Aby sprawdzić, jakie wtyczki ma strona WordPress, najprościej przeanalizować kod źródłowy i wyszukać ścieżkę /wp-content/plugins/. Nazwa katalogu znajdującego się za plugins/ często wskazuje konkretną wtyczkę. Pomocne są również narzędzia deweloperskie przeglądarki oraz serwisy automatycznie wykrywające technologie stron.
Nie da się jednak w ten sposób uzyskać pewnej i kompletnej listy wszystkich zainstalowanych wtyczek. Brak konkretnego rozszerzenia w kodzie niekoniecznie oznacza błąd narzędzia ani potwierdza, że wtyczka nie jest używana. Część rozszerzeń działa wyłącznie po stronie serwera, a inne uruchamiają swoje zasoby tylko na określonych podstronach, na przykład w formularzu kontaktowym, koszyku WooCommerce, checkoutcie czy panelu konta klienta.
Najpierw sprawdź, czy strona działa na WordPressie
Przed szukaniem wtyczek warto potwierdzić używany CMS.
Otwórz kod źródłowy strony i wyszukaj:
wp-content
lub:
wp-includes
Charakterystyczne adresy mogą wyglądać tak:
/wp-content/themes/nazwa-motywu/
/wp-content/plugins/nazwa-wtyczki/
Jeżeli widzisz takie ścieżki, jest to mocna wskazówka, że witryna korzysta z WordPressa.
Brak tych elementów nie daje jednak stuprocentowej pewności, że WordPress nie jest używany. Struktura adresów może zostać zmieniona, a część zasobów może być dostarczana w inny sposób.
Jak znaleźć wtyczki WordPress w kodzie strony?
Jest to jedna z najprostszych metod, ponieważ nie wymaga dostępu do panelu administratora.
Krok 1. Wyświetl źródło strony
Wejdź na analizowaną witrynę. Kliknij prawym przyciskiem myszy i wybierz funkcję wyświetlania źródła strony.
Następnie otwórz wyszukiwanie tekstu.
Krok 2. Wyszukaj wp-content/plugins
Wpisz:
wp-content/plugins
Możesz znaleźć na przykład adres w formie:
https://domena.pl/wp-content/plugins/nazwa-wtyczki/assets/style.css
Nazwa katalogu po plugins/ często odpowiada nazwie lub identyfikatorowi konkretnego rozszerzenia.
W podobny sposób można znaleźć pliki JavaScript, CSS, fonty, grafiki i inne zasoby ładowane przez wtyczki.
Krok 3. Sprawdź wszystkie wystąpienia
Nie ograniczaj analizy do pierwszego wyniku.
Na jednej podstronie może być ładowanych wiele rozszerzeń. Przejrzyj wszystkie wystąpienia /plugins/ i zapisz nazwy interesujących katalogów.
Pamiętaj jednak, że uzyskana lista pokazuje tylko część tego, co faktycznie może być zainstalowane w WordPressie.
Dlaczego nie widać wszystkich wtyczek?
Przeglądarka otrzymuje tylko te zasoby, które serwer zdecydował się wysłać użytkownikowi.
Jeżeli wtyczka wykonuje zadania wyłącznie po stronie serwera i nie dodaje własnego CSS, JavaScriptu czy innych łatwo rozpoznawalnych elementów do strony, jej identyfikacja z zewnątrz może być niemożliwa.
Dobrym przykładem są niektóre rozszerzenia wykonujące zadania administracyjne, optymalizujące bazę danych, tworzące kopie zapasowe lub realizujące operacje niewidoczne bezpośrednio dla odwiedzającego.
Dlatego znalezienie pięciu wtyczek w kodzie nie oznacza, że WordPress ma zainstalowanych dokładnie pięć rozszerzeń.
Sprawdź różne podstrony WordPressa
To jeden z najważniejszych kroków, jeśli chcesz znaleźć więcej wtyczek.
WordPress może ładować zasoby rozszerzenia tylko tam, gdzie są potrzebne.
Jeżeli wtyczka odpowiada za formularz kontaktowy, jej skrypty mogą pojawić się dopiero na stronie „Kontakt”. Rozszerzenie galerii może być widoczne tylko w realizacjach, a rozwiązanie związane ze sklepem na stronach produktów i podczas składania zamówienia.
Warto sprawdzić między innymi:
- stronę główną,
- wpis blogowy,
- kategorię,
- stronę kontaktową,
- stronę produktu,
- koszyk i checkout.
Nie trzeba przechodzić do żadnych zabezpieczonych obszarów. Do podstawowej analizy wystarczą publicznie dostępne podstrony.
Jak sprawdzić wtyczki przez narzędzia deweloperskie?
Narzędzia deweloperskie dostępne w popularnych przeglądarkach pozwalają obserwować zasoby pobierane podczas działania strony.
Otwórz narzędzia dla programistów, przejdź do zakładki związanej z ruchem sieciowym i odśwież stronę.
Następnie możesz wyszukiwać żądania zawierające:
wp-content/plugins
Metoda jest wygodna szczególnie na rozbudowanych witrynach, których kod HTML zawiera bardzo dużo informacji.
Dodatkową zaletą jest możliwość sprawdzenia, które zasoby są faktycznie pobierane w czasie otwierania konkretnej podstrony.
Czy nazwa katalogu zawsze zdradza nazwę wtyczki?
Nie zawsze, chociaż często jest bardzo pomocna.
Popularne wtyczki zazwyczaj korzystają z charakterystycznych nazw katalogów. W przypadku własnego rozszerzenia programista może jednak zastosować dowolną nazwę.
Możliwe są również sytuacje, w których katalog ma nazwę techniczną różniącą się od nazwy marketingowej produktu.
Dlatego po znalezieniu nieznanego katalogu nie warto od razu zgadywać, do czego służy.
Można przeanalizować nazwy ładowanych plików, kod HTML i funkcje widoczne na danej podstronie. Jeśli nadal brakuje pewności, lepiej pozostawić wynik jako niepotwierdzony.
Czy da się automatycznie wykryć wtyczki WordPress?
Istnieją narzędzia internetowe, które analizują publicznie dostępny kod strony i próbują określić używany CMS, motyw oraz wybrane wtyczki.
Jest to wygodne rozwiązanie, jeśli chcesz szybko sprawdzić witrynę bez ręcznej analizy kodu.
Trzeba jednak pamiętać, że takie narzędzie nie posiada dostępu do panelu administracyjnego ani listy rozszerzeń zapisanej na serwerze.
W praktyce wykonuje podobną analizę publicznych śladów, tylko automatycznie.
Jeśli rozszerzenie nie ujawnia charakterystycznych zasobów, detektor może go nie znaleźć. Brak wtyczki na liście nie jest więc dowodem, że nie jest ona używana.
Czy można rozpoznać WooCommerce jako wtyczkę?
WooCommerce jest wtyczką WordPressa, dlatego w wielu sklepach można znaleźć charakterystyczne ślady związane z tym rozszerzeniem.
Oprócz nazw plików i katalogów wskazówką może być struktura sklepu, jednak nie należy opierać identyfikacji wyłącznie na wyglądzie strony produktu czy koszyka.
Motyw może bardzo mocno zmienić wygląd WooCommerce.
Lepszym potwierdzeniem są konkretne zasoby i elementy kodu związane z rozszerzeniem.
W sklepach warto analizować więcej niż stronę główną. Produkty, kategorie, koszyk, checkout i konto klienta mogą ładować dodatkowe rozszerzenia, których nie znajdziemy na zwykłej podstronie informacyjnej.
Czy można wykryć wtyczkę formularza?
Często jest to możliwe, ponieważ formularze wymagają kodu wyświetlanego w przeglądarce oraz nierzadko dodatkowych skryptów i stylów.
Jeżeli rozszerzenie ładuje pliki ze swojego katalogu, jego nazwa może być widoczna w kodzie strony.
Nie zawsze jednak formularz musi pochodzić z osobnej wtyczki.
Może być elementem motywu, rozwiązaniem napisanym indywidualnie albo formularzem dostarczanym przez zewnętrzną usługę.
Sam wygląd formularza nie wystarcza więc do wiarygodnej identyfikacji.
Dlaczego wykrywanie wtyczek czasami nie działa?
Powodów może być kilka.
Strona może korzystać z mechanizmu cache, CDN lub systemu optymalizującego zasoby. Pliki CSS i JavaScript mogą zostać połączone, zminimalizowane albo udostępnione z innego adresu.
Administrator może również celowo zmienić standardową strukturę WordPressa.
W niektórych przypadkach frontend strony może być oddzielony od samego CMS. WordPress odpowiada wtedy za zarządzanie treścią, ale użytkownik otrzymuje interfejs generowany przez inną aplikację.
W takiej architekturze standardowe szukanie /wp-content/plugins/ może dawać bardzo ograniczone rezultaty.
Czy wykrycie wersji wtyczki jest możliwe?
Czasami w adresie zasobu pojawia się parametr wersji. Nie należy jednak automatycznie uznawać go za pewne potwierdzenie dokładnej wersji zainstalowanego rozszerzenia.
Parametry mogą być zmieniane, usuwane lub wykorzystywane w innym celu.
Jeżeli analizujesz własną witrynę i potrzebujesz dokładnych danych ze względów bezpieczeństwa, najlepszym źródłem jest panel WordPressa, narzędzia administracyjne serwera lub dostęp do plików.
Analiza publicznej strony jest bardziej przydatna do identyfikowania technologii niż do przeprowadzania dokładnego audytu wersji oprogramowania.
Czy duża liczba wtyczek oznacza wolnego WordPressa?
Nie zawsze.
Sama liczba rozszerzeń jest znacznie mniej istotna niż ich jakość i sposób działania.
Jedna źle przygotowana wtyczka może powodować większe obciążenie niż kilka prostych rozszerzeń.
Jeżeli strona działa wolno, nie warto automatycznie usuwać przypadkowych wtyczek. Najpierw należy ustalić, gdzie występuje problem.
Może on dotyczyć tylko wyszukiwarki, filtrowania produktów, panelu administracyjnego, koszyka albo checkoutu. Przyczyną może być konkretne zapytanie do bazy, zewnętrzne API lub konflikt rozszerzeń.
Przed wyłączaniem wtyczek na aktywnej stronie warto wykonać kopię zapasową, a ryzykowne testy najlepiej przeprowadzać w środowisku testowym.
Jak sprawdzić wtyczki na własnej stronie?
Jeżeli masz dostęp administratora do WordPressa, nie musisz analizować kodu źródłowego.
W panelu znajdziesz sekcję dotyczącą zainstalowanych wtyczek, gdzie można zobaczyć rozszerzenia i ich stan.
To znacznie pewniejsza metoda niż zewnętrzne skanowanie witryny.
Warto przy okazji sprawdzić, czy wszystkie aktywne rozszerzenia są rzeczywiście potrzebne. Nieużywane dodatki najlepiej ocenić pod kątem dalszej przydatności i bezpieczeństwa, zamiast pozostawiać je bez kontroli przez wiele lat.
Jak najskuteczniej sprawdzić wtyczki obcej strony?
Zacznij od źródła strony i wyszukaj /wp-content/plugins/. Następnie powtórz analizę na kilku różnych typach podstron. Jeśli potrzebujesz więcej informacji, użyj narzędzi deweloperskich i porównaj wyniki z automatycznym detektorem technologii.
Nie próbuj na tej podstawie tworzyć kompletnej listy wszystkich rozszerzeń.
Odpowiedź na pytanie jak sprawdzić, jakie wtyczki ma strona WordPress dotyczy przede wszystkim wykrywania publicznie widocznych komponentów. Część dodatków można rozpoznać w kilka sekund, inne nie pozostawiają śladów dostępnych dla zwykłego użytkownika. Najbardziej wiarygodne rezultaty daje więc połączenie analizy kodu, zasobów sieciowych i kilku różnych podstron, przy jednoczesnym zaakceptowaniu, że pełną listę wtyczek można uzyskać dopiero mając odpowiedni dostęp do samego WordPressa.