Spodobała się Panu/Pani czyjaś strona i chce Pan/Pani zrozumieć, na czym została zbudowana? A może przygląda się Pan/Pani tematowi do swojego projektu i próbuje ustalić, czego używają konkurenci? Albo po prostu ciekawi Pana/Panią, czy ma Pan/Pani przed sobą WordPress, czy nie?

Kiedyś było to trywialne: stopka „Powered by WordPress", standardowy /wp-admin, charakterystyczne foldery w kodzie źródłowym. Dziś wielu właścicieli świadomie maskuje platformę i wizualne odróżnienie WordPressa od silnika pisanego na zamówienie czy kreatora stało się naprawdę trudne.

Poniżej przedstawiamy dziewięć skutecznych sposobów weryfikacji: od najszybszych (10 sekund) po techniczne. Żaden z osobna nie daje gwarancji, ale trzy, cztery razem, praktycznie zawsze.

💡 Szybki przegląd:

• Sposób 1: wyszukać „Powered by WordPress" lub „Zrobione na WordPressie" w stopce, najszybszy, ale nie zawsze działa
• Sposób 2: dodać /wp-admin do domeny i sprawdzić, dokąd przekierowuje
• Sposoby 3-6: zajrzeć do kodu źródłowego strony, foldery, metatagi i pliki serwisowe zdradzają CMS
• Sposoby 7-9: detektory online (BuiltWith, IsItWP) i rozszerzenia przeglądarki (Wappalyzer), automatyka w kilka sekund

Po co w ogóle wiedzieć, na czym zrobiona jest strona

Krótka odpowiedź: żeby szybciej podejmować decyzje. Jeśli strona jest na WordPressie, ma on świadomie standardowy panel administracyjny, zrozumiałą strukturę bazy danych, przewidywalne ścieżki do plików i ogromny ekosystem wtyczek. Oznacza to, że może Pan/Pani:

• Szukać podobnych tematów i wtyczek w katalogu WordPress.org, wychodząc od tego, co zobaczył Pan/Pani na stronie, która się spodobała.
• Ocenić podatności: znając wersję WordPressa i zestaw aktywnych wtyczek, rozumie Pan/Pani, które luki są teoretycznie otwarte.
• Skopiować podejście do układu graficznego: sprawdzić, jaki temat jest używany, i znaleźć jego demo dla inspiracji.
• Zweryfikować konkurenta: jeśli w niszy wszyscy siedzą na WordPressie, a jeden gracz, na rozwiązaniu pisanym na zamówienie, to wiele mówi.

W praktyce najczęstsze scenariusze to „co to za temat?" i „jak oni zrobili tę funkcjonalność?". Oba rozwiązują pierwsze sposoby poniżej.

Sposób 1: stopka „Zrobione na WordPressie"

Najbardziej oczywista i najszybsza droga. Proszę przewinąć stronę na sam dół i poszukać tekstu w rodzaju „Powered by WordPress", „Proudly powered by WordPress", „Strona działa na WordPressie" lub po prostu „WordPress".

Ta metoda działa coraz rzadziej. Domyślnie WordPress rzeczywiście umieszcza taki tekst w stopce każdego standardowego tematu, ale większość właścicieli usuwa go w trzech prostych krokach. Tematy premium często w ogóle nie wyświetlają tego napisu, a niestandardowe kompilacje, tym bardziej. Zatem brak napisu w stopce o niczym nie świadczy. Natomiast jego obecność, świadczy na pewno.

Sposób 2: /wp-admin w pasku adresu

Proszę dopisać /wp-admin do domeny strony w pasku adresu przeglądarki. Na przykład: https://example.com/wp-admin.

Jeśli przekierowało Pana/Panią na stronę logowania WordPressa, charakterystyczny formularz z logo WordPressa i polami „Nazwa użytkownika" oraz „Hasło", ma Pan/Pani przed sobą WordPressa. Tu nie ma wątpliwości.

Jednak ten sposób też nie jest uniwersalny. Wielu właścicieli zmienia standardowy adres URL logowania za pomocą wtyczek bezpieczeństwa (o nich, w rozdziale o ukrywaniu WordPressa poniżej). W takich przypadkach po /wp-admin otrzyma Pan/Pani 404 lub przekierowanie na stronę główną i nie jest to dowód na to, że strona nie jest na WordPressie. Czyli zadziałało, tak, nie zadziałało, idziemy dalej.

Sposób 3: wyszukiwanie wp-content i wordpress w kodzie źródłowym

Proszę kliknąć prawym przyciskiem myszy w dowolnym miejscu strony i wybrać „Wyświetl źródło strony" (View Page Source) lub nacisnąć Ctrl+U.

W otwartym HTML-u proszę szukać przez Ctrl+F czegokolwiek z:

• wp-content, standardowy folder, w którym WordPress przechowuje przesłane obrazy, tematy i wtyczki
• wordpress, często występuje w ścieżkach do skryptów i stylów
• wp-includes, kolejny systemowy folder rdzenia

Znalazł Pan/Pani wp-content w ścieżkach do obrazów lub skryptów, strona z bardzo wysokim prawdopodobieństwem jest na WordPressie. Żaden inny popularny CMS nie tworzy folderu o takiej nazwie. Nawet jeśli właściciel zmienił nazwę /wp-content przez wtyczkę ukrywającą (co jest rzadkością), w kodzie i tak mogą pozostać odwołania do oryginalnych ścieżek, ratuje czynnik ludzki.

Sposób 4: serwis online BuiltWith

BuiltWith, bezpłatne narzędzie, które analizuje technologie witryny na podstawie samej domeny. Proszę wpisać adres w pasku wyszukiwania i kliknąć „Lookup".

BuiltWith pokazuje nie tylko fakt korzystania z WordPressa, ale także wersję, aktywne wtyczki, motyw, CDN, narzędzia analityczne i jeszcze kilkadziesiąt innych technologii. Działa to poprzez analizę nagłówków HTTP, struktury strony i sygnatur; baza technologii projektu jest ogromna i aktualizowana co tydzień.

Ograniczenia: w przypadku witryn z agresywnym cache'owaniem i ukrywaniem śladów WordPressa wykrycie może być niepełne. Jednak sam fakt korzystania z WordPressa BuiltWith określa praktycznie zawsze, zbyt wiele jest charakterystycznych wzorców w znacznikach każdego motywu.

Sposób 5: plik readme.html

Podczas instalacji WordPressa w katalogu głównym witryny czasami ląduje plik serwisowy readme.html. Proszę sprawdzić pod adresem:

https://example.com/readme.html

Jeśli strona się otworzyła i pokazuje informację o wersji WordPressa, wszystko jasne. W nowoczesnych wersjach WordPressa ten plik wciąż jest umieszczany w katalogu głównym podczas instalacji, ale większość hostingów i zestawów natychmiast go usuwa. Dlatego metoda rzadko działa, za to sprawdzenie zajmuje dokładnie jedno kliknięcie.

Nawiasem mówiąc, na produkcyjnych witrynach lepiej ten plik usuwać: ujawnia on wersję WordPressa wszystkim chętnym, w tym botom skanującym podatności.

Sposób 6: metatag generator z wersją WordPressa

Kolejny znacznik, który WordPress domyślnie pozostawia, to metatag w <head> każdej strony:

1
<meta name="generator" content="WordPress 6.4" />

Proszę go szukać przez to samo „Wyświetl źródło strony" (Ctrl+F → generator). Jeśli tag jest obecny, mają Państwo przed sobą WordPressa, a wersja jest podana wprost.

W praktyce ten tag jest coraz częściej usuwany: po pierwsze, wiele wtyczek SEO oferuje usunięcie go jednym kliknięciem jako „zbędnej informacji", po drugie, wtyczki do ukrywania WordPressa (sekcja poniżej) robią to automatycznie. Jednak na stronach bez głębokiej customizacji metatag często pozostaje, warto sprawdzić, to kwestia pięciu sekund.

Sposób 7: serwis online IsItWP

IsItWP, wyspecjalizowany detektor właśnie WordPressa. W przeciwieństwie do BuiltWith, jest nastawiony na jedno zadanie i potrafi określić nie tylko sam fakt WordPressa, ale także konkretny motyw i wtyczki.

Proszę wpisać domenę, kliknąć „Analyze Website" i po kilku sekundach otrzymają Państwo:

• Werdykt: WordPress czy nie
• Nazwę motywu (jeśli została określona)
• Listę wykrytych wtyczek
• Informację o hostingu

Serwis jest bezpłatny i nie wymaga rejestracji. Do codziennych zadań typu „jaki motyw ma konkurencja" to idealna opcja. Głębokie sprawdzenia z wersjami wtyczek i analityką to już domena BuiltWith.

Sposób 8: rozszerzenia przeglądarkowe

Jeśli sprawdzają Państwo witryny regularnie, proszę zainstalować rozszerzenie do przeglądarki, pokazuje ono technologie witryny w czasie rzeczywistym, podczas gdy Państwo po prostu przeglądają strony.

Wappalyzer, najpopularniejsza opcja, dostępna zarówno dla Chrome, jak i Firefox. Wykrywa nie tylko WordPressa, ale także motyw, wtyczki, serwer, CDN, systemy analityczne i jeszcze kilka tysięcy technologii. Ikona na pasku przeglądarki zmienia się po wejściu na stronę i od razu pokazuje, co zostało wykryte.

Library Sniffer (Chrome), starsza alternatywa, która pierwotnie powstała do detekcji bibliotek JavaScript. WordPressa również potrafi wykryć, ale szczegółowość jest mniejsza niż w Wappalyzer.

WordPress Detector+ (Firefox), specjalistyczne rozszerzenie właśnie pod WordPressa: motywy, wtyczki, czcionki. Dobra opcja, jeśli korzystają Państwo z Firefoksa i nie chcą instalować ciężkiego Wappalyzera.

Główna zaleta rozszerzeń: nie trzeba nigdzie wchodzić ani niczego wpisywać. Po prostu otwierają Państwo stronę, rzucają okiem na ikonę i już wiedzą, na czym ona działa.

Jak ukryć, że strona działa na WordPressie

Teraz spójrzmy z drugiej strony. Jeśli są Państwo właścicielem strony na WordPressie i chcą ukryć ten fakt przed osobami postronnymi, powyższe metody pokazują, co dokładnie należy zamaskować.

Powody, by ukrywać WordPress, nie są paranoiczne: boty i skanery podatności są wyspecjalizowane właśnie pod strony WordPress. Znają one standardowe ścieżki: /wp-admin, /wp-content i /wp-includes. Sygnatury motywów i wtyczek te boty również automatycznie sprawdzają. Im mniej wskazówek im Państwo zostawią, tym mniej automatycznych ataków trafi na stronę.

Głównym narzędziem do tego celu jest bezpłatna wtyczka WP Hide & Security Enhancer. Umożliwia ona:

• Zmianę standardowych adresów URL: /wp-admin → dowolny inny, /wp-content → cokolwiek, /wp-includes → niestandardowa ścieżka
• Usuwanie metatagu generator i innych sygnatur WordPress z kodu
• Ukrywanie linków do WordPress.org, wersji WordPress w skryptach i stylach
• Blokowanie bezpośredniego dostępu do plików serwisowych: readme.html, wp-config.php i xmlrpc.php
• Zmianę nazw klas i ID w HTML, usuwając prefiksy wp-

Wtyczka oferuje kilka wstępnie ustawionych poziomów: od lekkiego maskowania (zgodność ze wszystkimi wtyczkami) do głębokiego (mniej kompatybilne, ale prawie nie pozostawia śladów WordPress). Można wybrać gotowy profil i nie konfigurować każdego parametru ręcznie.

W zakładce General konfiguruje się podstawowe rzeczy:

• Niestandardowy szablon strony 404 zamiast standardowego
• Zaufane role użytkowników, którym dozwolone jest logowanie przez standardowy URL
• Nowy URL strony logowania zamiast /wp-login

Wtyczka czyści kod HTML: usuwa informacje o wersji WordPress ze skryptów i stylów, kasuje ścieżki wp-includes i wp-content z kodu strony. Dla odwiedzającego strona wygląda normalnie, ale charakterystyczne oznaki WordPress znikają ze znaczników.

Osobna funkcja to minifikacja HTML i zamiana słów kluczowych w kodzie. Można automatycznie usunąć wszystkie wystąpienia „wordpress" i „wp-" ze znaczników.

Zakładka Permalinks & URLs jest najważniejsza z punktu widzenia maskowania. Tutaj ustawia się niestandardowe ścieżki dla wszystkiego: folderów motywu, plików do pobrania, wp-includes. Można zmienić nazwę nawet plików serwisowych, takich jak wp-comments-post.php, co zapobiega atakom przez formularz komentarzy pod standardowym adresem.

W tej samej zakładce ukrywa się kanały RSS i strony autorów lub zmienia ich adresy URL. Boty często szukają /author/admin/ i /feed/ jako pewnej oznaki WordPress, zamykając te endpointy, pozbawiają je Państwo łatwej detekcji.

Analogiczne ustawienia są dostępne dla stron, postów, kategorii i tagów: można ukryć je przed publicznym dostępem lub zmienić strukturę URL. W połączeniu eliminuje to praktycznie wszystkie automatyczne sposoby identyfikacji WordPress.

Proszę zwrócić uwagę: agresywne ukrywanie czasem psuje funkcjonalność. Na przykład, jeśli usuną Państwo kategorie z URL, odwiedzający nie będą mogli filtrować postów według tematu. Zmiana nazwy folderu wp-content może zepsuć wtyczki, które mają na sztywno wpisaną ścieżkę w kodzie. Proszę testować zmiany na kopii strony i włączać opcje pojedynczo, sprawdzając działanie po każdej z nich.

Alternatywa: Hide My WP, starsza komercyjna wtyczka z CodeCanyon. W chwili pisania tego tekstu jej strona jest niedostępna, a projekt najwyraźniej nie jest już wspierany. Jeśli spotkali się Państwo ze wzmiankami o niej w starych artykułach, proszę wybrać WP Hide & Security Enhancer, jest to żywe i aktywnie aktualizowane narzędzie o tej samej funkcjonalności.

Wszystkie opisane metody zostały pokazane w tym filmie:

⁉️🤔 Najczęściej zadawane pytania

Czy można skutecznie ukryć WordPress przed wykryciem?

Całkowicie, nie. Nawet ze zmienionymi nazwami folderów i ukrytymi metatagami pozostają pośrednie oznaki: struktura klas HTML niektórych motywów, zachowanie REST API (/wp-json/), sygnatury popularnych wtyczek w plikach JS. Chodzi o to, by wyeliminować automatyczne wykrywanie przez boty, a nie ukryć się przed osobą, która wie, gdzie patrzeć.

Jaki sposób weryfikacji jest najszybszy?

Kombinacja: dopisać /wp-admin do domeny (2 sekundy) i otworzyć IsItWP.com (10 sekund). Jeśli obie metody nie dadzą jednoznacznej odpowiedzi, zaglądać w kod źródłowy. W praktyce te trzy sposoby wystarczają w zdecydowanej większości przypadków.

Dlaczego strona nie pokazuje „Powered by WordPress", a jednak to WordPress?

Ponieważ właściciel usunął ten napis. Robi się to albo w ustawieniach motywu, albo przez footer.php motywu potomnego, albo wtyczką taką jak WP Hide. Standardowa praktyka w przypadku witryn komercyjnych: nikt nie chce bez potrzeby ujawniać platformy.

Czy koniecznie trzeba ukrywać, że strona działa na WordPressie?

Niekoniecznie. Jeśli na stronie nie ma danych poufnych i nie przyciąga ona ukierunkowanych ataków, stopka „Stworzone na WordPressie" nikomu nie przeszkadza. Maskowanie jest potrzebne witrynom, które już były celem botów lub działają w branżach wrażliwych (finanse, medycyna, strefy członkowskie).

Co jest lepsze: Wappalyzer czy BuiltWith?

Do szybkich kontroli „w locie", Wappalyzer (rozszerzenie, wynik natychmiastowy). Do szczegółowej analizy technologii witryny, BuiltWith (interfejs webowy, więcej danych, historia zmian technologii). To nie są konkurencyjne, lecz uzupełniające się narzędzia.

Co zainstalować i jak sprawdzać: końcowy harmonogram

Dziewięć powyższych sposobów to nie „wybierz jeden". To drabina: zaczyna Pan/Pani od najszybszego i idzie w głąb, aż do uzyskania pewnej odpowiedzi. W większości przypadków wystarczają pierwsze trzy, cztery punkty. Reszta jest dla upartych witryn, których właściciele naprawdę postarali się zatrzeć ślady.

Jeśli sprawdza Pan/Pani strony regularnie, proszę zainstalować Wappalyzer. Jedno kliknięcie podczas instalacji oszczędza dziesiątki godzin „przeglądania kodu źródłowego" w ciągu roku.

Jeśli jest Pan/Pani właścicielem witryny i chce zmniejszyć liczbę automatycznych ataków, proszę zainstalować WP Hide & Security Enhancer. Bezpłatnie, elastycznie, aktualizowane. Tylko proszę nie włączać od razu wszystkich opcji: testować pojedynczo na kopii.