statistica e non una misura della quota di mercato di WordPress. Uno spazio dei nomi REST core confermato contribuisce più di un'intestazione di pingback. I metadati del generatore esplicito contribuiscono più di un collegamento di pubblicazione generale. Diversi indizi su risorse, API e intestazioni possono rafforzarsi a vicenda finché le prove non raggiungono un verdetto confermato. Il registro mostra lo stato e la spiegazione di ogni segnale in modo che il numero sia verificabile.

WordPress confermato significa che forti prove leggibili dalla macchina o diversi segnali pubblici indipendenti identificano la piattaforma. WordPress probabilmente significa che esistono prove a sostegno significative ma non era disponibile un segnale fondamentale decisivo. Rilevamento inconcludente significa che una risposta limitata, fallita, parziale o ambigua non supporta una risposta sicura. Nessun segnale WordPress pubblico trovato significa che le risposte controllate non hanno mostrato indizi riconosciuti; WordPress nascosto, rinforzato, proxy, memorizzato nella cache, esportato o headless rimane possibile.

Un punteggio pari a zero deve essere interpretato con attenzione. Ciò non significa che ci sia una probabilità pari allo zero per WordPress. Registra solo che non è stato trovato alcun segnale ponderato nelle richieste pubbliche delimitate. Al contrario, un punteggio elevato non dimostra chi possiede il sito, se WordPress è aggiornato, se tutti i plugin visibili sono attivi o se l’installazione è sicura. Il punteggio organizza le prove tecnologiche piuttosto che sostituire l'accesso diretto al sistema controllato dal proprietario.

Perché WordPress rinforzato o headless può essere trascurato?

Un'installazione rafforzata può rimuovere i metadati del generatore, disabilitare i pingback, limitare l'indice REST, rinominare i percorsi dei contenuti, bloccare l'automazione anonima e inserire risorse dietro una CDN. Un firewall per applicazioni Web può restituire una richiesta o una risposta 403 al bordo ClockTools mentre un visitatore normale riceve la pagina intera. Una cache può servire un documento trasformato che contiene meno dettagli sull'origine. Tali controlli modificano le prove pubbliche senza necessariamente modificare il sistema di gestione dei contenuti.

Un’architettura WordPress senza testa crea una separazione più profonda. Il sito Web visibile può essere reso da React, Next.js, Astro, un altro framework, un'applicazione nativa o un servizio edge. WordPress può fornire contenuti durante una compilazione, tramite un'API privata, da un altro nome host o dietro un proxy. Il controllo del frontend pubblico rivela ciò che quel frontend rivela; non può identificare un servizio di contenuto privato a cui non viene mai fatto riferimento pubblicamente. Un'esportazione statica può anche contenere contenuti originariamente creati in WordPress mentre nessuna applicazione WordPress live serve la pagina.

Le installazioni personalizzate e multisito introducono più variazioni. WordPress può vivere in una sottodirectory, utilizzare la mappatura del dominio, servire contenuti multimediali da un altro nome host, esporre un'API in un percorso scoperto o posizionare risorse di temi e plug-in dietro un dominio di contenuto condiviso. ClockTools utilizza la relazione API ufficiale quando viene pubblicato e deriva una radice API convenzionale da percorsi di contenuto visibili, ma limita deliberatamente le richieste invece di forzare brutalmente ogni posizione comune.

Una versione di WordPress esposta è un risultato di sicurezza?

No. Una versione divulgata è una prova di inventario piuttosto che una scoperta di vulnerabilità. ClockTools legge una versione solo quando i metadati del generatore o il generatore dell'API REST nominano esplicitamente WordPress e forniscono una versione. Non indovina la versione principale da parametri di query ?ver= arbitrari su script e stili perché tali valori possono descrivere un tema, un plugin, una build, una cache o una versione non correlata. Evitare un'ipotesi è più utile che visualizzare una versione precisa ma falsa.

Una versione corrente visibile non dimostra che plug-in, temi, credenziali, autorizzazioni, hosting, backup o codice personalizzato siano sicuri. Anche una versione nascosta non dimostra sicurezza. I proprietari dovrebbero utilizzare la gestione degli aggiornamenti autenticati, l'integrità del sito WordPress, backup testati, monitoraggio, accesso con privilegi minimi, autenticazione a più fattori e una valutazione della sicurezza autorizzata. Il rilevamento tecnologico può identificare l'esposizione pubblica, ma non può valutare l'intero livello di sicurezza da una pagina anonima.

Come vengono gestiti la privacy, la sicurezza e i limiti delle richieste?

L'indirizzo del sito web raggiunge il ClockTools Worker perché una pagina esterna non può essere controllata in modo affidabile da ogni browser. Le risposte API sono contrassegnate come no-store e solo un breve elenco recente facoltativo viene conservato nella memoria del browser locale. I cookie del browser, le intestazioni di autorizzazione, le sessioni di accesso e le credenziali non vengono mai inoltrati. Le stringhe di query vengono rimosse prima della richiesta di destinazione per ridurre la possibilità di inviare un parametro firmato, un identificatore personale, un token della campagna o un segreto accidentale.

Il rilevatore recupera la pagina pubblica inviata, un candidato all'indice REST e al massimo un foglio di stile del tema pubblico. Ogni corpo ha un limite di byte rigoroso, ogni operazione condivide una scadenza e la profondità di reindirizzamento è limitata. Ogni nome host di reindirizzamento viene nuovamente controllato tramite public DNS. Localhost, reti private, indirizzi riservati, host non validi, destinazioni con credenziali, schemi non supportati, loop e destinazioni di reindirizzamento non sicure vengono bloccati prima che venga consentita una richiesta in uscita.

Utilizzare lo strumento solo per i siti Web pubblici. Non inviare dashboard private, collegamenti di reimpostazione, collegamenti di anteprima, download firmati, token di accesso, host intranet o identificatori personali. Il rilevatore non concede l'autorizzazione per testare un sistema, aggirare i controlli o cercare vulnerabilità. Se un target blocca le richieste anonime, il risultato onesto è limitato o inconcludente. ClockTools non elude il controllo né muta ripetutamente il bersaglio.