Is It WP? Проверка признаков WordPress

Сначала признаки, затем заключение

Сигнал бывает найден, не найден или недоступен. Не найден означает, что в просмотренном ответе не было распознаваемого признака. Недоступен означает непригодность запроса или ответа. Если защита выдала страницу ошибки, отсутствие пути темы мало говорит о содержимом для обычного посетителя. Краткий вид показывает первые шесть строк сигналов и основные поля компонентов. Экспортируйте JSON для полного списка и возвращённых метаданных stylesheet, включая признаки, не показанные в кратком виде.

Веса открыты: REST core 45, generator WordPress 35, обнаружение API 25, пути content и includes по 20, известные основные скрипты 15, префиксы cookie 12, признаки публикации 10 и pingback 8. Сумма ограничена 100. Десять ссылок на плагин не дают десять независимых сигналов; число ресурсов и вес признака отвечают на разные вопросы.

Учитывается и основная страница. Ошибка, усечённый или не-HTML ответ остаются неопределёнными даже с признаками. При пригодном HTML REST core плюс другой сигнал либо минимум три сигнала на 55 баллов дают сильные признаки. Иначе 30 и выше могут дать вероятно, малые положительные значения остаются неопределёнными. Это правила движка, не вероятность или доступ к backend.

Почему страницы показывают разные API

Проверка предпочитает опубликованный адрес обнаружения из Link или HTML. Иначе выводит кандидат wp-json/ из видимых content-путей или источника страницы. Все каталоги не перебираются. Публикация под /news/ может отличаться от главной на другом движке, особенно если та не объявляет полезную API-связь.

Документация обнаружения REST определяет https://api.w.org/. Здесь важно также, возвращает ли кандидат узнаваемые пространства имён или маршруты ядра. Ссылка и пригодный индекс — разные строки доказательств. Опубликованный адрес не подтверждает работу endpoint во время проверки.

Собственные пространства имён полезны, но не становятся списком плагинов автоматически: тема или пользовательский код тоже регистрируют маршруты. RSD, Windows Live Writer и X-Pingback имеют меньшие веса. ClockTools читает ссылки без публикации или проверки паролей. Отключённый интерфейс меняет признаки, не обязательно CMS.

Используйте пути для уточнения состава сайта

Ресурс под /wp-content/themes/atelier/ раскрывает идентификатор каталога. Главный кандидат имеет больше ссылок, при равенстве применяется алфавитный порядок; это не выбор активной темы в аккаунте. Можно прочитать обычный style.css и опубликованные поля. Если имя отсутствует, остаётся идентификатор, а не придуманное название продукта.

Два каталога требуют объяснения, а не автоматической тревоги о конфликте. В модели дочерней темы Template обозначает каталог родителя. Для atelier-child и atelier спросите, где изменения и родительские файлы. Кэш или отдельный ресурс также объясняют второй идентификатор. Подтвердите устройство в админке перед обновлением.

Пути /wp-content/plugins/ и /wp-content/mu-plugins/ группируются по идентификатору и числу ссылок. Документация обязательных плагинов объясняет особую загрузку, но видимый каталог не раскрывает весь состав. Контактная страница может подключать форму, отсутствующую на главной. При миграции проверьте её отдельно и сравните с активным и must-use-инвентарём владельца.

Серверные плагины, объединённые файлы, собственные пути и CDN могут быть невидимы; кэш может сохранять уже удалённую ссылку. Версия темы относится к теме, произвольный ?ver= не определяет ядро. Версия WordPress читается только из явно идентифицирующего generator. Пустое поле поэтому может быть правильным результатом.

Theme Name — опубликованное отображаемое имя; Author и Theme URI — заявленные сведения об авторстве. Text Domain обозначает область перевода, не узел сайта. Поля помогают найти предполагаемую документацию, но остаются редактируемым текстом. Они не подтверждают владельца, права лицензии или доступность обновления для выданных файлов.

Отделяйте подготовку контента от выдачи страницы

Обычный сайт выдаёт HTML WordPress, кэш — прошлую копию. Статический экспорт сохраняет разметку и пути без запуска WordPress при каждом посещении. Headless-интерфейс может получать контент из отдельного или закрытого сервиса без знакомых путей. Инструмент видит выдачу, не всю производственную цепочку.

Это объясняет оба неожиданных результата. Высокая оценка экспорта может верно описывать признаки, а утверждение о работающем backend было бы неверно. Ноль сигналов у headless тоже возможен, хотя редакторы используют WordPress. Уточните, где контент пишут, собирают и выдают: для проекта это полезнее спора о метке детектора.

В фиксированном примере экспорта generator и wp-content дают 55 без пригодного REST core. Два признака не удовлетворяют правилу трёх для сильного заключения; при пригодном HTML может появиться вероятно. Заблокированная или усечённая страница остаётся неопределённой. Скопированные признаки публикации добавят баллы, не доказав работающий backend.

Разбирайте неожиданный результат без закрытых страниц

Начните с введённого и конечного URL. Перенаправление может привести на другой узел, языковую страницу или проверку защиты. Сравните статус и прочитанные байты до названий компонентов. Усечённый HTML может скрыть поздние признаки, поэтому список не исчерпывающий. Убедитесь, какой публичный ответ был изучен.

Проверка анонимна и ограничена: страница, один кандидат REST и при наличии stylesheet. JavaScript не запускается. Начальные параметры запроса удаляются; зависимая от них страница может отличаться от браузера. Не обходите это подписанным preview или ссылкой входа. Используйте обычный публичный путь, а авторизованные страницы проверяйте локально.

При блокировке API или лимите сохраните недоступную строку, повторите позже и при необходимости изучите свои правила доступа. Не отключайте защиту ради баллов. Версии и обновления проверяйте в авторизованной системе: сравнения уязвимостей здесь нет. Полезное исправление требует безопасного URL, времени, ожидаемого признака и публичного ответа, а не только спорной оценки.