Detector de complementos de WordPress

Un detector de complementos de WordPress lee una página pública y enumera los complementos que se cargan en ella. Pegas una dirección de sitio y obtienes la carpeta de cada complemento slug, su nombre publicado donde se conoce uno, la versión, aproximadamente cuántos sitios lo ejecutan y las señales que demuestran que estaba allí. Responde a la pregunta que la gente hace sobre un sitio que admiran: qué complemento está haciendo eso. Los temas son una pregunta separada con evidencia separada, por lo que son una herramienta separada: el [detector de temas de WordPress] (/tools/theme-detector) lee la misma página e informa qué la representa.

La detección funciona porque un complemento que hace cualquier cosa en la interfaz tiene que cargar algo desde su propia carpeta. WordPress sirve esos archivos de /wp-content/plugins/<slug>/, por lo que una hoja de estilo, un script, un identificador en línea o una ruta de imagen nombra el complemento que lo posee. Algunos complementos también se anuncian más claramente: una clase de cuerpo, un espacio de nombres REST, una metaetiqueta, un comentario del generador, una cookie. Cada uno de ellos es un hecho sobre la página más que una inferencia, y cuando se puede consultar el catálogo de complementos, el slug coincide con una entrada publicada, por lo que la lista incluye nombres reales, versiones actuales y recuentos de instalación en lugar de carpetas desnudas.

La lista es un piso, no un total, y esta es la parte que omiten la mayoría de las herramientas. Un complemento que solo se ejecuta en wp-admin no carga nada para un visitante. Un complemento que solo se activa en una página de pago es invisible desde la página de inicio. Un complemento de almacenamiento en caché u optimización que fusiona cada script en un archivo combinado borra los nombres de las carpetas de todo lo que fusionó, incluido él mismo. Un host que envía activos a través de una ruta CDN puede ocultarlos todos a la vez. Entonces, el informe dice cuántas carpetas coincidían con una entrada del catálogo y cuántas son solo nombres de carpetas, y enumera lo que no se pudo verificar encima de los resultados en lugar de dejar una lista vacía para que se lea mal como un sitio vacío. Escanear una página interior (una publicación, un producto, un formulario de contacto) muestra de manera confiable más de lo que muestra una página de inicio.

Lo que regresa es un informe que puedes entregar a otra persona. El titular dice cuántos complementos hay en esa página, o claramente que ninguno era visible, o que el sitio no es WordPress en absoluto: tres respuestas diferentes que un solo número borraría. La lista ordena por recuento de instalación, por lo que los nombres reconocibles aparecen primero y las carpetas sin nombre se ubican en la parte inferior, donde pertenecen. Debajo, en qué se basa esto se enumera la evidencia literal: la ruta del activo, la ruta REST, la clase de cuerpo. Copie todo como texto para una auditoría o una propuesta. El escaneo se ejecuta en nuestro servidor, porque un navegador no puede buscar otro sitio directamente; la dirección no se almacena y el sitio ve una solicitud ordinaria en sus registros. Es gratis, no hay registro.