Gostou do site de alguém e quer descobrir com que foi construído? Ou talvez esteja à procura de um tema para o seu próprio projeto e a tentar perceber o que a concorrência usa? Talvez tenha simplesmente curiosidade em saber se o que está à sua frente é WordPress ou não?

Isto costumava ser trivial: um rodapé com «Powered by WordPress», o /wp-admin padrão, pastas características no código-fonte. Hoje, muitos proprietários disfarçam deliberadamente a sua plataforma, e distinguir visualmente o WordPress de um motor personalizado ou de um construtor de sites tornou-se genuinamente difícil.

Abaixo estão nove métodos funcionais para verificar: dos mais rápidos (10 segundos) aos mais técnicos. Nenhum deles garante individualmente uma resposta, mas três ou quatro em conjunto quase sempre garantem.

💡 Visão geral rápida:

• Método 1: procurar «Powered by WordPress» no rodapé, o mais rápido, mas nem sempre funciona
• Método 2: adicionar /wp-admin ao domínio e ver para onde redireciona
• Métodos 3-6: ver o código-fonte da página, pastas, meta tags e ficheiros de sistema revelam o CMS
• Métodos 7-9: detetores online (BuiltWith, IsItWP) e extensões de navegador (Wappalyzer), automação em segundos

Porque quereria saber com que foi construído um site

Resposta curta: para tomar decisões mais rapidamente. Se um site corre em WordPress, tem inerentemente um painel de administração padrão, uma estrutura de base de dados compreensível, caminhos de ficheiros previsíveis e um enorme ecossistema de plugins. Isto significa que pode:

• Procurar temas e plugins semelhantes no diretório WordPress.org, partindo do que viu num site de que gostou.
• Avaliar vulnerabilidades: sabendo a versão do WordPress e o conjunto de plugins ativos, percebe quais as falhas de segurança que estão teoricamente abertas.
• Copiar a abordagem de layout: ver qual o tema usado e encontrar a sua demonstração para inspiração.
• Analisar um concorrente: se todos no seu nicho estão em WordPress e um interveniente está numa solução personalizada, isso diz muito.

Na prática, os cenários mais comuns são «que tema é aquele?» e «como implementaram aquela funcionalidade?». Ambos se resolvem com os primeiros métodos abaixo.

Método 1: Rodapé «Powered by WordPress»

A forma mais óbvia e rápida. Desça até ao fundo da página e procure texto como «Powered by WordPress», «Proudly powered by WordPress» ou simplesmente «WordPress».

Este método funciona cada vez menos. Por defeito, o WordPress coloca este texto no rodapé de qualquer tema padrão, mas a maioria dos proprietários remove-o em três passos simples. Os temas premium muitas vezes nem exibem este texto, e as construções personalizadas ainda menos. Portanto, a ausência deste texto no rodapé não lhe diz nada. Mas a sua presença diz-lhe com certeza.

Método 2: /wp-admin na barra de endereço

Adicione /wp-admin ao domínio do site na barra de endereço do seu navegador. Por exemplo: https://example.com/wp-admin.

Se for redirecionado para a página de login do WordPress, o formulário característico com o logótipo do WordPress e os campos «Username» e «Password», está a ver WordPress. Sem margem para dúvidas.

No entanto, este método também não é universal. Muitos proprietários alteram o URL de login padrão através de plugins de segurança (mais sobre eles na secção sobre esconder o WordPress abaixo). Nesses casos, /wp-admin devolverá um 404 ou redirecionará para a página inicial, e isso não prova que o site não está em WordPress. Por outras palavras, se funcionar, ótimo; se não, siga em frente.

Método 3: Procurar wp-content e wordpress no código-fonte

Clique com o botão direito em qualquer ponto da página e selecione «Ver código-fonte da página» ou prima Ctrl+U.

No HTML aberto, procure com Ctrl+F por qualquer um dos seguintes:

• wp-content, a pasta padrão onde o WordPress armazena imagens carregadas, temas e plugins
• wordpress, frequentemente encontrado em caminhos para scripts e estilos
• wp-includes, outra pasta de sistema do núcleo

Se encontrar wp-content em caminhos para imagens ou scripts, o site é muito provavelmente WordPress. Nenhum outro CMS popular cria uma pasta com esse nome. Mesmo que o proprietário tenha renomeado /wp-content através de um plugin de ocultação (o que é raro), referências aos caminhos originais podem ainda permanecer no código, graças a erro humano.

Método 4: O serviço online BuiltWith

O BuiltWith é uma ferramenta gratuita que analisa as tecnologias de um site apenas pelo domínio. Introduza o endereço no campo de pesquisa e clique em «Lookup».

O BuiltWith mostra não só se o WordPress é utilizado, mas também a versão, plugins ativos, tema, CDN, análise de dados e umas boas duas dezenas de outras tecnologias. Funciona através da análise de cabeçalhos HTTP, estrutura da página e assinaturas; a base de dados de tecnologias do projeto é enorme e atualizada semanalmente.

Limitação: em sites com cache agressiva e ocultação de vestígios do WordPress, a deteção pode ser incompleta. Mas o BuiltWith quase sempre identifica a utilização do WordPress, porque existem demasiados padrões característicos no markup de qualquer tema.

Método 5: o ficheiro readme.html

Ao instalar o WordPress, um ficheiro de sistema chamado readme.html por vezes acaba na raiz do site. Verifique neste endereço:

https://example.com/readme.html

Se a página abrir e mostrar informações da versão do WordPress, está tudo claro. Nas versões modernas do WordPress, este ficheiro ainda é colocado na raiz durante a instalação, mas a maioria dos alojamentos e builds elimina-o de imediato. Portanto, este método raramente funciona, mas a verificação demora exatamente um clique.

A propósito, em sites de produção este ficheiro deve ser eliminado: revela a versão do WordPress a qualquer pessoa interessada, incluindo bots que procuram vulnerabilidades.

Método 6: a meta tag generator com a versão do WordPress

Outro marcador que o WordPress deixa por defeito é uma meta tag no <head> de cada página:

1
<meta name="generator" content="WordPress 6.4" />

Procure-a através do mesmo «Ver código-fonte da página» (Ctrl+F → generator). Se a tag estiver presente, está a ver WordPress, e a versão está ali indicada.

Na prática, esta tag é cada vez mais removida: primeiro, muitos plugins de SEO oferecem a opção de a eliminar com um clique, por ser «informação desnecessária»; segundo, os plugins de ocultação do WordPress (secção abaixo) fazem-no automaticamente. Mas em sites sem personalização profunda, a meta tag mantém-se frequentemente, e vale a pena verificar, já que demora cinco segundos.

Método 7: o serviço online IsItWP

O IsItWP é um detetor especializado, especificamente para WordPress. Ao contrário do BuiltWith, foi concebido para uma única tarefa e consegue identificar não só o WordPress em si, mas também o tema e os plugins específicos.

Introduza o domínio, clique em «Analyze Website» e em poucos segundos obterá:

• Veredito: WordPress ou não
• Nome do tema (se detetado)
• Lista de plugins detetados
• Informação de alojamento

O serviço é gratuito e não requer registo. Para tarefas quotidianas como «que tema usa o concorrente», é a opção ideal. Verificações mais profundas, com versões de plugins e análises, são melhor tratadas pelo BuiltWith.

Método 8: extensões de navegador

Se verifica sites com regularidade, instale uma extensão de navegador que mostre as tecnologias do site em tempo real enquanto navega pelas páginas.

Wappalyzer é a opção mais popular, disponível tanto para Chrome como para Firefox. Deteta não só o WordPress, mas também o tema, plugins, servidor, CDN, sistemas de análise e um par de milhares de outras tecnologias. O ícone no painel do navegador muda quando visita um site e mostra imediatamente o que foi detetado.

Library Sniffer (Chrome) é uma alternativa mais antiga, originalmente criada para detetar bibliotecas JavaScript. Também consegue detetar WordPress, mas com menos profundidade do que o Wappalyzer.

WordPress Detector+ (Firefox) é uma extensão especializada, especificamente para WordPress: temas, plugins, tipos de letra. Uma boa opção se usa o Firefox e não quer instalar o Wappalyzer, que é mais pesado.

A principal vantagem das extensões é que não precisa de ir a lado nenhum nem de escrever nada. Basta abrir um site, olhar para o ícone e já sabe em que é que ele corre.

Como ocultar que um site funciona com WordPress

Vejamos agora o outro lado. Se é proprietário de um site WordPress e quer esconder esse facto de terceiros, os métodos acima mostram exatamente o que precisa de ser mascarado.

As razões para esconder o WordPress não são paranoicas: os bots e os scanners de vulnerabilidades são especificamente concebidos para sites WordPress. Conhecem os caminhos padrão: /wp-admin, /wp-content e /wp-includes. Estes bots também sondam automaticamente assinaturas de temas e plugins. Quanto menos pistas lhes deixar, menos ataques automatizados atingirão o seu site.

A principal ferramenta para isto é o plugin gratuito WP Hide & Security Enhancer. Permite:

• Alterar URLs padrão: /wp-admin → qualquer outro, /wp-content → qualquer coisa, /wp-includes → um caminho não padrão
• Remover a meta tag generator e outras assinaturas do WordPress do código
• Ocultar links para o WordPress.org e a versão do WordPress em scripts e estilos
• Bloquear o acesso direto a ficheiros de sistema: readme.html, wp-config.php e xmlrpc.php
• Renomear classes e IDs no HTML, removendo os prefixos wp-

O plugin oferece vários níveis predefinidos: desde o mascaramento ligeiro (compatível com todos os plugins) até ao profundo (menos compatível, mas não deixa quase nenhum vestígio do WordPress). Pode escolher um perfil pronto sem configurar cada parâmetro manualmente.

O separador General configura aspetos básicos:

• Template personalizado para a página 404 em vez do padrão
• Funções de utilizador de confiança autorizadas a iniciar sessão através do URL padrão
• Novo URL para a página de login em vez de /wp-login

O plugin limpa a saída HTML: remove a informação da versão do WordPress dos scripts e estilos, elimina os caminhos wp-includes e wp-content do código da página. Para os visitantes, o site parece o mesmo, mas os sinais característicos do WordPress desaparecem da marcação.

Uma função separada trata da minificação do HTML e da substituição de palavras-chave no código. Pode remover automaticamente todas as ocorrências de «wordpress» e «wp-» da marcação.

O separador Permalinks & URLs é o mais importante para o mascaramento. Aqui define caminhos não padrão para tudo: pastas de temas, uploads, wp-includes. Pode até renomear ficheiros de sistema como o wp-comments-post.php, prevenindo ataques através do formulário de comentários no endereço padrão.

No mesmo separador, os feeds RSS e as páginas de autor são ocultados ou os seus URLs alterados. Os bots procuram frequentemente /author/admin/ e /feed/ como sinais inequívocos de WordPress; ao fechar estes endpoints, priva-os de uma deteção fácil.

Existem definições semelhantes para páginas, artigos, categorias e etiquetas: pode ocultá-los do acesso público ou renomear a estrutura dos URLs. Em conjunto, isto remove praticamente todos os métodos de identificação automática do WordPress.

Nota: o mascaramento agressivo por vezes quebra funcionalidades. Por exemplo, se remover as categorias dos URLs, os visitantes não conseguirão filtrar artigos por tópico. Renomear a pasta wp-content pode quebrar plugins que tenham o caminho codificado de forma fixa. Teste as alterações numa cópia do seu site e ative as opções uma de cada vez, verificando a funcionalidade após cada uma.

Alternativa: Hide My WP, um plugin comercial mais antigo do CodeCanyon. No momento em que escrevo, a sua página está indisponível e o projeto parece já não ter manutenção. Se viu menções a ele em artigos antigos, utilize antes o WP Hide & Security Enhancer, uma ferramenta viva e ativamente atualizada com a mesma funcionalidade.

Todos os métodos descritos são demonstrados visualmente neste vídeo:

⁉️🤔 Perguntas frequentes

É possível esconder de forma fiável que um site é WordPress?

Completamente, não. Mesmo com pastas renomeadas e meta tags ocultas, permanecem sinais indiretos: a estrutura de classes HTML de certos temas, o comportamento da REST API (/wp-json/), assinaturas de plugins populares em ficheiros JS. O objetivo é remover a deteção automática por bots, não esconder de uma pessoa que sabe onde procurar.

Qual é o método de verificação mais rápido?

Uma combinação: adicionar /wp-admin ao domínio (2 segundos) e abrir o IsItWP.com (10 segundos). Se nenhum der uma resposta definitiva, veja o código-fonte. Na prática, estes três são suficientes na grande maioria dos casos.

Porque é que um site não mostra «Powered by WordPress» mas é WordPress?

Porque o proprietário removeu esse texto. Isto é feito nas definições do tema, através do footer.php de um tema filho ou com um plugin como o WP Hide. Prática comum em sites comerciais, ninguém quer expor a sua plataforma desnecessariamente.

É obrigatório esconder que um site funciona com WordPress?

Não é obrigatório. Se o site não tem dados confidenciais e não atrai ataques direcionados, um rodapé «Powered by WordPress» não faz mal a ninguém. O mascaramento é necessário para sites que já se tornaram alvos de bots ou operam em nichos sensíveis (finanças, saúde, áreas de membros).

Qual é melhor: Wappalyzer ou BuiltWith?

Para verificações rápidas em movimento, Wappalyzer (extensão, resultado instantâneo). Para uma análise detalhada da tecnologia do site, BuiltWith (interface web, mais dados, histórico de alterações tecnológicas). Não são concorrentes, mas ferramentas complementares.

O que instalar e como verificar: o resumo final

Os nove métodos acima não são uma situação de «escolha um». São uma escada: comece pelo mais rápido e aprofunde até obter uma resposta segura. Na maioria dos casos, os primeiros três ou quatro pontos são suficientes. Os restantes são para sites teimosos cujos proprietários realmente tentaram apagar o rasto.

Se verifica sites com regularidade, instale o Wappalyzer. Um clique durante a instalação poupa dezenas de horas de «ver código-fonte» ao longo de um ano.

Se é proprietário de um site e quer reduzir o número de ataques automatizados, instale o WP Hide & Security Enhancer. Gratuito, flexível, atualizado. Só não ative todas as opções de uma vez: teste-as uma a uma numa cópia.