Is It WP? Verificador de indícios WordPress

Leia as evidências antes do veredito

Cada sinal está encontrado, não encontrado ou indisponível. Não encontrado significa que a resposta examinada não continha o indício. Indisponível significa requisição ou resposta inutilizável. Se um firewall entrega página de erro, a falta de caminho de tema pouco revela sobre a página real dos visitantes. A visualização compacta mostra as seis primeiras linhas de sinais e os campos principais. Exporte JSON para a lista completa e os metadados retornados do stylesheet, incluindo indícios ausentes dessa visualização.

Os pesos são explícitos: núcleo REST 45, gerador WordPress 35, descoberta 25, caminhos content e includes 20 cada, scripts reconhecidos 15, prefixos de cookies 12, descoberta de publicação 10 e pingback 8. A soma é limitada a 100. Dez referências a um plugin não são dez sinais independentes; contagem de assets e peso de sinal respondem a perguntas diferentes.

O veredito considera também a página principal. Falha, erro, truncamento ou conteúdo não HTML permanecem inconclusivos apesar de indícios. Com HTML utilizável, núcleo REST mais outro sinal, ou três sinais totalizando pelo menos 55, produzem evidência forte. Sem isso, 30 ou mais podem indicar provável; valores positivos menores continuam inconclusivos. São regras do motor, não probabilidades ou acesso ao backend.

Por que páginas expõem APIs diferentes

O verificador prefere URL de descoberta publicada em Link ou HTML. Sem ela, deriva um candidato wp-json/ de caminhos content visíveis ou da origem. Não procura em todos os diretórios. Uma publicação em /news/ pode diferir da página inicial de outro sistema, principalmente sem relação API útil na inicial.

A documentação de descoberta REST define https://api.w.org/. Aqui importa ainda que o candidato retorne namespaces ou rotas do núcleo reconhecíveis. Link API e índice utilizável são evidências separadas: publicar o endereço não comprova que o destino respondeu durante a consulta.

Namespaces próprios são úteis, mas não se tornam inventário automático de plugins. Tema ou código personalizado também pode registrar rotas. RSD, Windows Live Writer e X-Pingback têm pesos menores. ClockTools observa referências, sem publicar ou testar credenciais. Uma interface desativada pode alterar indícios sem alterar o CMS.

Use caminhos para fazer boas perguntas de inventário

Um recurso em /wp-content/themes/atelier/ revela um slug de diretório. O candidato principal tem mais referências, com ordem alfabética no empate; não é a seleção autenticada do tema ativo. Pode-se ler seu style.css convencional e campos públicos. Sem nome, o slug continua slug, não um produto inventado.

Dois diretórios merecem investigação, não alerta automático de conflito. No modelo de tema filho, Template identifica o diretório pai. Com atelier-child e atelier, pergunte onde estão personalizações e arquivos do pai. Cache ou recursos independentes também podem explicar outro slug. Confirme o conjunto na administração antes de atualizar.

Referências em /wp-content/plugins/ e /wp-content/mu-plugins/ são agrupadas por slug e contagem. A documentação de plugins obrigatórios explica o carregamento especial, mas um caminho visível não revela todos os componentes. Uma página de contato pode carregar formulários ausentes na inicial. Confira-a separadamente na migração e compare com inventário ativo e must-use do proprietário.

Plugins só de servidor, bundles, caminhos próprios e reescrita CDN podem ficar invisíveis; cache pode manter referência removida. Versão de tema pertence ao tema, e ?ver= arbitrário não revela o núcleo. A versão de WordPress só é lida de gerador que o identifica explicitamente. Um campo vazio pode ser o resultado correto.

Theme Name é o nome público de exibição; Author e Theme URI são atribuições declaradas. Text Domain identifica domínio de tradução, não hostname do site. Ajudam a localizar a documentação pretendida, mas continuam texto editável. Não autenticam propriedade, direito de licença ou atualização disponível para os arquivos implantados.

Separe produção do conteúdo e entrega da página

Um site tradicional entrega HTML do WordPress; cache entrega cópia anterior. Exportação estática conserva markup e caminhos sem executar WordPress a cada visita. Frontend headless pode consumir conteúdo de serviço privado ou separado sem publicar caminhos familiares. A ferramenta observa entrega, não todos os sistemas da produção.

Isso explica as duas surpresas. Score alto num exportado pode descrever bem os indícios, mas afirmar backend ativo seria incorreto. Nenhum sinal num headless também pode estar correto enquanto editores usam WordPress. Pergunte onde conteúdo é escrito, construído e servido; são respostas mais úteis ao projeto que discutir um rótulo.

No exemplo fixo de exportação, gerador e wp-content somam 55, sem núcleo REST utilizável. Dois indícios não cumprem a regra de três para evidência forte; com HTML utilizável pode aparecer provável. Página bloqueada ou truncada permanece inconclusiva. Indícios de publicação copiados podem aumentar pontos sem provar execução do backend.

Investigue surpresas sem consultar páginas privadas

Comece por URL enviada e final. Uma redireção pode levar a outro host, tradução ou desafio de segurança. Compare status e bytes examinados antes de componentes. HTML truncado pode deixar sinais posteriores de fora; a lista não é exaustiva. Confirme qual resposta pública foi realmente inspecionada.

A inspeção é anônima e limitada: uma página, um candidato REST e, quando disponível, um stylesheet. Não executa JavaScript. A query inicial é retirada; páginas dependentes de parâmetros podem diferir do navegador. Não contorne isso com link assinado ou de login. Use caminho público comum e verifique páginas autenticadas localmente.

Com API bloqueada ou limite, mantenha a linha indisponível, aguarde e revise suas regras se necessário. Não retire proteção para melhorar pontuação. Verifique versões e atualizações no sistema autenticado; não há comparação de vulnerabilidades aqui. Uma correção útil precisa de URL segura, hora, indício esperado e resposta pública, não só score contestado.