Popularne narzędzia

Motyw

Detektor CMS: sprawdź, na czym stoi strona

Na jakim silniku jest ta strona? Zobacz platformę, motyw, wtyczki i cały stos technologii dowolnej strony, każdy element z wierszem kodu, który go potwierdza.

7600+ technologii · nagłówki, HTML i DNS strony · prawdziwa przeglądarka na żądanie
7660 technologii

Domena lub pełny URL ze ścieżką. Nigdy nie publikujemy stron, które sprawdzasz.

Wypróbuj
Co czytamyDNS · nagłówki · HTML · przeglądarka
SzukamyPlatforma 1773Wtyczki 600Kod 718Marketing 2293Sklep 659Czat 341Media 467Serwer 212Sieć 465Inne 132
DNSNS · MX · TXT
Nagłówkiserwer · ciasteczka · linki
<head>meta · skrypty · style
<body>kod · skrypty · komentarze
PrzeglądarkaJS · żądania

Każda znaleziona technologia jest przypięta tam, gdzie leży jej dowód: w rekordzie DNS, w nagłówku odpowiedzi, w wierszu strony albo w tym, co załadowała prawdziwa przeglądarka.

Wynik detektora CMS: techcrunch.com działa na WordPressie, widać motyw, wtyczki i miejsce każdego dowodu na stronieWynik detektora CMS: techcrunch.com działa na WordPressie, widać motyw, wtyczki i miejsce każdego dowodu na stronieDowolna stronaDomena lub pełny URL ze ścieżką: strona jest czytana na żywo, nigdy ze starego indeksu.OdpowiedźPlatforma, jej wersja (dla WordPressa porównana z najnowszym wydaniem) i motyw.Gdzie to znaleźliśmyKażda technologia przypięta tam, gdzie leży jej dowód: DNS, nagłówek, wiersz strony, przeglądarka.DowódWybrany sygnał dokładnie w takiej postaci, w jakiej wysłała go strona: wiersz nagłówka, znacznik lub ścieżka pliku; przejrzyj wszystkie po kolei strzałkami ‹ ›.
Wynik: platforma i jej wersja, motyw oraz pasek, który przypina każdą technologię tam, gdzie leży jej dowód. Wybierz numer, aby zobaczyć, co pokazuje każda część.

Jak detektor CMS sprawdza, na czym stoi strona?

Pobiera stronę jeden raz, przedstawiając się własną nazwą, a potem szuka śladów, które zostawia każda platforma: w nagłówkach odpowiedzi, w ciasteczkach, w kodzie HTML i w ścieżkach plików.

Niektóre ślady ustawia sama platforma i trudno je podrobić lub usunąć: WordPress ogłasza swoje REST API w nagłówku Link, Shopify ustawia ciasteczko _shopify_essential. Inne są zapisane w samej stronie i można je usunąć lub skopiować: znacznik generator, nazwa klasy, komentarz.

Dlatego ślad, który każdy może skopiować, to wskazówka, a dwa niezależne ślady albo jeden, który ustawia tylko sama platforma, to dowód. Każda odpowiedź powyżej pokazuje ślady, na których się opiera, przytoczone dokładnie tak, jak je znaleźliśmy, i to, jak bardzo jesteśmy pewni: Potwierdzone, Prawdopodobne lub Możliwe.

Oprócz strony odczytujemy rekordy DNS domeny, a na stronie z WordPressem najwyżej dwa dodatkowe pliki z tego samego hosta: style.css motywu i indeks /wp-json/, na który wskazuje strona. Prawdziwa przeglądarka włącza się tylko wtedy, gdy o to poprosisz.

Jedna odpowiedź, osiem śladów · nalgene.com, 24 października 2026
  1. HTTP/2 200 · 23 nagłówki
  2. 1wiersz 3server: cloudflare
  3. 2wiersz 7link: <https://nalgene.com/wp-json/>; rel="https://api.w.org/"
  4. 3wiersz 8link: <https://nalgene.com/wp-json/wp/v2/pages/87>; rel="alternate"; title="JSON"; type="application/json"
  5. 4wiersz 15set-cookie: __cf_bm=BZFgzmA1kpRQ…; HttpOnly; Secure
  6. HTML · 464 KB
  7. 5bajt 1085<!-- This site is optimized with the Yoast SEO Premium plugin v28.0 (Yoast SEO v28.6) -->
  8. 6bajt 8283<link rel='stylesheet' href='…/wp-content/themes/nalgene-twentytwenty/style.css?ver=9260242'>
  9. 7bajt 52 255<meta name="generator" content="WP Rocket 3.23.5.1">
  10. 8bajt 432 563<script src="…/wp-includes/js/wp-util.min.js?ver=7.1.3"></script>
  1. 1NagłówekStronę serwuje CloudflarePotwierdzone
  2. 2NagłówekREST API WordPressa: ustawia je sam WordPressPotwierdzone
  3. 3NagłówekWłasny adres REST strony: znowu rdzeń WordPressaPotwierdzone
  4. 4CiasteczkoCloudflare Bot ManagementPotwierdzone
  5. 5KomentarzYoast SEO i jego wersjaPrawdopodobne
  6. 6Ścieżka plikuFolder motywu, a potem nagłówek jego style.cssPotwierdzone
  7. 7GeneratorWP Rocket: sam się deklaruje, łatwo go usunąćPrawdopodobne
  8. 8?ver=WordPress 7.1.3 na własnym skrypcie rdzeniaPrawdopodobne
Cztery z 23 nagłówków odpowiedzi nalgene.com i cztery wiersze jej strony o rozmiarze 464 KB. Brakuje znacznika generator WordPressa (można go wyłączyć), a mimo to nagłówek REST, ścieżki plików i wersja przy skryptach rdzenia nadal wskazują WordPress 7.1.3.

Na jakim silniku jest strona: CMS, kreator stron, headless CMS czy framework?

Wszystkie służą do budowania stron, ale tylko niektóre zostawiają w stronie swoją nazwę. To, gdzie przechowywana jest treść, decyduje o tym, co może zobaczyć detektor.

Klasyczny CMS, taki jak WordPress, przechowuje treść i sam generuje każdą stronę, więc jego ślady są wszędzie. Kreator stron, taki jak Wix, dodatkowo hostuje stronę, więc zdradzają go hosty, z których ładują się jego pliki.

Headless CMS, taki jak Contentful, tylko przechowuje treść; stronę renderuje osobny front-end, często Next.js, więc widać najwyżej host obrazów tego CMS-a. Generator stron statycznych, taki jak Hugo, z wyprzedzeniem buduje zwykły HTML i zostawia najwyżej znacznik generator na stronie głównej.

Gdzie jest treść i co trafia na stronę
Klasyczny CMSWordPress
  1. Treść + motyw
  2. renderuje WordPress
  3. na własnym serwerze
  4. Strona

Co pokazuje strona

/wp-content/rel="https://api.w.org/"<meta name="generator">

Wynik detektoraWordPressPotwierdzone

Kreator stronWix
  1. Treść
  2. renderuje Wix
  3. hostuje Wix
  4. Strona

Co pokazuje strona

static.wixstatic.com/mediax-wix-request-idserver: Pepyaka

Wynik detektoraWixPotwierdzone

Headless CMSContentful + Next.js
  1. Treść w Contentful
  2. pobierana przez API
  3. renderuje Next.js
  4. Strona

Co pokazuje strona

/_next/static/images.ctfassets.net

Wynik detektoraBrak CMS-a w stronieMożliwe

Generator stron statycznychHugo
  1. Pliki Markdown
  2. raz zbudowane do HTML
  3. serwowane jako zwykłe pliki
  4. Strona

Co pokazuje strona

<meta name="generator" content="Hugo …">tylko strona główna

Wynik detektoraHugoPrawdopodobne

Co każdy rodzaj systemu zostawia w HTML, który dostaje odwiedzający. W3Techs w swoim badaniu liczy wszystkie cztery jako CMS-y; detektor może nazwać tylko te, które zostawiają ślad.

Jak sprawdzić motyw WordPress i wtyczki na stronie?

Odczytaj nazwy folderów w ścieżkach plików strony. Detektor motywów WordPress bierze folder motywu z /wp-content/themes/<name>/, a potem otwiera style.css tego motywu. Jego nagłówek podaje nazwę motywu, autora, wersję, a w przypadku motywu potomnego także motyw nadrzędny.

Nagłówek to dowód osobisty motywu, opisany w podręczniku motywów WordPress. Motyw potomny dodaje Template: z folderem motywu nadrzędnego, więc jedna strona może pokazać dwa motywy: nalgene.com działa na własnym motywie Nalgene Twenty Twenty opartym na Genesis 3.5.0.

Wtyczki widać tak samo, jako foldery /wp-content/plugins/<name>/, często z numerem ?ver=. Ten numer jest wersją wtyczki tylko wtedy, gdy pasuje do wydania: skrypty WooCommerce na nalgene.com mają 11.2.1, czyli Stable tag z pliku readme wtyczki na WordPress.org, a plik innej wtyczki ma znacznik czasu.

Widać tylko wtyczki, które coś umieszczają w stronie. Kopie zapasowe, narzędzia bezpieczeństwa czy formularz na stronie kontaktowej nie zostawiają niczego w HTML strony głównej, więc żaden detektor nie wymieni wszystkich wtyczek strony.

Para motywów i 15 folderów wtyczek · nalgene.com, 24 października 2026

Motyw

W stronie

/wp-content/themes/nalgene-twentytwenty/style.css?ver=9260242/wp-content/themes/genesis/lib/js/skip-links.min.js?ver=3.5.0class="… wp-child-theme-nalgene-twentytwenty …"

Motyw potomnyNalgene Twenty Twenty

  1. /wp-content/themes/nalgene-twentytwenty/style.css
  2. Theme Name: Nalgene Twenty TwentyNazwa
  3. Author: Scout DigitalAutor
  4. Version: 9260242Wersja · numer kompilacji
  5. Template: genesisFolder nadrzędny
/wp-content/themes/genesis/style.css

Motyw nadrzędnyGenesis 3.5.0 · StudioPress

  1. Theme Name: GenesisNazwa
  2. Author: StudioPressAutor
  3. Version: 3.5.0Wersja

Wtyczki

  • /plugins/woocommerce/?ver=11.2.1

    WooCommerce 11.2.1: Stable tag z pliku readme wtyczki na WordPress.org

  • /plugins/woocommerce/…/jquery-blockui/?ver=2.7.0-wc.11.2.1

    Biblioteka dołączona do WooCommerce (jQuery BlockUI 2.7.0), oznaczona wersją WooCommerce

  • /plugins/elasticpress/?ver=1792138636

    Znacznik czasu (16 października 2026), a nie wersja ElasticPress

  • + 13 kolejnych folderów wtyczekinstagram-feed-prowoo-discount-ruleswoo-discount-rules-prowoo-variation-swatcheswoocommerce-back-in-stock-notificationswp-rocketsimple-cloudflare-turnstilekount-fraud-preventiondatalayer-for-woocommerceaddify-advanced-split-ordernalgene-customizervital-theme-modificationsvital-message-bar-master

Wtyczki, które nic nie umieszczają w stronie: niewidoczne dla każdego detektora

style.css motywu potomnego podaje Genesis jako motyw nadrzędny (Template: genesis), a nagłówek samego Genesis podaje jego wersję, 3.5.0. Z trzech wartości ?ver= jedna jest wersją wtyczki, jedna wersją dołączonej biblioteki, a jedna znacznikiem czasu.

Jak sprawdzić, jakiego motywu Shopify używa sklep?

Wyszukaj w źródle strony Shopify.theme. Każdy sprawdzony przez nas sklep na Shopify wypisuje ten obiekt, a detektor motywów Shopify go odczytuje: nazwę motywu w tym sklepie, motyw, na którym jest zbudowany, wraz z jego wersją, numer w Theme Store i to, czy jest to motyw opublikowany.

Nazwa to to, jak sprzedawca nazwał swoją kopię, więc może niewiele mówić: sklep muzeum LACMA nazywa swój motyw „Updated copy of Kingdom”. schema_name i schema_version podają motyw bazowy, Kingdom 4.3.1, a theme_store_id to jego numer w Theme Store Shopify.

Duże marki często mają własny motyw: motyw allbirds.com jest zbudowany na allbirds-theme 1.231.12, bez numeru w Theme Store. Samą platformę potwierdzają inne ślady Shopify, np. nagłówek powered-by: Shopify i ciasteczko _shopify_essential.

Shopify.theme rozłożony na części · allbirds.com, 24 października 2026
  1. Shopify.theme = {
  2. 1"name": "[DNAM Theme July 2026]",
  3. 2"id": 130450260048,
  4. 3"schema_name": "allbirds-theme",
  5. "schema_version": "1.231.12",
  6. 4"theme_store_id": null,
  7. 5"role": "main"
  8. }
  1. 1Nazwa, którą sprzedawca nadał tej kopii motywu
  2. 2ID motywu w tym sklepie
  3. 3Motyw, na którym jest zbudowany, i wersja tego motywu
  4. 4Jego numer w Theme Store Shopify: tu brak
  5. 5main: opublikowany motyw, który widzą klienci

Trzy sklepy, trzy rodzaje motywów

SklepNazwa w sklepieZbudowany naTheme Store
allbirds.comWłasny motyw[DNAM Theme July 2026]allbirds-theme 1.231.12brak
theme-dawn-demo.myshopify.comSklep demo ShopifyDawnDawn 15.0.0#887
thelacmastore.orgSklep muzealnyUpdated copy of KingdomKingdom 4.3.1#725
Shopify nie dokumentuje obiektu Shopify.theme, więc odczytujemy go tak, jak wygląda w tych sklepach (demo Dawn ma Dawn 15.0.0, numer w Theme Store 887). Wartości role pochodzą od Shopify: main to opublikowany motyw.

Dlaczego detektor CMS pokazuje „nie znaleziono”?

Zwykle dlatego, że odczytana strona nie ma śladów CMS-a, a nie dlatego, że CMS-a nie ma. Większość przypadków sprowadza się do czterech.

Nazywamy przypadek, gdy go widzimy: weryfikacja botów zamiast strony, framework bez śladów CMS-a, ślady wyłączone przez właściciela strony albo podstrona, na której działa inny system niż na reszcie witryny.

A czasem CMS-a naprawdę nie ma: W3Techs nie znajduje znanego sobie CMS-a na 32,1% stron, więc detektor, który nic nie znajduje mniej więcej na co trzeciej stronie, działa normalnie.

Cztery prawdziwe powody, zaobserwowane 23–24 października 2026
Zablokowane przez ochronę przed botami

drupal.org

3 KB · to nie strona

Fastly odpowiedział 3-kilobajtową stroną „Client Challenge” zamiast strony: nie ma kodu Drupala do odczytania. Piszemy „zablokowane” i proponujemy skan w przeglądarce.

Front-end bez śladów CMS-a

openai.com

framework · CMS: Możliwe

Next.js na Vercel. Teksty mogą pochodzić z headless CMS-a; wskazuje na to tylko host obrazów Contentful, więc zostaje „Możliwe”.

Ślady wyłączone

nalgene.com

generator usunięty · nadal Potwierdzone

Brak znacznika generator WordPressa, a jednak nagłówek REST Link, ścieżki /wp-content/ i ?ver=7.1.3 nadal wskazują WordPress. Ukrycie wszystkich śladów rzadko się udaje.

Inny system na innej podstronie

ghost.org

/ = Hugo · /blog/ = Ghost

Strona główna ghost.org jest zbudowana w Hugo, a jej /blog/ działa na Ghost 6.73. Sprawdzamy jeden URL: wklej stronę, o którą ci chodzi, także sekcję sklepu lub bloga.

Pasek na każdej karcie to ten sam rodzaj odczytu co w narzędziu, w miniaturze: gdzie były ślady i czego brakowało.

Co znajduje skan w przeglądarce, czego nie widzi zwykłe sprawdzenie?

Wszystko, co przychodzi po HTML: tagi dodawane przez menedżera tagów, piksele analityczne i reklamowe, czaty i narzędzia do zgód oraz skrypty, które istnieją dopiero po uruchomieniu JavaScriptu. Na allbirds.com prawdziwy Chrome znalazł 15 technologii, których nie wykazał odczyt HTML strony.

Zwykłe sprawdzenie czyta to, co wysyła serwer. Jest szybkie i pokazuje platformę, motyw i większość stosu technologicznego. Skan w przeglądarce ładuje stronę w Chrome na kilka sekund, pozwala działać jej skryptom i odczytuje to, co one ładują.

W naszym teście pięciu stron przeglądarka ani razu nie zgubiła technologii znalezionej przy odczycie z serwera i dodała od 2 (Wikipedia) do 27 (TechCrunch). Najwięcej zyskują strony działające przez menedżera tagów; zwykła strona wiki prawie się nie zmienia.

Odczyt z serwera i prawdziwa przeglądarka · pięć stron, 24 października 2026
  • allbirds.com10+15389 żądań · 8,1 s
  • bbc.com14+19201 żądań · 6,3 s
  • nextjs.org6+883 żądania · 3,6 s
  • techcrunch.com17+27237 żądań · 6,8 s
  • wikipedia.org7+240 żądań · 3,8 s
  • W HTML
  • Tylko w przeglądarce

Znalezione tylko w przeglądarce na allbirds.com

Analityka i marketing

  • Google Analytics
  • Facebook Pixel
  • Microsoft Clarity
  • OneTrust
  • Attentive
  • Impact
  • DoubleClick Floodlight

Frameworki i biblioteki

  • Vue.js
  • GSAP
  • Framer Motion
  • core-js
  • Datadog
  • Goober

Czcionki

  • Google Font API

E-commerce

  • Shop Pay
Jedno wczytanie każdej strony w Chrome z Indii (wczytanie plus 3 sekundy), dopasowane według tych samych reguł co HTML; liczby zmieniają się zależnie od banerów zgód, regionu i pory dnia. Niektóre znaleziska widoczne tylko w przeglądarce zostawiają ślad, który pełniejsza reguła mogłaby odczytać: skrypt preload Shop Pay jest w HTML allbirds.com.

Czy strona może ukryć swój CMS?

Częściowo. W samodzielnie hostowanym CMS-ie właściciel może wyłączyć znacznik generator i zmienić nazwę jednej czy dwóch ścieżek, ale platforma nadal kształtuje stronę; platformy hostowane, takie jak Shopify i Wix, w ogóle nie mogą ukryć swoich śladów.

Ukrycie rzadko jest pełne. Popularny fragment kodu dla WordPressa usuwa znacznik generator ze strony, ale nie z kanału RSS, po zmianie nazwy /wp-json/ zostaje link rel="https://api.w.org/", a po przeniesieniu wp-content w stronie i tak widać folder /themes/ i numery ?ver=.

Dlatego „nie znaleziono” nigdy nie znaczy „brak CMS-a”: strona bez widocznych śladów może działać na dowolnym z nich. Gdy strona dobrze się ukrywa, nasza odpowiedź spada do Prawdopodobne lub Możliwe i pokazuje ślady, które zostały.

Wyłącz i zobacz, co nadal widać
  • Znacznik generator WordPressa<meta name="generator" content="WordPress 7.1.3">Wyłączany przezremove_action( 'wp_head', 'wp_generator' )Co nadal widaćWiersz generator w kanale RSS<generator>https://wordpress.org/?v=7.1.3</generator>
  • Ścieżka REST WordPressa/wp-json/Wyłączany przezadd_filter( 'rest_url_prefix', … )Co nadal widaćRelacja linkurel="https://api.w.org/"
  • Folder wp-content/wp-content/Wyłączany przezWP_CONTENT_DIR · WP_CONTENT_URLCo nadal widaćFolder themes w środku i numery ?ver=…/themes/<name>/?ver=
  • Nagłówek Next.jsx-powered-by: Next.jsWyłączany przezpoweredByHeader: falseCo nadal widaćJego ścieżki plików/_next/static/
  • Znacznik generator Hugo<meta name="generator" content="Hugo …">Wyłączany przezdisableHugoGeneratorInject = trueCo nadal widaćNic: na stronie statycznej nie działa żaden CMS
  • Wersja Joomli<meta name="generator" content="Joomla! …">Wyłączany przezMetaVersionDomyślnie wyłączoneCo nadal widaćZnacznik generator, bez wersjiJoomla! - Open Source Content Management
  • Shopify{{ content_for_header }}Wyłączany przezNie da się wyłączyćCo nadal widaćJego skrypty i ciasteczka na każdej stronie_shopify_essentialpowered-by: Shopify
  • Wixstatic.wixstatic.com/mediaWyłączany przezNie da się wyłączyćCo nadal widaćJego host multimediówstatic.wixstatic.com/media
Każdy przełącznik to własne ustawienie platformy, z jej dokumentacji lub kodu źródłowego. Samodzielnie hostowane systemy mogą zamilknąć; platformy hostowane wymagają własnych skryptów i hostów plików.

Dlaczego widoczna wersja CMS-a ma znaczenie?

Bo stare wersje mają luki, które są już publicznie znane. Sam przewodnik WordPress po zabezpieczaniu mówi, że starsze wersje nie dostają aktualizacji bezpieczeństwa i że gdy wychodzi poprawka, sposób wykorzystania luki jest niemal na pewno publiczny.

Sam numer wersji nie dowodzi jednak, że strona jest zagrożona. Oficjalnie wspierany jest tylko WordPress 7.1, a mimo to 6 października 2026 r. WordPress wydał nową wersję w każdej gałęzi aż do 4.7, więc strona na 6.9.10 ma najnowsze wydanie swojej gałęzi.

Dlatego pokazujemy wersję, którą zawiera strona, oznaczamy ją jako „najnowsza” tylko wtedy, gdy zgadza się z najnowszym wydaniem na WordPress.org, i nigdy nie nazywamy strony podatną. Drupal pokazuje tylko wersję główną, ale to wystarczy, by wypatrzyć starą: Drupal 7 stracił wsparcie bezpieczeństwa 5 stycznia 2025 r.

Najnowsze wydanie każdej gałęzi WordPressa · stan na 24 października 2026
Udział wśród stron na WordPressie (W3Techs)
  • Wersja 7
    • 7.1.3 najnowsza · jedyna wspierana gałąź
    • 7.0.7
    66,9%
  • Wersja 6
    • 6.9.10
    • 6.8.11
    • 6.7.10
    • 6.6.10
    • 6.5.13
    • 6.4.13
    • 6.3.13
    • 6.2.14
    • 6.1.15
    • 6.0.17
    26,3%
  • Wersja 5
    • 5.9.19
    • 5.8.18
    • 5.7.20
    • 5.6.22
    • 5.5.23
    • 5.4.24
    • 5.3.26
    • 5.2.29
    • 5.1.27
    • 5.0.30
    4,7%
  • Wersja 4
    • 4.9.34
    • 4.8.33
    • 4.7.38
    • 4.6.30
    • 4.5.33
    • 4.4.34
    • 4.3.35
    • 4.2.39
    • 4.1.42
    • 4.0.38
    2,0%
  • Wersja 3
    • 3.9.40
    • 3.8.41
    • 3.7.41
    • 3.6 i starsze
    0,2%
  • Wydane 6 października 2026
  • Ostatnie wydanie: lipiec 2025
  • Ostatnie wydanie: 30 listopada 2022
  • Brak wydań od 2013 roku
Każda gałąź od 4.7 do 7.1 dostała wydanie 6 października 2026 r., starsze jako grzecznościowe backporty; oficjalnie utrzymywana jest tylko 7.1. Obok każdej wersji głównej: jej udział wśród stron na WordPressie, których wersję widzi W3Techs (23 października 2026 r.).

Czy to narzędzie do sprawdzania podatności strony?

Pasywne. Dla każdej dokładnej wersji, którą strona pokazuje w nagłówkach, w kodzie lub w skanie w przeglądarce, wymienia opublikowane biuletyny bezpieczeństwa, które jej dotyczą, w tym CVE, z OSV.dev lub, w przypadku biblioteki JavaScript rozpoznanej po pliku, z Retire.js; wsparcie linii wydań według endoflife.date; oraz nasze własne komunikaty, np. o PHP2Shell. Nigdy nie wysyła żądań sondujących ani atakujących.

Numer wersji ma swoje ograniczenia. Pakiet z dystrybucji Linuksa może zawierać przeniesione poprawki (backporty) pod starym numerem, biuletyn może dotyczyć funkcji, z której strona nie korzysta, a wiele stron ukrywa swoje wersje. Dlatego odpowiedź podaje fakty o wersji („Next.js 14.1.0 dotyczy 36 opublikowanych biuletynów bezpieczeństwa”) i nigdy nie twierdzi, że strona jest podatna.

Za Cloudflare nagłówek Server brzmi „cloudflare”, więc wersja samego serwera WWW jest niewidoczna, ale pozostałe nagłówki strony przechodzą: wersja PHP w X-Powered-By nadal jest widoczna. Żeby porządnie przetestować własną stronę, użyj skanera podatności, który masz prawo na niej uruchomić.

Od wersji do trzech odpowiedzi · trzy prawdziwe przypadki, 24 października 2026

  1. 1Serwer deweloperski aplikacji Flaskflask-app.example

    Co wysyła stronaServer: Werkzeug/2.0.1 Python/3.8.10

    Werkzeug2.0.1Opublikowane biuletyny · OSV.dev11 biuletynów2 wysokieWsparcie · endoflife.date–brak w tym źródleNasz komunikat–brak w tym źródle
    Python3.8.10Opublikowane biuletyny · OSV.dev–brak w tym źródleWsparcie · endoflife.dateZakończone 7 paź 2024Nasz komunikat–brak w tym źródle

  2. 2PHP za Cloudflareshop.example

    Co wysyła stronaServer: cloudflareWersja serwera WWW: ukryta przez CloudflareX-Powered-By: PHP/7.4.33

    PHP7.4.33Opublikowane biuletyny · OSV.dev–brak w tym źródleWsparcie · endoflife.dateZakończone 28 lis 2022Nasz komunikatPotencjalnie podatnyPHP2Shell · brak poprawionego wydania od projektu PHP dla 7.4

  3. 3Next.js wykryty w skanie w przeglądarceapp.examplewykryte w skanie w przeglądarce

    Co wysyła stronawindow.next.version → "14.1.0"

    Next.js14.1.0Opublikowane biuletyny · OSV.dev36 biuletynów4 krytyczneWsparcie · endoflife.dateZakończone 26 paź 2025najnowsza 14.2.35Nasz komunikat–brak w tym źródle
Każda wersja w takiej postaci, w jakiej pokazuje ją nagłówek, strona lub skan w przeglądarce, sprawdzona w źródłach w dniu sprawdzenia: biuletyny OSV.dev (luka wymieniona w dwóch bazach liczy się raz), daty wsparcia z endoflife.date i nasze własne komunikaty. Kreska oznacza, że to źródło nie obejmuje danego produktu. Hosty są zmyślone; wzorce i odpowiedzi są prawdziwe.

Jak wypada w porównaniu z BuiltWith, Wappalyzer i WhatCMS?

BuiltWith odpowiada z własnego indeksu sieci, Wappalyzer podaje wyniki zweryfikowane w ciągu ostatnich 30 dni albo odczyt na żywo, który kosztuje pięć sprawdzeń, a WhatCMS czyta stronę na żywo, ale pokazuje ostatnie sprawdzenia na swojej stronie głównej. Jako narzędzie do sprawdzania CMS-a i technologii strony ten detektor czyta podaną przez ciebie stronę teraz i pokazuje wiersz, na którym opiera się każda odpowiedź.

Indeks przydaje się do historii: API BuiltWith podaje, kiedy ostatnio zaindeksowało domenę. Odczyt na żywo pokazuje dokładnie wklejoną stronę w obecnej postaci, łącznie z podfolderem sklepu czy bloga.

Darmowe korzystanie też wygląda inaczej: Wappalyzer wymaga konta do 50 sprawdzeń miesięcznie, sprawdzenia pojedynczych stron w BuiltWith są darmowe, a darmowy plan API WhatCMS daje 500 wykryć miesięcznie, z prywatnymi sprawdzeniami od 40 USD miesięcznie. Ta strona nie wymaga konta i niczego nie publikuje.

Cztery sposoby na odpowiedź „na czym stoi ta strona?” · 24 października 2026

DNS RobotTa strona

Skąd odpowiedź
Wklejona strona, odczytana teraz, z wierszem, na którym opiera się każda odpowiedź
Za darmo
Bez konta; nic nie jest publikowane
Warto wiedzieć
Skan w prawdziwej przeglądarce na żądanie

BuiltWith

Skąd odpowiedź
Własny indeks sieci, zbierany jak przez wyszukiwarkę
Za darmo
Sprawdzenia pojedynczych stron
Warto wiedzieć
Jego API podaje, kiedy ostatnio zaindeksowało domenę

Wappalyzer

Skąd odpowiedź
Wyniki zweryfikowane w ciągu 30 dni albo odczyt na żywo
Za darmo
50 sprawdzeń miesięcznie z kontem
Warto wiedzieć
Wynik na żywo liczy się jako 5 sprawdzeń

WhatCMS

Skąd odpowiedź
Strona pobierana, gdy pytasz
Za darmo
API: 500 wykryć miesięcznie
Warto wiedzieć
Pokazuje ostatnie sprawdzenia na stronie głównej; prywatne od 40 USD miesięcznie
Na podstawie stron każdego z narzędzi z 24 października 2026 r. Plany się zmieniają; sprawdź je, zanim wybierzesz.

Detektor CMS: pytania i odpowiedzi

Jak sprawdzić, na czym stoi strona i jaki to CMS?

Wklej adres strony do detektora CMS powyżej. Odczyta nagłówki, ciasteczka i HTML strony oraz rekordy DNS domeny, a potem poda platformę wraz z wierszem kodu, który to potwierdza, i tym, jak bardzo jesteśmy pewni. Możesz też sprawdzić sam: otwórz źródło strony i wyszukaj generator, wp-content, Shopify.theme lub wixstatic.

Czy da się sprawdzić motyw WordPress na stronie?

Tak, jeśli strona ładuje plik z folderu motywu. Bierzemy nazwę folderu z /wp-content/themes/<name>/ i odczytujemy nagłówek style.css tego motywu: nazwę, autora i wersję. Motyw potomny podaje motyw nadrzędny w wierszu Template:, więc widzisz oba, np. Nalgene Twenty Twenty na Genesis 3.5.0. Jeśli hosting blokuje pliki motywów, zostaje tylko nazwa folderu.

Czy da się sprawdzić, jakiego motywu Shopify używa sklep?

Tak. Sklepy na Shopify wypisują w HTML obiekt Shopify.theme z nazwą motywu w tym sklepie, motywem, na którym jest zbudowany (schema_name), i jego wersją, numerem w Theme Store i rolą. Nazwa może być dowolna, jaką wpisał sprzedawca, np. „Updated copy of Kingdom”, więc pokazujemy też motyw bazowy. Własny motyw marki, jak ten na allbirds.com, nie ma numeru w Theme Store.

Czy znajdzie wszystkie wtyczki, których używa strona na WordPressie?

Żaden detektor tego nie potrafi. Wtyczka jest widoczna tylko wtedy, gdy coś umieszcza w stronie: skrypt lub arkusz stylów w /wp-content/plugins/<name>/, komentarz albo nazwę klasy. Wtyczki działające w kokpicie lub na innych podstronach, np. kopie zapasowe, zabezpieczenia czy formularz na stronie kontaktowej, nie zostawiają śladu na stronie głównej. Sprawdzenie podstrony, na której działa wtyczka, znajdzie więcej.

Dlaczego pokazuje, że strona nie stoi na WordPressie, choć wiem, że stoi?

Zwykle dlatego, że strona, którą dostaliśmy, nie pokazała śladów WordPressa. Ochrona przed botami mogła odpowiedzieć stroną weryfikacji zamiast strony (wtedy piszemy „zablokowane”), właściciel mógł usunąć znacznik generator i przenieść wp-content, albo pod tym adresem działa coś innego: strona główna ghost.org działa na Hugo, a jej blog na Ghost. Sprawdź dokładnie tę podstronę, o którą chodzi, albo spróbuj skanu w przeglądarce.

Czy wykryje CMS strony za Cloudflare?

Zwykle tak. Cloudflare przepuszcza nagłówki i HTML samej strony, więc nagłówek REST WordPressa, jego ścieżki plików i nagłówek X-Powered-By nadal są widoczne; tylko nagłówek Server zmienia się na „cloudflare”, co ukrywa wersję samego serwera WWW. Wyjątkiem jest weryfikacja botów: gdy Cloudflare lub inna zapora odpowiada stroną weryfikacji zamiast strony, informujemy, że sprawdzenie zostało zablokowane, a skan w przeglądarce może przejść.

Dlaczego dwa detektory CMS dają różne odpowiedzi?

Czytają co innego i w innym czasie. BuiltWith odpowiada ze swojego indeksu sieci, a zapisane wyniki Wappalyzer mogą mieć nawet 30 dni, podczas gdy narzędzie działające na żywo czyta stronę teraz. Narzędzia mogą też sprawdzać inną podstronę, stosować inne reguły albo dostać weryfikację botów zamiast strony. Dlatego każda nasza odpowiedź pokazuje wiersz, na którym się opiera.

Jak dokładny jest ten detektor CMS?

Każda odpowiedź ma swoje dowody i jedną z trzech etykiet. Potwierdzone oznacza dwa niezależne sygnały albo jeden, który tworzy tylko ta platforma, np. jej własny nagłówek, ciasteczko lub ścieżka pliku. Prawdopodobne oznacza jeden sygnał, który każdy mógłby skopiować lub usunąć, np. znacznik generator. Możliwe oznacza pośrednią wskazówkę, np. host obrazów. Zablokowana lub pusta strona jest zgłaszana jako taka, nigdy jako „brak CMS-a”.

Dlaczego brakuje wersji CMS-a?

Wiele platform jej nie wypisuje. Joomla domyślnie ukrywa wersję, nagłówek Drupala podaje tylko wersję główną, a Ghost tylko główną i podrzędną. WordPress wypisuje dokładną wersję, chyba że właściciel ją usunie, a adresy jego plików często i tak mają ją w ?ver=. Pokazujemy tylko wersję, którą naprawdę zawiera sygnał na stronie, i mówimy, gdzie ją znaleźliśmy.

Czy sprawdzi stronę pod kątem znanych podatności (CVE)?

Tak, pasywnie, dla wersji, które strona pokazuje. Gdy nagłówek, strona lub skan w przeglądarce podaje dokładną wersję, np. Next.js 14.1.0, wymieniamy dotyczące jej biuletyny z OSV.dev (lub z Retire.js w przypadku biblioteki JavaScript rozpoznanej po pliku), informację, czy jej linia wydań jest nadal wspierana (endoflife.date), i nasze własne komunikaty, np. o PHP2Shell. Nie wysyłamy żądań sondujących ani nie nazywamy strony podatną: backportu poprawki nie widać w numerze wersji.

Czy sprawdzi, czy strona jest narażona na PHP2Shell?

Tylko na podstawie wersji PHP, którą strona podaje. Jeśli nagłówek X-Powered-By lub Server strony wskazuje PHP, porównujemy ją z poprawkami php.net z 21 października 2026 r. (8.5.12, 8.4.27, 8.3.36 i 8.2.35), tak jak robi to php2shell-checker od OpenAI: starsze wydanie w tych gałęziach lub dowolne PHP od 5.4 do 8.1 jest „potencjalnie podatne”. Pakiet z dystrybucji może zawierać backport poprawki, a strony, która ukrywa wersję PHP, nie da się tak sprawdzić.

Czy przechowujecie lub publikujecie strony, które sprawdzam?

Nigdy ich nie publikujemy: nie ma publicznej listy ostatnich sprawdzeń. Wynik przechowujemy przez krótki czas, żeby ponowne sprawdzenie tej samej strony było natychmiastowe, a potem znika. Sprawdzana strona widzi żądanie z naszego serwera, nigdy twój adres IP: żądanie przedstawia się jako detektor CMS DNS Robot, a skan w przeglądarce ładuje stronę z sieci Cloudflare.

Czegoś brakuje?Zaproponuj funkcję lub nowe narzędzie

Więcej narzędzi do stron