Open de broncode van je homepage: grote kans dat je er ‘This site is optimized with the Yoast SEO plugin v28.8’, ‘Site Kit by Google 1.190.0’ of ‘Elementor 4.3.5’ leest. Deze handtekeningen noemen plugins die alleen voor WordPress bestaan, vaak met hun versienummer. Dit artikel zet op een rij wat gangbare plugins in je pagina’s schrijven, legt uit hoe Masquerade Security (gratis versie) dat verwijdert en hoe je het zelf controleert.
Wat plugins in je broncode schrijven
Twee soorten sporen zitten verstopt in de HTML die elke bezoeker ontvangt:
- De generator-tag:
<meta name="generator" content="...">, in HTML bedoeld om de software te noemen die de pagina heeft gemaakt. WordPress zet er zijn versie in, en Site Kit, Elementor of WooCommerce ook. - HTML-opmerkingen:
<!-- ... -->, onzichtbaar op het scherm maar leesbaar in de broncode. SEO-plugins omlijsten er hun tags mee, statistiekplugins ondertekenen hun trackingcode en caches noteren welk hulpmiddel de pagina heeft opgeslagen.
Geen enkele bezoeker heeft iets aan deze regels. Verschillende ontwikkelaars voorzien een filter om ze te verwijderen, maar zelden een zichtbare optie.
Waarom deze sporen ertoe doen
Detectietools lezen precies deze regels. Zoals we uitlegden in ons artikel over fingerprinting van WordPress, is één signaal genoeg om ze te overtuigen:
- Ze verraden WordPress. In de definities van Wappalyzer (project webappanalyzer) is de opmerking van Yoast SEO genoeg om op WordPress te besluiten. Een generator-tag van Elementor of Site Kit zegt het net zo duidelijk: deze plugins bestaan alleen voor WordPress.
- Ze geven versienummers. Dezelfde definities halen de versie van Yoast SEO, Elementor en Site Kit eruit. Een exacte versie vergelijk je in seconden met openbare kwetsbaarheidsdatabases; daarom loont het om de kwetsbaarheden in je plugins te monitoren.
- Ze tonen je plugins zonder extra verzoek. WPScan heeft een aparte detector die alle HTML-opmerkingen van de pagina leest en vergelijkt met de bekende patronen van elke plugin.
- Ze spreken de imitatie tegen. Een site die Joomla! aankondigt in zijn generator-tag maar een opmerking van Rank Math laat staan, valt door de mand bij iedereen die de broncode bekijkt.
Deze sporen verwijderen dicht geen enkel lek: het beperkt wat bots leren bij een eenvoudig bezoek. Wat verbergen wel en niet kan, lees je in WordPress verbergen: wat het oplevert en wat het niet doet.
Wat Masquerade Security verwijdert, per plugin
Dit zijn de sporen die de gratis versie verwijdert, gecontroleerd in de code van elke plugin en, bij de regels met ‘getest’, op een echte site. In de kolom ‘Verwijderd via’ staat ‘officieel’ voor de instelling die de ontwikkelaar voorziet en ‘filter’ voor het uitvoerfilter dat hieronder wordt beschreven.
| Plugin | Verwijderd spoor | Verwijderd via | Gecachete pagina’s |
|---|---|---|---|
| Yoast SEO (getest, 28.8) | Opmerkingen optimized with the Yoast SEO plugin v{version}, Premium inbegrepen | Officieel, filter als reserve | Schoon |
| Rank Math (getest) | Opmerkingen Search Engine Optimization by Rank Math, ook vertaald | Officieel en filter | Schoon |
| All in One SEO | Generator All in One SEO (AIOSEO) {version} en opmerkingen | Officieel (tag), filter (opmerkingen) | Schoon |
| The SEO Framework | Opmerkingen The SEO Framework by Sybre Waaijer, ook vertaald | Officieel en filter | Schoon |
| Site Kit by Google (getest, 1.190.0) | Generator Site Kit by Google {version}, opmerkingen added by Site Kit | Officieel (tag), filter (opmerkingen) | Schoon |
| MonsterInsights, ExactMetrics, GTM4WP, Matomo, Meta-pixels, Jetpack | Ondertekende opmerkingen, met versie bij MonsterInsights en ExactMetrics | Filter | Schoon |
| WP Statistics, Complianz | Ondertekende opmerkingen | Officieel en filter | Schoon |
| WP Super Cache (getest) | Cached page generated by WP-Super-Cache, Dynamic page generated in... | Officieel (zoals ‘Cache Status Messages’ uitvinken) | Schoon, cachebestand gecontroleerd |
| LiteSpeed Cache (getest, 7.9.2) | Page cached by LiteSpeed Cache {version}, Page optimized by LiteSpeed Cache | Officieel en laatste filter van de cache | Schoon |
| W3 Total Cache, WP Fastest Cache, WP-Optimize | Ondertekende cacheopmerkingen | Officieel (en filter voor WP-Optimize) | Schoon (WP-Optimize: behalve met WP_DEBUG) |
| Hummingbird | cached by the Hummingbird Performance plugin v{version} | Laatste filter van de cache | Schoon |
| WP Rocket | This website is like a Rocket... WP Rocket | Officiële constante | Vervangen door een generieke tekst |
| Breeze | Cache served by breeze CACHE | Niet verwijderd | Nee |
| Elementor (getest, 4.3.5) | Generator Elementor {version}; features: ...; settings: ... | Officieel (‘Generator Tag’, opgeslagen instelling ongewijzigd) en filter | Schoon |
| WPBakery, Slider Revolution, Divi, Redux | Generator met de naam en vaak de versie | Filter | Schoon |
| WooCommerce, WPML | Generator WooCommerce {version}, WPML ver:{version} | Module Identiteit (WooCommerce), filter (WPML) | Schoon |
| WordPress zelf | Generator, opmerkingen die WordPress, wp-content, wp-json... noemen | Module Identiteit en filter | Schoon |
Andere namen worden uit voorzorg herkend, zonder ze één voor één in de code te controleren: bijvoorbeeld Avada, Oxygen, Bricks, Beaver Builder, Astra, Kadence, Smush of Polylang.
Hoe het verwijderd wordt: eerst de officiële instelling
De plugin past drie methoden toe, in deze volgorde:
- De officiële instelling van elke plugin: een filter, optie of constante van de ontwikkelaar (bijvoorbeeld
wpseo_debug_markersvoor Yoast SEO oflitespeed_commentvoor LiteSpeed Cache). Dit is de betrouwbaarste methode, en ze werkt ook op de pagina die de cache opslaat. Je opgeslagen instellingen veranderen niet. - Een uitvoerfilter op de HTML-pagina, voor alles zonder instelling. Het raakt alleen openbare pagina’s die via GET of HEAD worden opgevraagd (niet het beheer, AJAX, de REST API, feeds, sitemaps of robots.txt). Boven 4 MB of bij een fout gaat de pagina ongewijzigd weg.
- Het laatste filter van de cache, voor LiteSpeed Cache en Hummingbird, die hun opmerking na het uitvoerfilter toevoegen.
De volgorde telt: in onze tests zonder de officiële instellingen verwijderde het uitvoerfilter alleen de sporen van Yoast SEO, Rank Math, Site Kit en Elementor, maar niet die van LiteSpeed Cache, die pas daarna worden toegevoegd. De herkenning werkt op merknamen, niet op zinnen; daarom verdwijnen ook de opmerkingen die Rank Math, Site Kit of The SEO Framework vertalen.
Wat bewust blijft staan
Om niets kapot te maken, blijven staan:
- de generator-tag van de geïmiteerde software (module Identiteit vanaf niveau 2), bijvoorbeeld
Joomla! - Open Source Content Management; - de volledige inhoud van de tags
script(inclusief JSON-LD),style,pre,textarea,svgentemplate; - de voorwaardelijke opmerkingen van Internet Explorer (
<!--[if ...]>); - de markeringen die caches nodig hebben:
noptimize,mfunc,mclude,dynamic-cached-content,esi; - de neutrale opmerkingen van je thema (‘.site-header’, ‘Main navigation’), tenzij je de optie hieronder aanvinkt.
De grenzen die je moet kennen
- Breeze schrijft zijn opmerking in zijn cachebestand, zonder filter of instelling: die blijft staan.
- WP Rocket laat niet toe zijn opmerking te verwijderen: ze wordt
<!-- Cached for great performance -->, zonder pluginnaam en zonder WordPress. - Pagina’s die al in de cache stonden voor de activering houden hun opmerkingen tot de cache wordt geleegd.
- Servercaches en CDN’s (Varnish, Cloudflare, cache van de host) serveren de opgeslagen pagina: die is schoon als ze na de activering is opgeslagen, maar hun HTTP-headers blijven.
- Wat geen opmerking of generator-tag is valt erbuiten: HTTP-headers (
X-LiteSpeed-Cache,cf-edge-cache: cache,platform=wordpressvan Cloudflare APO), CSS-klassen (elementor-,woocommerce,yoast-schema-graph), JavaScript-variabelen, JSON-LD-inhoud, bestandsadressen en de parameter?ver=. - Ingelogde bezoekers zien de site zonder verbergen.
Onthoud vooral dit: zolang adressen als /wp-content/plugins/... in de pagina staan, herkent Wappalyzer WordPress. Opmerkingen verwijderen haalt vooral namen en versies weg; wie verder wil gaan, gebruikt de aliassen voor bestandsadressen van WP Masquerade Pro, die deze paden hernoemen.
Je eigen site controleren
Doe de test voor en na de activering, altijd als anonieme bezoeker:
- Open een privévenster, zonder ingelogd te zijn in WordPress.
- Bekijk de broncode van de homepage en van een bericht (Ctrl+U, of Cmd+Option+U op een Mac).
- Zoek (Ctrl+F) naar
<!--, dan naarname="generator", dan naar de namen van je plugins. - Laad de pagina opnieuw: het eerste bezoek vult vaak de cache, het tweede toont de pagina uit de cache.
Op de opdrachtregel:
curl -s https://www.example.com/ | grep -n -E "<!--|name=\"generator\""Alleen de tag van de geïmiteerde software, voorwaardelijke opmerkingen, cachemarkeringen en, zonder de optie, de neutrale opmerkingen van het thema horen over te blijven. De video hieronder laat zien wat een nieuwsgierige bezoeker opmerkt.
De functie inschakelen
- Open Masquerade Security (het maskerpictogram in het beheermenu).
- Kies een modus (Essentieel, Aanbevolen of Maximaal) of zet de module Identiteit minstens op niveau 1 (‘WordPress verbergen’): vanaf dat niveau verdwijnen de sporen.
- Zet de schakelaar ‘Camouflage aan’ aan en sla op.
- Optioneel: vink in het tabblad Identiteit ‘Alle HTML-opmerkingen uit openbare pagina’s verwijderen’ aan. Deze optie staat standaard uit en verwijdert ook neutrale opmerkingen, maar houdt voorwaardelijke opmerkingen, cachemarkeringen en het dekmantelcommentaar (niveau 4, Pro).
- Klik op Caches legen (tab Diagnose), leeg ook de cache van je host of CDN en controleer daarna.
Het ingebouwde legen dekt LiteSpeed Cache, WP Super Cache en WP Rocket; details per host vind je op de pagina compatibiliteit met hosts en caches.
Gratis of Pro
Het verwijderen van pluginsporen hoort bij de gratis versie, zonder limiet of licentiesleutel. WP Masquerade Pro neemt de andere signalen voor zijn rekening:
| Functie | Gratis | Pro |
|---|---|---|
| HTML-opmerkingen en generator-tags van plugins verwijderd | Ja | Ja |
| Optie ‘Alle HTML-opmerkingen verwijderen’ | Ja | Ja |
| Generator van WordPress verwijderd, tag van andere software | 5 profielen of een vrije naam | 41 profielen |
| RSD-, Windows Live Writer- en korte links verwijderd | Ja | Ja |
| Aankondiging van de REST API (tag en HTTP-header Link) en oEmbed-detectie verwijderd | Nee | Ja |
Aliassen voor bestandsadressen (/wp-content/, /wp-includes/) | Nee | Ja |
| Wappalyzer-kenmerken en dekmantelcommentaar van de geïmiteerde software | Nee | Ja |
Meer over de technische links, de imitatie van een ander CMS en in de vergelijking. Download de gratis versie of bekijk de prijzen van Pro, vanaf € 59 per jaar excl. btw.
Om te onthouden
- Yoast SEO, Site Kit, Elementor en caches ondertekenen je pagina’s, vaak met hun versie.
- De opmerking van Yoast SEO is voor Wappalyzer genoeg om op WordPress te besluiten, en WPScan leest HTML-opmerkingen om je plugins op te sommen.
- Masquerade Security, gratis, verwijdert ze vanaf niveau 1 van de module Identiteit: eerst de officiële instelling, dan het uitvoerfilter.
- Grenzen: Breeze, WP Rocket (generieke tekst), al gecachete pagina’s (legen), HTTP-headers, bestandsadressen.
- Controleer in een privévenster: zoek in de broncode naar
<!--engenerator.
Bronnen
- WordPress Developer: get_the_generator() (externe link, opent in een nieuw tabblad)
- MDN: het attribuut name van meta, waarde generator (externe link, opent in een nieuw tabblad)
- WordPress.org: Yoast SEO (externe link, opent in een nieuw tabblad)
- WordPress.org: Site Kit by Google (externe link, opent in een nieuw tabblad)
Andere geraadpleegde bronnen: officiële pagina’s van de leveranciers.
