É WP? Detector WordPress

O que é a ferramenta Is It WP?

Is It WP é um detector de WordPress que verifica se um site público expõe evidências reconhecíveis de WordPress. Em vez de confiar em uma string copiada, ClockTools compara sinais independentes dos cabeçalhos HTML, HTTP retornados, descoberta oficial da API REST, o namespace wp/v2 principal, wp-content e wp-includes caminhos de ativos, nomes de scripts principais, links de publicação, cookies de resposta e cabeçalhos de pingback. O resultado mantém o veredicto ao lado das evidências para que o usuário possa ver exatamente o que foi encontrado e o que permaneceu indisponível.

A ferramenta responde mais do que a pergunta restrita é este site WordPress. Ele mostra uma pontuação de sinal WordPress transparente, qualquer pista de versão pública, o URL final após os redirecionamentos, a resposta HTTP, a quantidade de HTML inspecionados, slugs de tema e plug-in detectados, metadados de folha de estilo de tema público, namespaces REST e a borda que administrou a verificação. Essas evidências podem ajudar os desenvolvedores a estudar uma pilha pública, as agências a revisar uma migração, os proprietários a verificar a divulgação acidental e os pesquisadores a comparar plataformas de conteúdo sem entrar no alvo.

A detecção de tecnologia tem um limite importante. Uma página pública pode ser armazenada em cache, proxy, exportada como HTML estático, transformada por um CDN ou servida por um frontend headless. As ferramentas de segurança podem remover caminhos e metadados comuns do WordPress. Um resultado sem sinal significa, portanto, que a resposta verificada não expôs uma pista reconhecida naquele momento. Ele não pode provar que o WordPress está ausente de todos os back-ends, origens, processos de construção ou pipelines de conteúdo privados conectados ao site.

Quais sinais podem confirmar o WordPress?

O sinal legível por máquina mais forte é um índice API REST do WordPress que publica o namespace wp/v2 principal ou as rotas principais. O WordPress descreve sua API REST como distribuída porque cada site de suporte expõe sua própria API. A plataforma também define uma relação oficial de descoberta chamada https://api.w.org/. Essa relação pode ser publicada em um elemento de link HTML ou em um cabeçalho de link HTTP e pode apontar um cliente para a raiz da API correta, mesmo quando a instalação não usa o URL raiz óbvio.

Os metadados do gerador que nomeiam explicitamente o WordPress são outro sinal forte e podem incluir uma versão pública. Muitos proprietários de sites e plug-ins de segurança o removem, portanto a ausência é uma prova comum e não negativa. Os recursos públicos sob wp-content e wp-includes fornecem evidências de apoio independentes. Scripts principais reconhecíveis, como emoji do WordPress, incorporação, ganchos, internacionalização ou arquivos polyfill, tornam a localização do caminho do ativo mais específica do que uma frase aleatória que apenas menciona o WordPress.

As pistas de publicação tradicionais adicionam pesos menores. Um link RSD pode apontar para xmlrpc.php, um manifesto do Windows Live Writer pode identificar uma configuração de publicação familiar, um cabeçalho X-Pingback pode anunciar XML-RPC e cookies de resposta anônima podem usar prefixos WordPress, wp-settings ou WooCommerce. Cada pista pode ser desabilitada, renomeada, armazenada em cache ou copiada, então ClockTools nunca permite que um cabeçalho fraco decida todo o veredicto. Evidências independentes são mais úteis do que uma assinatura frágil.

Como funciona o detector de temas WordPress?

Os temas do WordPress geralmente expõem arquivos públicos abaixo de /wp-content/themes/theme-slug/. ClockTools coleta essas referências de recursos do HTML verificado, agrupa-as por slug e conta quantos ativos públicos apontam para cada diretório. Um site pode expor legitimamente mais de um slug de tema quando um tema filho depende de um tema pai, quando um ativo antigo em cache permanece ou quando um componente carrega um recurso de outro diretório de tema. O slug público bruto permanece separado de um nome de exibição verificado.

Para o tema candidato mais forte, o detector solicita o público convencional style.css nesse mesmo diretório. Uma folha de estilo de tema WordPress pode declarar o nome do tema, URI do tema, descrição, autor, versão, modelo e domínio de texto em seu cabeçalho. O campo Modelo geralmente nomeia o tema pai usado por um tema filho. ClockTools exibe esses campos somente quando a folha de estilo os retorna e não converte um slug de aparência amigável em metadados inventados.

A detecção do tema pode falhar sem significar que o WordPress esteja ausente. As ferramentas de construção podem agrupar CSS em arquivos com hash, plug-ins de otimização podem combinar recursos, um CDN pode reescrever origens e caminhos, um tema personalizado pode omitir metadados públicos e um proxy reverso pode remover nomes de diretórios do WordPress. Alguns temas de bloco também dependem de recursos de front-end diferentes de um tema clássico. O resultado deve ser lido como evidência de tema público de uma página, não como um inventário autenticado de arquivos instalados no servidor.

O que o detector de plug-ins do WordPress pode encontrar?

Plug-ins de front-end geralmente carregam JavaScript, CSS, imagens, fontes ou outros ativos de /wp-content/plugins/plugin-slug/. Plugins obrigatórios podem expor arquivos em /wp-content/mu-plugins/. ClockTools extrai slugs públicos exclusivos, retém uma contagem de referência de ativos e lista locais regulares e de uso obrigatório separadamente em sua evidência JSON. Isso pode revelar construtores de páginas visíveis, ferramentas de formulário, recursos de comércio, integrações analíticas, camadas de otimização ou outros componentes de front-end sem adivinhar um produto a partir do design visual.

Um slug de ativo de plug-in não é um inventário completo de plug-ins. Plug-ins somente de back-end, plug-ins inativos, ferramentas de linha de comando, integrações de servidor, plug-ins sem ativos de front-end, diretórios renomeados, pacotes combinados, transformações de CDN e implantações personalizadas podem permanecer invisíveis. Uma referência em cache também pode sobreviver brevemente após a alteração de um plugin. Os namespaces REST podem oferecer dicas tecnológicas adicionais, mas ClockTools não chama automaticamente cada namespace de plug-in porque um tema ou código de site personalizado também pode registrar rotas.

O detector não é um scanner de vulnerabilidade. Ele não enumera usuários, tenta autenticação, envia formulários de login, testa senhas, executa explorações, rastreia caminhos de administração ou compara cada slug e versão com um banco de dados de vulnerabilidades. O proprietário deve verificar os componentes instalados e ativos dentro da área de administração autenticada do WordPress, manter o software compatível atualizado, revisar os backups e usar um fluxo de trabalho de segurança autorizado para avaliação de riscos.

O que significa a pontuação do sinal do WordPress?

A pontuação é uma evidência transparente com peso de zero a cem, não uma probabilidade estatística e não uma medida de participação de mercado do WordPress. Um namespace REST principal confirmado contribui mais do que um cabeçalho de pingback. Os metadados explícitos do gerador contribuem mais do que um link de publicação geral. Várias pistas de ativos, API e cabeçalho podem reforçar-se mutuamente até que a evidência chegue a um veredicto confirmado. O livro-razão mostra o status e a explicação de cada sinal para que o número seja auditável.

WordPress confirmado significa que fortes evidências legíveis por máquina ou vários sinais públicos independentes identificam a plataforma. O WordPress provavelmente significa que existem evidências de apoio significativas, mas um sinal central decisivo não estava disponível. A detecção inconclusiva significa que uma resposta restrita, falhada, parcial ou ambígua não suporta uma resposta segura. Nenhum sinal público do WordPress encontrado significa que as respostas verificadas não expuseram pistas reconhecidas; WordPress oculto, protegido, com proxy, em cache, exportado ou sem cabeça continua possível.

Uma pontuação zero deve ser interpretada com cuidado. Isso não significa que haja zero por cento de chance do WordPress. Registra apenas que nenhum sinal ponderado foi encontrado nas solicitações públicas limitadas. Por outro lado, uma pontuação alta não prova quem é o proprietário do site, se o WordPress está atualizado, se todos os plugins visíveis estão ativos ou se a instalação é segura. A pontuação organiza evidências tecnológicas em vez de substituir o acesso direto ao sistema controlado por um proprietário.

Por que o WordPress reforçado ou sem cabeça pode ser esquecido?

Uma instalação reforçada pode remover metadados do gerador, desabilitar pingbacks, restringir o índice REST, renomear caminhos de conteúdo, bloquear automação anônima e colocar recursos atrás de um CDN. Um firewall de aplicativo da web pode retornar um desafio ou resposta 403 para a borda ClockTools enquanto um visitante normal recebe a página inteira. Um cache pode servir um documento transformado que contém menos detalhes de origem. Esses controles alteram as evidências públicas sem necessariamente alterar o sistema de gerenciamento de conteúdo.

Uma arquitetura WordPress sem cabeça cria uma separação mais profunda. O site visível pode ser renderizado por React, Next.js, Astro, outro framework, um aplicativo nativo ou um serviço de ponta. O WordPress pode fornecer conteúdo durante uma construção, por meio de uma API privada, de outro nome de host ou por meio de um proxy. Verificar o frontend público revela o que esse frontend revela; não consegue identificar um serviço de conteúdo privado que nunca seja referenciado publicamente. Uma exportação estática também pode conter conteúdo originalmente criado em WordPress, enquanto nenhum aplicativo WordPress ativo veicula a página.

Instalações personalizadas e multisite apresentam mais variações. O WordPress pode residir em um subdiretório, usar mapeamento de domínio, servir mídia de outro nome de host, expor uma API em uma rota descoberta ou colocar recursos de tema e plug-in atrás de um domínio de conteúdo compartilhado. ClockTools usa a relação oficial da API quando publicada e deriva uma raiz de API convencional de caminhos de conteúdo visíveis, mas limita deliberadamente as solicitações em vez de forçar brutalmente todos os locais comuns.

Uma versão exposta do WordPress é um resultado de segurança?

Não. Uma versão divulgada é uma evidência de inventário e não uma descoberta de vulnerabilidade. ClockTools lê uma versão somente quando os metadados do gerador ou o gerador da API REST nomeia explicitamente o WordPress e fornece uma versão. Ele não adivinha a versão principal a partir de parâmetros de consulta ?ver= arbitrários em scripts e estilos porque esses valores podem descrever um tema, plug-in, construção, cache ou versão não relacionada. Evitar uma suposição é mais útil do que exibir uma versão precisa, mas falsa.

Uma versão atual visível não prova que plug-ins, temas, credenciais, permissões, hospedagem, backups ou código personalizado sejam seguros. Uma versão oculta também não prova segurança. Os proprietários devem usar gerenciamento de atualização autenticado, WordPress Site Health, backups testados, monitoramento, acesso com privilégios mínimos, autenticação multifator e uma avaliação de segurança autorizada. A detecção tecnológica pode identificar a exposição pública, mas não pode avaliar a postura completa de segurança de uma página anônima.

Como são tratados os limites de privacidade, segurança e solicitações?

O endereço do site chega ao trabalhador ClockTools porque uma página externa não pode ser inspecionada de forma confiável em todos os navegadores. As respostas da API são marcadas como não armazenadas e apenas uma pequena lista recente opcional é mantida no armazenamento local do navegador. Cookies do navegador, cabeçalhos de autorização, sessões de login e credenciais nunca são encaminhados. As strings de consulta são removidas antes da solicitação de destino para reduzir a chance de envio de um parâmetro assinado, identificador pessoal, token de campanha ou segredo acidental.

O detector busca a página pública enviada, um candidato a índice REST e no máximo uma folha de estilo de tema público. Cada corpo tem um limite estrito de bytes, cada operação compartilha um prazo e a profundidade de redirecionamento é limitada. Cada nome de host de redirecionamento é verificado novamente por meio de DNS público. Host local, redes privadas, endereços reservados, hosts malformados, alvos com credenciais, esquemas não suportados, loops e destinos de redirecionamento inseguros são bloqueados antes que uma solicitação de saída seja permitida.

Use a ferramenta apenas para sites públicos. Não envie painéis privados, links de redefinição, links de visualização, downloads assinados, tokens de acesso, hosts de intranet ou identificadores pessoais. O detector não concede permissão para testar um sistema, ignorar controles ou verificar vulnerabilidades. Se um alvo bloquear solicitações anônimas, o resultado honesto será restrito ou inconclusivo. ClockTools não evita o controle nem altera repetidamente o alvo.