วิธีตรวจสอบว่าเว็บไซต์ใช้ WordPress หรือไม่

ตรวจสอบเบื้องต้นได้โดยเปิดดูซอร์สโค้ดของหน้าเว็บ แล้วค้นหาคำอย่าง wp-content หรือ wp-includes รวมถึงตรวจว่ามีร่องรอยของ WordPress REST API หรือไม่ อย่างไรก็ตาม ไม่ควรสรุปจากสัญญาณเพียงจุดเดียว เพราะเว็บไซต์อาจซ่อนหรือเปลี่ยนร่องรอยเหล่านี้ได้

การตรวจเหล่านี้ใช้สังเกตเทคโนโลยีที่เว็บไซต์อาจใช้ ไม่ได้หมายความว่าจะเข้าถึงระบบหลังบ้านหรือข้อมูลส่วนตัวได้ บทความนี้อธิบายวิธีตรวจจากข้อมูลที่หน้าเว็บไซต์เปิดเผยต่อสาธารณะเท่านั้น

❶ วิธีตรวจสอบเว็บไซต์ใช้ WordPress แบบเร็ว

❶ ตรวจ URL หลังบ้านตามค่าเริ่มต้น

ลองเติม /wp-admin ต่อท้ายโดเมน เช่น example.com/wp-admin เว็บไซต์ WordPress หลายแห่งใช้เส้นทางนี้สำหรับเข้าสู่ระบบ แต่การเปิด URL ดังกล่าวเพียงอย่างเดียวไม่ยืนยันว่าเว็บใช้ WordPress เพราะเจ้าของเว็บอาจเปลี่ยนเส้นทาง ซ่อนหน้าเข้าสู่ระบบ หรือใช้ระบบอื่นได้

หากพบหน้าเข้าสู่ระบบ อย่าทดลองเดารหัสผ่านหรือพยายามเข้าถึงบัญชี การตรวจสอบควรจำกัดอยู่ที่การสังเกตหน้าเว็บที่เปิดให้เข้าถึงได้ตามปกติ

❷ ค้นหาคำว่า wp-content ในหน้าเว็บ

เปิดหน้าเว็บไซต์ คลิกขวาแล้วเลือกดูซอร์สโค้ด จากนั้นค้นหาคำว่า wp-content หรือ wp-includes ถ้าพบ URL ของรูปภาพ ไฟล์ CSS หรือ JavaScript ที่อยู่ในโฟลเดอร์เหล่านี้ อาจเป็นสัญญาณว่าเว็บไซต์ใช้ WordPress

❸ ตรวจชื่อธีมหรือปลั๊กอินใน URL

บางเว็บไซต์เปิดเผยเส้นทางไฟล์ของธีมหรือปลั๊กอิน เช่น /wp-content/themes/ และ /wp-content/plugins/ การพบเส้นทางดังกล่าวช่วยเพิ่มน้ำหนักให้ข้อสันนิษฐาน แต่ยังไม่ใช่หลักฐานยืนยันในทุกกรณี

❷ วิธีตรวจจากซอร์สโค้ดหน้าเว็บ

❶ เปิดเครื่องมือดูซอร์ส

ใช้เมนูของเบราว์เซอร์เพื่อดูซอร์สโค้ดของหน้าเว็บ หรือใช้คีย์ลัดดู Source ตามระบบปฏิบัติการและเบราว์เซอร์ที่ใช้งาน

❷ ค้นหาร่องรอยที่เกี่ยวข้อง

ใช้คำค้นเหล่านี้ในซอร์สโค้ด:

• wp-content
• wp-includes
• wp-json
• wordpress
• ชื่อธีมหรือปลั๊กอินที่คุ้นเคย

ร่องรอยเหล่านี้อาจปรากฏใน URL ของไฟล์ CSS, JavaScript, รูปภาพ หรือข้อมูลภายในส่วน <head> ของหน้าเว็บ

❸ ตรวจสอบหลายหน้า

อย่าตรวจเฉพาะหน้าแรก เพราะบางเว็บไซต์ใช้ระบบหลายแบบร่วมกัน หรือหน้าแรกมีการซ่อนเส้นทางไฟล์ไว้ ลองตรวจหน้าบทความ หน้าหมวดหมู่ หรือหน้าที่มีรูปแบบต่างจากหน้าแรกเพิ่มเติม

❸ ตรวจ REST API ของ WordPress

WordPress อาจเปิดเผยจุดค้นหา REST API ผ่านลิงก์ในส่วนหัวของหน้าเว็บ หรือเส้นทางมาตรฐาน เช่น /wp-json/ หากเปิดได้และพบข้อมูลในรูปแบบ JSON ก็เป็นสัญญาณหนึ่งที่ช่วยระบุว่าเว็บไซต์อาจทำงานด้วย WordPress

❶ ตรวจจากหน้าเว็บ

ในซอร์สโค้ด ให้ค้นหา api.w.org หรือ wp-json WordPress REST API อาจเพิ่มลิงก์สำหรับค้นพบ API ไว้ในส่วนหัวของหน้าเว็บ

❷ ลองเปิดเส้นทาง API ที่เป็นสาธารณะ

อาจลองเปิดเส้นทาง /wp-json/ บนโดเมนที่ต้องการตรวจ หากเว็บไซต์แสดงผลเป็น JSON หรือข้อความตอบกลับที่เกี่ยวข้องกับ WordPress ก็เป็นเบาะแสประกอบได้

❸ เข้าใจข้อจำกัดของการตรวจ

เว็บไซต์อาจปิดหรือจำกัดการเข้าถึง API ใช้ permalink รูปแบบอื่น หรือมีระบบรักษาความปลอดภัยและแคชอยู่ การเปิดเส้นทางไม่ได้ หรือไม่พบผลลัพธ์ จึงไม่ได้พิสูจน์ว่าเว็บไซต์ไม่ได้ใช้ WordPress

❹ ใช้เครื่องมือตรวจเทคโนโลยีเว็บไซต์

เครื่องมือตรวจเทคโนโลยีบางตัววิเคราะห์ข้อมูลสาธารณะ เช่น ซอร์สโค้ด ส่วนหัว HTTP และไฟล์ที่หน้าเว็บโหลด แล้วแสดงระบบที่คาดว่าเว็บไซต์ใช้

❶ ใช้เป็นข้อมูลประกอบ

ผลลัพธ์จากเครื่องมือเป็นการประเมินจากสัญญาณที่ตรวจพบ ควรใช้ร่วมกับการตรวจซอร์สโค้ดหรือ REST API ไม่ควรถือเป็นข้อสรุปที่ถูกต้องแน่นอน

❷ ระวังเว็บไซต์ที่ปกปิดร่องรอย

เจ้าของเว็บอาจใช้ CDN, reverse proxy, ปลั๊กอินความปลอดภัย หรือการตั้งค่าที่เปลี่ยน URL ของไฟล์ ทำให้เครื่องมือตรวจไม่พบ WordPress ทั้งที่เว็บไซต์ยังใช้ระบบนี้อยู่

❺ สัญญาณใดบ้างที่บอกได้ว่าเว็บอาจใช้ WordPress

สัญญาณต่อไปนี้ช่วยประกอบการประเมินได้ แต่ไม่มีข้อใดรับประกันผลด้วยตัวเอง

• พบไฟล์จาก /wp-content/ หรือ /wp-includes/
• พบลิงก์ REST API ที่เกี่ยวข้องกับ api.w.org
• พบเส้นทาง /wp-json/ ที่แสดงข้อมูล JSON
• พบหน้าเข้าสู่ระบบที่มีรูปแบบหรือข้อความของ WordPress
• พบชื่อธีมหรือปลั๊กอิน WordPress ในซอร์สโค้ด
• เครื่องมือตรวจเทคโนโลยีรายงานว่าเป็น WordPress

ยิ่งพบหลายสัญญาณที่สอดคล้องกัน ก็ยิ่งมีเหตุผลให้เชื่อว่าเว็บไซต์นั้นอาจใช้ WordPress แต่ยังควรใช้ถ้อยคำว่า “น่าจะใช้” หากไม่มีการยืนยันจากเจ้าของเว็บไซต์

❻ ทำไมบางเว็บไซต์ใช้ WordPress แต่ตรวจไม่พบ?

เว็บไซต์อาจปรับแต่งเพื่อซ่อนข้อมูลเวอร์ชัน เปลี่ยนตำแหน่งหน้าเข้าสู่ระบบ หรือเปลี่ยน URL ของไฟล์ธีมและปลั๊กอิน นอกจากนี้ระบบแคช CDN และการตั้งค่าความปลอดภัยอาจทำให้ร่องรอยบางอย่างไม่ปรากฏต่อผู้เข้าชมทั่วไป

อีกกรณีหนึ่งคือเว็บไซต์ใช้ WordPress เป็นระบบหลังบ้าน แต่แสดงผลผ่านระบบส่วนหน้าหรือบริการอื่น ทำให้หน้าเว็บที่เห็นไม่แสดงลักษณะ WordPress แบบที่คุ้นเคย

❼ ข้อควรระวังเมื่อตรวจสอบเว็บไซต์

❶ ตรวจเฉพาะข้อมูลสาธารณะ

การดูซอร์สโค้ดและหน้าเว็บที่เปิดทั่วไปเป็นการตรวจเบื้องต้น หลีกเลี่ยงการสแกนหรือส่งคำขอจำนวนมากไปยังเว็บไซต์ที่ไม่ได้รับอนุญาต

❷ อย่าสรุปจากหน้า wp-admin เพียงอย่างเดียว

เส้นทางนี้อาจถูกเปลี่ยนหรือปิดการเข้าถึง และเว็บไซต์ที่ไม่ใช่ WordPress ก็อาจมี URL ที่คล้ายกันได้

❸ อย่าเปิดเผยข้อมูลที่พบโดยไม่จำเป็น

การพบเวอร์ชันหรือชื่อปลั๊กอินอาจเป็นข้อมูลที่เจ้าของเว็บไม่ได้ตั้งใจเผยแพร่ ควรใช้ผลตรวจเพื่อทำความเข้าใจเทคโนโลยี ไม่ควรนำไปใช้ทดสอบเจาะระบบหรือรบกวนเว็บไซต์

❹ หากต้องการความแน่นอน ให้ตรวจจากเจ้าของเว็บ

วิธีที่ชัดเจนที่สุดคือสอบถามผู้ดูแลเว็บไซต์หรือดูข้อมูลจากเอกสารที่เจ้าของเว็บเผยแพร่ เพราะเทคนิคที่ตรวจจากภายนอกอาจไม่เห็นระบบทั้งหมด

❽ คำถามที่พบบ่อย

เติม /wp-admin แล้วเปิดหน้าเข้าสู่ระบบ แปลว่าใช้ WordPress แน่นอนหรือไม่?

ยังไม่แน่นอน เป็นเพียงสัญญาณหนึ่ง เพราะเว็บไซต์อาจเปลี่ยนเส้นทางเข้าสู่ระบบ หรือระบบอื่นอาจใช้ URL ที่คล้ายกันได้

ไม่พบคำว่า wp-content แปลว่าเว็บไม่ได้ใช้ WordPress หรือไม่?

ไม่จำเป็น เจ้าของเว็บอาจเปลี่ยนเส้นทางไฟล์หรือซ่อนข้อมูลไว้ ควรตรวจหลายสัญญาณประกอบกัน

ตรวจสอบเว็บไซต์คู่แข่งว่าใช้ WordPress ได้ไหม?

ตรวจร่องรอยที่เปิดเผยต่อสาธารณะได้ เช่น ซอร์สโค้ดและข้อมูล REST API แต่ควรจำกัดการตรวจไว้ในระดับปกติและไม่พยายามเข้าถึงระบบหลังบ้าน

มีวิธีตรวจสอบที่แม่นยำที่สุดหรือไม่?

การยืนยันจากเจ้าของเว็บหรือผู้ดูแลระบบแม่นยำที่สุด ส่วนการตรวจจากภายนอกเป็นเพียงการประเมินจากสัญญาณที่เว็บไซต์เปิดเผย

สรุป

วิธีตรวจว่าเว็บไซต์ใช้ WordPress หรือไม่ ทำได้โดยดู URL หลังบ้าน ตรวจซอร์สโค้ด ค้นหาเส้นทาง wp-content และ wp-includes หรือสังเกต REST API ผ่าน wp-json การใช้หลายวิธีร่วมกันช่วยให้ประเมินได้ดีขึ้น แต่ก็ยังไม่มีวิธีภายนอกที่ยืนยันได้ทุกกรณี

หากต้องการตรวจเว็บไซต์ของตนเอง แนวทางจาก ComSiam ช่วยให้เริ่มตรวจจากข้อมูลสาธารณะอย่างเป็นขั้นตอน และควรขอคำยืนยันจากผู้ดูแลเมื่อต้องการผลที่แน่นอน