WordPress-Detektor: Verrät diese Website WordPress?

Was der Detektor prüft

Er liest die Startseite so, wie es Erkennungstools oder ein Bot tun, der einen Angriff vorbereitet, und fragt dann einige bekannte öffentliche WordPress-Adressen ab. Jede gefundene Spur wird eingeordnet, in einer Zeile erklärt und der Funktion zugeordnet, die sie entfernt.

Geprüfter Punkt	Was er verrät	Wer ihn verbirgt
Generator-Tags, HTML-Kommentare, RSD-, WLW- und Kurzlinks	WordPress, seine Version, deine SEO- oder Cache-Plugins	KostenlosKostenlose Funktion
Adressen /wp-content/ und /wp-includes/, Ordner der Plugins und des Themes	Die Liste deiner Plugins und den Namen des Themes	ProPro-Funktion
wp-login.php, /wp-admin/ und elf weitere gängige Anmeldeadressen	Die Eingangstür, auf die Brute-Force-Angriffe zielen	KostenlosKostenlose Funktion
/?author=1, /wp-json/wp/v2/users, Autoren-Sitemap	Die Benutzernamen (im Bericht maskiert)	ProPro-Funktion
Versionen von WordPress, Plugins und Theme	Fehlende Updates und bekannte Sicherheitslücken	Deine Updates, Warnungen mit Pro
Sicherheits-Header, HTTPS-Zertifikat, Hoster	Das Schutzniveau von Browser und Verbindung	ProPro-Funktion für die Header

Das Ergebnis lesen

• Gesamtnote von A bis F: sechs gewichtete Kriterien (WordPress-Spuren, Anmeldung, Konten, Versionen und Sicherheitslücken, Sicherheits-Header, HTTPS). Jedes Kriterium hat eine eigene Note und eine Zeile Erklärung.
• Urteil: „WordPress erkannt“, wenn die Seiten es zeigen, „auffindbar“, wenn nur noch bekannte Adressen antworten, „gut verborgen“, wenn nur schwache oder notwendige Hinweise übrig sind.
• Abzeichen: KostenlosKostenlose Funktion und ProPro-Funktion zeigen, welche Version von WP Masquerade die Spur entfernt; „Zu tun“ kennzeichnet eine Aufgabe auf deiner Seite (Datei, Theme, Server); „Belassen“ steht für das, was WordPress oder deine Plugins brauchen.
• Plugin-Steckbriefe: Der Name eines erkannten Plugins öffnet seinen Steckbrief, sobald er veröffentlicht ist (empfohlene Einstellungen, was WP Masquerade verbirgt). Alle findest du in der Liste der getarnten Plugins.

Methode und Grenzen

Eine Analyse stellt rund dreißig leichte Anfragen (nur lesend, GET oder HEAD): die Startseite, acht bekannte WordPress-Adressen, dreizehn gängige Anmeldeadressen, das Stylesheet des Themes und höchstens fünf readme-Dateien von Plugins. Die Versionen werden mit den zuletzt veröffentlichten verglichen; die Sicherheitslücken stammen aus einer öffentlichen Schwachstellen-Datenbank und werden nur für tatsächlich sichtbare Versionen gesucht.

• Nur die Startseite wird gelesen: Ein Plugin, das auf anderen Seiten genutzt wird, taucht unter Umständen nicht auf.
• Ein Cache oder CDN kann eine ältere Seite ausliefern als deine letzten Einstellungen: Leere ihn, bevor du die Analyse erneut startest.
• JavaScript-Variablen werden im Code der Seite gelesen, ohne die Skripte auszuführen: Eine Variable, die erst bei der Ausführung entsteht, kann daher unbemerkt bleiben.
• Dieselbe Website wird nur wenige Male pro Stunde analysiert; jedes Ergebnis wird 10 Minuten lang wiederverwendet.

Verantwortungsvolle Nutzung und Datenschutz

Der Detektor führt nur eine passive Analyse durch, vergleichbar mit gängigen Erkennungstools: Er liest nur öffentliche Seiten und Adressen, sendet keine Zugangsdaten, versucht keine Anmeldung und sucht nicht nach sensiblen Dateien. Nutze ihn für deine eigenen Websites, für die deiner Kunden mit deren Einverständnis oder zur Information. Private Adressen und interne Netzwerke werden abgelehnt.

Das Ergebnis bleibt 10 Minuten im Cache und wird dann gelöscht; keine vollständige Adresse wird gespeichert. Ein Link zum Teilen entsteht nur, wenn du auf „Teilen“ klickst: Er bleibt 30 Tage gültig und lässt sich jederzeit löschen. Einzelheiten in der Datenschutzerklärung.

Häufige Fragen

Wie erkenne ich, ob eine Website WordPress nutzt?

Gib ihre Adresse in den Detektor ein. Er sucht die Signaturen von WordPress im Code der Seite (Generator-Tag, Ordner /wp-content/ und /wp-includes/, Ankündigung der REST-API) und prüft dann typische Adressen wie wp-login.php oder /wp-json/. Das Urteil nennt die Wahrscheinlichkeit und jeden gefundenen Beleg.

Warum WordPress verbergen?

Bots, die Sicherheitslücken ausnutzen, suchen zuerst nach WordPress-Websites und dann nach verwundbaren Versionen und Plugins. Eine Website, die weder ihre Software noch ihre Plugins zeigt, fällt aus vielen dieser Listen heraus. Das Verbergen ergänzt die Updates, es ersetzt sie nicht.

Meine Website ist mit WP Masquerade verborgen: Warum bleiben Spuren?

Manche Spuren braucht die Website, um zu funktionieren (REST-API, CSS-Klassen der Blöcke), oder sie liegen außerhalb der Reichweite eines Plugins (Header, die der Hoster oder das CDN hinzufügt). Andere erfordern die Pro-Version (Dateiadressen, Autorenliste) oder eine zwischengespeicherte Seite, die geleert werden muss. Der Bericht sagt für jede Spur, wer sie entfernen kann.

Findet der Detektor alle installierten Plugins?

Nein: Er sieht nur die, die auf der Startseite eine Spur hinterlassen (Dateien, Generator-Tag, Kommentare, JavaScript-Variablen). Ein Plugin ohne öffentliche Spur, etwa ein Backup-Plugin, bleibt unsichtbar, und das ist gut so.

Ist diese Analyse legal?

Sie liest nur, was die Website jedem Besucher schickt, wie ein Browser oder ein Erkennungstool, ohne Anmelde- oder Einbruchsversuch. Analysiere am besten deine eigenen Websites oder die deiner Kunden mit deren Einverständnis.

Was enthält ein Link zum Teilen?

Eine Momentaufnahme des Berichts, ohne Benutzernamen im Klartext und nur mit der Anzahl und dem Schweregrad der Sicherheitslücken. Der Link wird von Suchmaschinen nicht indexiert, läuft nach 30 Tagen ab und lässt sich mit der Schaltfläche löschen, die bei seiner Erstellung angezeigt wird.