Abre el código fuente de tu página de inicio: es muy probable que leas «This site is optimized with the Yoast SEO plugin v28.8», «Site Kit by Google 1.190.0» o «Elementor 4.3.5». Estas firmas nombran plugins que solo existen para WordPress, a menudo con su número de versión. Este artículo enumera lo que escriben los plugins habituales en tus páginas, explica cómo lo elimina Masquerade Security (versión gratuita) y cómo comprobarlo tú mismo.
Lo que los plugins escriben en tu código fuente
Dos tipos de huellas se esconden en el HTML que recibe cada visitante:
- La etiqueta generator:
<meta name="generator" content="...">, prevista por el HTML para nombrar el software que generó la página. WordPress pone ahí su versión, y también Site Kit, Elementor o WooCommerce. - Los comentarios HTML:
<!-- ... -->, invisibles en pantalla pero legibles en el código fuente. Los plugins de SEO enmarcan con ellos sus etiquetas, los de estadísticas firman su código de seguimiento y las cachés anotan qué herramienta guardó la página.
Estas líneas no le sirven a ningún visitante. Varios desarrolladores prevén un filtro para quitarlas, pero rara vez una opción visible.
Por qué importan estas huellas
Las herramientas de detección leen precisamente estas líneas. Como explicábamos en nuestro artículo sobre el fingerprinting de WordPress, basta una sola señal para convencerlas:
- Revelan WordPress. En las definiciones de Wappalyzer (proyecto webappanalyzer), el comentario de Yoast SEO basta para concluir que es WordPress. Una etiqueta generator de Elementor o de Site Kit lo dice con la misma claridad: estos plugins solo existen para WordPress.
- Dan números de versión. Las mismas definiciones extraen la versión de Yoast SEO, Elementor y Site Kit. Una versión exacta se compara en segundos con las bases públicas de vulnerabilidades; de ahí la importancia de vigilar las vulnerabilidades de tus plugins.
- Enumeran tus plugins sin ninguna petición adicional. WPScan tiene un detector dedicado que lee todos los comentarios HTML de la página y los compara con los patrones conocidos de cada plugin.
- Contradicen la imitación. Un sitio que anuncia Joomla! en su etiqueta generator pero conserva un comentario de Rank Math queda al descubierto ante cualquier curioso que mire el código fuente.
Quitar estas huellas no corrige ninguna vulnerabilidad: reduce lo que los bots aprenden con una simple visita. Detallamos lo que la ocultación puede y no puede hacer en ocultar WordPress: lo que aporta y lo que no hace.
Lo que elimina Masquerade Security, plugin por plugin
Estas son las huellas que elimina la versión gratuita, verificadas en el código de cada plugin y, en las filas marcadas «probado», en un sitio real. En la columna «Eliminado por», «oficial» designa el ajuste previsto por el desarrollador y «filtro», el filtro de salida descrito más abajo.
| Plugin | Huella eliminada | Eliminado por | Páginas en caché |
|---|---|---|---|
| Yoast SEO (probado, 28.8) | Comentarios optimized with the Yoast SEO plugin v{version}, Premium incluido | Oficial, filtro como respaldo | Limpias |
| Rank Math (probado) | Comentarios Search Engine Optimization by Rank Math, también traducidos | Oficial y filtro | Limpias |
| All in One SEO | Generator All in One SEO (AIOSEO) {version} y comentarios | Oficial (etiqueta), filtro (comentarios) | Limpias |
| The SEO Framework | Comentarios The SEO Framework by Sybre Waaijer, también traducidos | Oficial y filtro | Limpias |
| Site Kit by Google (probado, 1.190.0) | Generator Site Kit by Google {version}, comentarios added by Site Kit | Oficial (etiqueta), filtro (comentarios) | Limpias |
| MonsterInsights, ExactMetrics, GTM4WP, Matomo, píxeles de Meta, Jetpack | Comentarios firmados, con la versión en MonsterInsights y ExactMetrics | Filtro | Limpias |
| WP Statistics, Complianz | Comentarios firmados | Oficial y filtro | Limpias |
| WP Super Cache (probado) | Cached page generated by WP-Super-Cache, Dynamic page generated in... | Oficial (como desmarcar «Cache Status Messages») | Limpias, archivo de caché verificado |
| LiteSpeed Cache (probado, 7.9.2) | Page cached by LiteSpeed Cache {version}, Page optimized by LiteSpeed Cache | Oficial y último filtro de la caché | Limpias |
| W3 Total Cache, WP Fastest Cache, WP-Optimize | Comentarios de caché firmados | Oficial (y filtro para WP-Optimize) | Limpias (WP-Optimize: salvo con WP_DEBUG) |
| Hummingbird | cached by the Hummingbird Performance plugin v{version} | Último filtro de la caché | Limpias |
| WP Rocket | This website is like a Rocket... WP Rocket | Constante oficial | Sustituido por un texto genérico |
| Breeze | Cache served by breeze CACHE | No eliminado | No |
| Elementor (probado, 4.3.5) | Generator Elementor {version}; features: ...; settings: ... | Oficial («Generator Tag», ajuste guardado intacto) y filtro | Limpias |
| WPBakery, Slider Revolution, Divi, Redux | Generator con el nombre y a menudo la versión | Filtro | Limpias |
| WooCommerce, WPML | Generator WooCommerce {version}, WPML ver:{version} | Módulo Identidad (WooCommerce), filtro (WPML) | Limpias |
| El propio WordPress | Generator, comentarios que citan WordPress, wp-content, wp-json... | Módulo Identidad y filtro | Limpias |
Otros nombres se reconocen por precaución, sin verificarlos uno a uno en el código: Avada, Oxygen, Bricks, Beaver Builder, Astra, Kadence, Smush o Polylang, por ejemplo.
Cómo se elimina: primero el ajuste oficial
El plugin aplica tres métodos, en este orden:
- El ajuste oficial de cada plugin: un filtro, una opción o una constante previstos por su desarrollador (por ejemplo
wpseo_debug_markerspara Yoast SEO olitespeed_commentpara LiteSpeed Cache). Es el método más fiable y también actúa sobre la página que guarda la caché. Tus ajustes guardados no cambian. - Un filtro de salida sobre la página HTML, para todo lo que no tiene ajuste. Solo afecta a las páginas públicas pedidas en GET o HEAD (ni la administración, ni AJAX, la API REST, los feeds, los sitemaps o robots.txt). Por encima de 4 MB o ante cualquier error, la página se envía tal cual.
- El último filtro de la caché, para LiteSpeed Cache y Hummingbird, que añaden su comentario después del filtro de salida.
El orden importa: en nuestras pruebas sin los ajustes oficiales, el filtro de salida por sí solo eliminaba las huellas de Yoast SEO, Rank Math, Site Kit y Elementor, pero no las de LiteSpeed Cache, que se añaden después. La detección se basa en los nombres de marca, no en frases; por eso también se eliminan los comentarios traducidos por Rank Math, Site Kit o The SEO Framework.
Lo que se conserva a propósito
Para no romper nada, se mantienen:
- la etiqueta generator del software imitado (nivel 2 o superior del módulo Identidad), por ejemplo
Joomla! - Open Source Content Management; - todo el contenido de las etiquetas
script(JSON-LD incluido),style,pre,textarea,svgytemplate; - los comentarios condicionales de Internet Explorer (
<!--[if ...]>); - las marcas que necesitan las cachés:
noptimize,mfunc,mclude,dynamic-cached-content,esi; - los comentarios neutros de tu tema («.site-header», «Main navigation»), salvo si marcas la opción descrita más abajo.
Los límites que debes conocer
- Breeze escribe su comentario en su archivo de caché, sin filtro ni ajuste: se queda.
- WP Rocket no permite eliminar su comentario: se convierte en
<!-- Cached for great performance -->, sin nombre de plugin ni WordPress. - Las páginas ya en caché antes de la activación conservan sus comentarios hasta que vacías la caché.
- Las cachés de servidor y las CDN (Varnish, Cloudflare, caché del hosting) sirven la página guardada: está limpia si se guardó después de la activación, pero sus cabeceras HTTP se mantienen.
- Lo que no es un comentario ni una etiqueta generator queda fuera: cabeceras HTTP (
X-LiteSpeed-Cache,cf-edge-cache: cache,platform=wordpressde Cloudflare APO), clases CSS (elementor-,woocommerce,yoast-schema-graph), variables JavaScript, contenido JSON-LD, direcciones de archivos y el parámetro?ver=. - Los visitantes con sesión iniciada ven el sitio sin ocultación.
Sobre todo, ten esto en cuenta: mientras las direcciones /wp-content/plugins/... sigan en la página, Wappalyzer reconoce WordPress. Quitar los comentarios elimina sobre todo nombres y versiones; para ir más lejos, los alias de las direcciones de archivos de WP Masquerade Pro renombran esas rutas.
Comprueba tu propio sitio
Haz la prueba antes y después de la activación, siempre como visitante anónimo:
- Abre una ventana de navegación privada, sin sesión en WordPress.
- Muestra el código fuente de la página de inicio y de una entrada (Ctrl+U, o Cmd+Option+U en Mac).
- Busca (Ctrl+F)
<!--, luegoname="generator"y luego el nombre de tus plugins. - Recarga la página: la primera visita suele llenar la caché y la segunda muestra la página servida por la caché.
Desde la línea de comandos:
curl -s https://www.example.com/ | grep -n -E "<!--|name=\"generator\""Solo deben quedar la etiqueta del software imitado, los comentarios condicionales, las marcas de las cachés y, sin la opción, los comentarios neutros del tema. El vídeo de abajo muestra lo que detecta un curioso.
Activa la función
- Abre Masquerade Security (el icono de máscara del menú de administración).
- Elige un modo (Esencial, Recomendado o Máximo) o pon el módulo Identidad al menos en el nivel 1 («Ocultar WordPress»): las huellas se eliminan desde ese nivel.
- Activa el interruptor «Camuflaje activado» y guarda.
- Opcional: en la pestaña Identidad, marca «Eliminar todos los comentarios HTML de las páginas públicas». Desactivada por defecto, esta opción elimina también los comentarios neutros, pero conserva los comentarios condicionales, las marcas de las cachés y el comentario de cobertura (nivel 4, Pro).
- Haz clic en Vaciar las cachés (pestaña Diagnóstico), vacía también la caché del hosting o de la CDN y comprueba.
El vaciado integrado cubre LiteSpeed Cache, WP Super Cache y WP Rocket; los detalles por hosting están en la página compatibilidad con hostings y cachés.
Gratis o Pro
La eliminación de las huellas de los plugins forma parte de la versión gratuita, sin límites ni clave de licencia. WP Masquerade Pro se ocupa de las demás señales:
| Función | Gratis | Pro |
|---|---|---|
| Comentarios HTML y etiquetas generator de los plugins eliminados | Sí | Sí |
| Opción «Eliminar todos los comentarios HTML» | Sí | Sí |
| Generator de WordPress eliminado, etiqueta de otro software | 5 perfiles o nombre libre | 41 perfiles |
| Enlaces RSD, Windows Live Writer y enlaces cortos eliminados | Sí | Sí |
| Anuncio de la API REST (etiqueta y cabecera HTTP Link) y descubrimiento oEmbed eliminados | No | Sí |
Alias de las direcciones de archivos (/wp-content/, /wp-includes/) | No | Sí |
| Marcadores reconocidos por Wappalyzer y comentario de cobertura del software imitado | No | Sí |
Más detalles en los enlaces técnicos, la imitación de otro CMS y en la comparativa. Descarga la versión gratuita o consulta los precios de Pro, desde 59 € al año sin IVA.
En resumen
- Yoast SEO, Site Kit, Elementor y las cachés firman tus páginas, a menudo con su versión.
- El comentario de Yoast SEO basta para que Wappalyzer concluya que es WordPress, y WPScan lee los comentarios HTML para enumerar tus plugins.
- Masquerade Security, gratuito, los elimina desde el nivel 1 del módulo Identidad: primero el ajuste oficial y después el filtro de salida.
- Límites: Breeze, WP Rocket (texto genérico), páginas ya en caché (vacíalas), cabeceras HTTP, direcciones de archivos.
- Comprueba en navegación privada: busca
<!--ygeneratoren el código fuente.
Fuentes
- WordPress Developer: get_the_generator() (enlace externo, se abre en una pestaña nueva)
- MDN: el atributo name de meta, valor generator (enlace externo, se abre en una pestaña nueva)
- WordPress.org: Yoast SEO (enlace externo, se abre en una pestaña nueva)
- WordPress.org: Site Kit by Google (enlace externo, se abre en una pestaña nueva)
Otras fuentes consultadas: páginas oficiales de los editores.
