Công cụ phổ biến

Giao diện

Check CMS Website

Website này dùng CMS gì? Xem nền tảng, theme, plugin và toàn bộ công nghệ đứng sau bất kỳ website nào, kèm dòng mã chứng minh từng mục.

Hơn 7.600 công nghệ · header, HTML và DNS của website · trình duyệt thật khi bạn yêu cầu
7.660 công nghệ

Một tên miền hoặc URL đầy đủ có đường dẫn. Chúng tôi không bao giờ công khai các website bạn kiểm tra.

Thử
Những gì chúng tôi đọcDNS · header · HTML · trình duyệt
Chúng tôi tìmNền tảng 1.773Plugin 600Mã 718Tiếp thị 2.293Bán hàng 659Chat 341Media 467Máy chủ 212Mạng 465Khác 132
DNSNS · MX · TXT
Headerserver · cookie · liên kết
<head>meta · script · style
<body>mã HTML · script · chú thích
Trình duyệtJS · yêu cầu

Mỗi công nghệ chúng tôi tìm thấy đều được ghim đúng chỗ có bằng chứng: một bản ghi DNS, một header phản hồi, một dòng của trang, hoặc thứ mà trình duyệt thật đã tải.

Kết quả check CMS: techcrunch.com chạy trên WordPress, kèm theme, plugin và vị trí của từng bằng chứng trong trangKết quả check CMS: techcrunch.com chạy trên WordPress, kèm theme, plugin và vị trí của từng bằng chứng trong trangBất kỳ website nàoMột tên miền hoặc URL đầy đủ có đường dẫn: trang được đọc trực tiếp, không bao giờ lấy từ lần thu thập cũ.Câu trả lờiNền tảng, phiên bản của nó (với WordPress, được so với bản phát hành mới nhất) và theme.Tìm thấy ở đâuMọi công nghệ được ghim đúng chỗ có bằng chứng: DNS, một header, một dòng của trang, trình duyệt.Bằng chứngTín hiệu đang chọn, đúng như website đã gửi: một dòng header, một thẻ hoặc một đường dẫn tệp; bấm ‹ › để xem lần lượt từng tín hiệu.
Một kết quả: nền tảng và phiên bản, theme, và dải ghim từng công nghệ đúng chỗ có bằng chứng. Chọn một số để xem từng phần cho thấy gì.

Công cụ check CMS hoạt động như thế nào?

Công cụ yêu cầu trang từ website một lần, dưới tên riêng của mình, rồi tìm các dấu hiệu mà mỗi nền tảng để lại: trong header phản hồi, cookie, mã HTML và đường dẫn của các tệp.

Một số dấu hiệu do chính nền tảng đặt ra nên khó giả mạo hoặc gỡ bỏ: WordPress công bố REST API của mình trong header Link, Shopify đặt cookie _shopify_essential. Những dấu hiệu khác được ghi vào trang nên có thể bị xóa hoặc sao chép: thẻ generator, tên class, một dòng chú thích.

Vì vậy, một dấu hiệu mà ai cũng sao chép được chỉ là gợi ý, còn hai dấu hiệu độc lập, hoặc một dấu hiệu chỉ chính nền tảng mới đặt ra, là bằng chứng. Mỗi câu trả lời ở trên đều hiển thị các dấu hiệu làm căn cứ, trích nguyên văn như chúng tôi tìm thấy, và mức độ chắc chắn mà chúng mang lại: Đã xác nhận, Nhiều khả năng hoặc Có thể.

Ngoài trang, chúng tôi đọc các bản ghi DNS của tên miền và, với website WordPress, tối đa hai tệp nữa từ cùng máy chủ: style.css của theme và chỉ mục /wp-json/ mà trang trỏ tới. Trình duyệt thật chỉ tham gia khi bạn yêu cầu.

Một phản hồi, tám dấu hiệu · nalgene.com, 24/10/2026
  1. HTTP/2 200 · 23 header
  2. 1dòng 3server: cloudflare
  3. 2dòng 7link: <https://nalgene.com/wp-json/>; rel="https://api.w.org/"
  4. 3dòng 8link: <https://nalgene.com/wp-json/wp/v2/pages/87>; rel="alternate"; title="JSON"; type="application/json"
  5. 4dòng 15set-cookie: __cf_bm=BZFgzmA1kpRQ…; HttpOnly; Secure
  6. HTML · 464 KB
  7. 5byte thứ 1.085<!-- This site is optimized with the Yoast SEO Premium plugin v28.0 (Yoast SEO v28.6) -->
  8. 6byte thứ 8.283<link rel='stylesheet' href='…/wp-content/themes/nalgene-twentytwenty/style.css?ver=9260242'>
  9. 7byte thứ 52.255<meta name="generator" content="WP Rocket 3.23.5.1">
  10. 8byte thứ 432.563<script src="…/wp-includes/js/wp-util.min.js?ver=7.1.3"></script>
  1. 1HeaderCloudflare phục vụ websiteĐã xác nhận
  2. 2HeaderREST API của WordPress: do chính WordPress đặtĐã xác nhận
  3. 3HeaderĐịa chỉ REST riêng của trang: lại là lõi WordPressĐã xác nhận
  4. 4CookieCloudflare Bot ManagementĐã xác nhận
  5. 5Chú thíchYoast SEO và phiên bản của nóNhiều khả năng
  6. 6Đường dẫn tệpThư mục của theme, rồi đến header trong style.css của nóĐã xác nhận
  7. 7Thẻ generatorWP Rocket: tự khai báo, dễ gỡ bỏNhiều khả năng
  8. 8?ver=WordPress 7.1.3 trên script lõi của chính nóNhiều khả năng
Bốn trong 23 header phản hồi của nalgene.com và bốn dòng trong trang 464 KB của nó. Thẻ generator của WordPress không có (có thể tắt đi), nhưng header REST, đường dẫn tệp và phiên bản trên các script lõi vẫn chỉ ra WordPress 7.1.3.

CMS, trình tạo website, CMS headless hay framework?

Tất cả đều dùng để làm website, nhưng chỉ một số để lại tên trong trang. Nơi lưu nội dung quyết định công cụ phát hiện có thể thấy được gì.

CMS truyền thống như WordPress lưu nội dung và tự dựng mọi trang, nên dấu hiệu của nó có ở khắp nơi. Trình tạo website như Wix còn lưu trữ luôn cả website, nên chính máy chủ chứa tệp của nó làm lộ danh tính.

CMS headless như Contentful chỉ lưu nội dung; một front end riêng, thường là Next.js, dựng trang, nên nhiều nhất chỉ thấy máy chủ ảnh của CMS. Trình tạo trang tĩnh như Hugo dựng sẵn HTML thuần từ trước và nhiều nhất chỉ để lại một thẻ generator trên trang chủ.

Nội dung nằm ở đâu, và những gì đến được trang
CMS truyền thốngWordPress
  1. Nội dung + theme
  2. WordPress dựng trang
  3. trên máy chủ riêng
  4. Trang

Trang cho thấy gì

/wp-content/rel="https://api.w.org/"<meta name="generator">

Kết quả phát hiệnWordPressĐã xác nhận

Trình tạo websiteWix
  1. Nội dung
  2. Wix dựng trang
  3. Wix lưu trữ
  4. Trang

Trang cho thấy gì

static.wixstatic.com/mediax-wix-request-idserver: Pepyaka

Kết quả phát hiệnWixĐã xác nhận

CMS headlessContentful + Next.js
  1. Nội dung trong Contentful
  2. lấy qua API
  3. Next.js dựng trang
  4. Trang

Trang cho thấy gì

/_next/static/images.ctfassets.net

Kết quả phát hiệnKhông có CMS trong trangCó thể

Trình tạo trang tĩnhHugo
  1. Tệp Markdown
  2. dựng thành HTML một lần
  3. phục vụ dưới dạng tệp tĩnh
  4. Trang

Trang cho thấy gì

<meta name="generator" content="Hugo …">chỉ trang chủ

Kết quả phát hiệnHugoNhiều khả năng

Những gì mỗi loại hệ thống để lại trong HTML mà khách truy cập nhận được. W3Techs tính cả bốn loại là CMS trong khảo sát của họ; công cụ phát hiện chỉ gọi tên được những loại để lại dấu hiệu.

Làm sao tìm theme và plugin WordPress của một website?

Hãy đọc tên thư mục trong đường dẫn tệp của trang. Công cụ phát hiện theme WordPress lấy thư mục của theme từ /wp-content/themes/<name>/, rồi mở tệp style.css của theme đó; phần header của tệp ghi tên theme, tác giả, phiên bản và, với theme con, theme cha của nó.

Phần header là thẻ căn cước của theme, được quy định trong sổ tay theme của WordPress. Theme con thêm dòng Template: với thư mục của theme cha, nên một trang có thể cho thấy hai theme: nalgene.com chạy theme riêng Nalgene Twenty Twenty trên nền Genesis 3.5.0.

Plugin cũng lộ ra theo cách tương tự, dưới dạng các thư mục /wp-content/plugins/<name>/, thường kèm số ?ver=. Con số đó chỉ là phiên bản của plugin khi nó khớp với một bản phát hành: các script của WooCommerce trên nalgene.com mang số 11.2.1, đúng Stable tag trong readme của nó trên WordPress.org, còn tệp của một plugin khác lại mang một dấu thời gian.

Chỉ những plugin đưa thứ gì đó vào trang mới thấy được. Sao lưu, công cụ bảo mật hay biểu mẫu trên trang liên hệ không để lại gì trong HTML của trang chủ, nên không công cụ phát hiện nào liệt kê được mọi plugin của một website.

Một cặp theme và 15 thư mục plugin · nalgene.com, 24/10/2026

Theme

Trong trang

/wp-content/themes/nalgene-twentytwenty/style.css?ver=9260242/wp-content/themes/genesis/lib/js/skip-links.min.js?ver=3.5.0class="… wp-child-theme-nalgene-twentytwenty …"

Theme conNalgene Twenty Twenty

  1. /wp-content/themes/nalgene-twentytwenty/style.css
  2. Theme Name: Nalgene Twenty TwentyTên
  3. Author: Scout DigitalTác giả
  4. Version: 9260242Phiên bản · số bản dựng
  5. Template: genesisThư mục theme cha
/wp-content/themes/genesis/style.css

Theme chaGenesis 3.5.0 · StudioPress

  1. Theme Name: GenesisTên
  2. Author: StudioPressTác giả
  3. Version: 3.5.0Phiên bản

Plugin

  • /plugins/woocommerce/?ver=11.2.1

    WooCommerce 11.2.1: Stable tag trong readme của nó trên WordPress.org

  • /plugins/woocommerce/…/jquery-blockui/?ver=2.7.0-wc.11.2.1

    Một thư viện đi kèm WooCommerce (jQuery BlockUI 2.7.0), gắn số phiên bản của WooCommerce

  • /plugins/elasticpress/?ver=1792138636

    Một dấu thời gian (16/10/2026), không phải phiên bản của ElasticPress

  • + 13 thư mục plugin khácinstagram-feed-prowoo-discount-ruleswoo-discount-rules-prowoo-variation-swatcheswoocommerce-back-in-stock-notificationswp-rocketsimple-cloudflare-turnstilekount-fraud-preventiondatalayer-for-woocommerceaddify-advanced-split-ordernalgene-customizervital-theme-modificationsvital-message-bar-master

Plugin không đưa gì vào trang: mọi công cụ phát hiện đều không thấy

Tệp style.css của theme con ghi Genesis là theme cha (Template: genesis), và header của chính Genesis cho biết phiên bản 3.5.0. Trong ba giá trị ?ver=, một là phiên bản của plugin, một của thư viện đi kèm và một là dấu thời gian.

Làm sao biết một cửa hàng dùng theme Shopify nào?

Tìm Shopify.theme trong mã nguồn của trang. Mọi cửa hàng Shopify mà chúng tôi đã kiểm tra đều in ra đối tượng này, và công cụ phát hiện theme Shopify đọc nó: tên theme trong cửa hàng đó, theme gốc mà nó dựa trên cùng phiên bản, số hiệu trên Theme Store và theme đó có phải theme đã xuất bản hay không.

Tên là bất cứ gì người bán đặt cho bản sao của họ, nên có thể chẳng nói lên mấy: cửa hàng của bảo tàng LACMA đặt tên theme là “Updated copy of Kingdom”. schema_name và schema_version cho biết theme bên dưới, Kingdom 4.3.1, còn theme_store_id là số hiệu của nó trên Theme Store của Shopify.

Các thương hiệu lớn thường chạy theme riêng: theme của allbirds.com dựa trên allbirds-theme 1.231.12, không có số hiệu Theme Store. Bản thân nền tảng được xác nhận qua các dấu hiệu khác của Shopify, như header powered-by: Shopify và cookie _shopify_essential.

Mổ xẻ Shopify.theme · allbirds.com, 24/10/2026
  1. Shopify.theme = {
  2. 1"name": "[DNAM Theme July 2026]",
  3. 2"id": 130450260048,
  4. 3"schema_name": "allbirds-theme",
  5. "schema_version": "1.231.12",
  6. 4"theme_store_id": null,
  7. 5"role": "main"
  8. }
  1. 1Tên người bán đặt cho bản sao theme này
  2. 2ID của theme trong cửa hàng này
  3. 3Theme gốc mà nó dựa trên, và phiên bản của theme đó
  4. 4Số hiệu trên Theme Store của Shopify: ở đây không có
  5. 5main: theme đã xuất bản mà khách hàng nhìn thấy

Ba cửa hàng, ba kiểu theme

Cửa hàngTên trong cửa hàngDựa trênTheme Store
allbirds.comTheme riêng[DNAM Theme July 2026]allbirds-theme 1.231.12không có
theme-dawn-demo.myshopify.comCửa hàng demo của ShopifyDawnDawn 15.0.0#887
thelacmastore.orgCửa hàng bảo tàngUpdated copy of KingdomKingdom 4.3.1#725
Shopify không công bố tài liệu về đối tượng Shopify.theme, nên chúng tôi đọc nó theo những gì quan sát được trên các cửa hàng này (bản demo Dawn mang Dawn 15.0.0, số hiệu Theme Store 887). Các giá trị role là của Shopify: main là theme đã xuất bản.

Vì sao công cụ check CMS báo “không tìm thấy”?

Thường là vì trang mà công cụ đọc được không mang dấu hiệu của CMS, chứ không phải vì không có CMS. Bốn trường hợp sau chiếm phần lớn.

Chúng tôi nêu rõ trường hợp khi nhìn thấy được: một trang kiểm tra bot thay vì website, một framework không có dấu hiệu CMS, các dấu hiệu bị chủ website tắt đi, hoặc một trang chạy hệ thống khác với phần còn lại của website.

Và đôi khi thật sự không có CMS nào: W3Techs không tìm thấy CMS nào mà họ nhận diện được trên 32,1% website, nên một công cụ phát hiện không tìm ra gì trên khoảng một phần ba số website vẫn đang hoạt động bình thường.

Bốn lý do có thật, ghi nhận ngày 23–24/10/2026
Bị lớp chống bot chặn

drupal.org

3 KB · không phải website

Fastly trả về trang “Client Challenge” 3 KB thay vì website: không có mã Drupal nào để đọc. Chúng tôi báo “bị chặn” và đề xuất quét bằng trình duyệt.

Front end không có dấu hiệu CMS

openai.com

framework · Có thể có CMS

Next.js trên Vercel. Nội dung có thể đến từ một CMS headless; chỉ máy chủ ảnh của Contentful gợi ý điều đó, nên kết quả dừng ở “Có thể”.

Dấu hiệu bị tắt

nalgene.com

đã gỡ generator · vẫn Đã xác nhận

Không có thẻ generator của WordPress, nhưng header Link của REST, đường dẫn /wp-content/ và ?ver=7.1.3 vẫn chỉ ra WordPress. Việc ẩn mọi dấu hiệu hiếm khi trọn vẹn.

Hệ thống khác ở một trang khác

ghost.org

/ = Hugo · /blog/ = Ghost

Trang chủ của ghost.org được dựng bằng Hugo; còn /blog/ chạy Ghost 6.73. Chúng tôi kiểm tra một URL: hãy dán đúng trang bạn muốn, kể cả mục cửa hàng hay blog.

Dải trên mỗi thẻ là cùng kiểu đọc như công cụ, được vẽ thu nhỏ: dấu hiệu nằm ở đâu, và thiếu những gì.

Quét bằng trình duyệt tìm ra những gì mà lần kiểm tra thường bỏ sót?

Mọi thứ đến sau HTML: các thẻ do trình quản lý thẻ thêm vào, pixel phân tích và quảng cáo, công cụ chat và quản lý sự đồng ý, cùng các script chỉ xuất hiện khi JavaScript chạy. Trên allbirds.com, một trình duyệt Chrome thật đã tìm thấy 15 công nghệ mà việc đọc HTML của trang bỏ sót.

Lần kiểm tra thường đọc những gì máy chủ gửi về. Cách này nhanh và cho thấy nền tảng, theme và phần lớn công nghệ đang dùng. Quét bằng trình duyệt tải trang trong Chrome trong vài giây, để các script chạy và đọc những gì chúng tải về.

Trong thử nghiệm của chúng tôi với năm website, trình duyệt chưa bao giờ bỏ mất công nghệ nào mà lần đọc từ máy chủ đã tìm thấy, và tìm thêm từ 2 (Wikipedia) đến 27 (TechCrunch). Các website chạy qua trình quản lý thẻ được thêm nhiều nhất; một trang wiki đơn giản hầu như không đổi.

Đọc từ máy chủ và trình duyệt thật · năm website, 24/10/2026
  • allbirds.com10+15389 yêu cầu · 8,1 giây
  • bbc.com14+19201 yêu cầu · 6,3 giây
  • nextjs.org6+883 yêu cầu · 3,6 giây
  • techcrunch.com17+27237 yêu cầu · 6,8 giây
  • wikipedia.org7+240 yêu cầu · 3,8 giây
  • Trong HTML
  • Chỉ có trong trình duyệt

Chỉ tìm thấy trong trình duyệt trên allbirds.com

Phân tích & tiếp thị

  • Google Analytics
  • Facebook Pixel
  • Microsoft Clarity
  • OneTrust
  • Attentive
  • Impact
  • DoubleClick Floodlight

Framework & thư viện

  • Vue.js
  • GSAP
  • Framer Motion
  • core-js
  • Datadog
  • Goober

Phông chữ

  • Google Font API

Thương mại

  • Shop Pay
Mỗi website được tải một lần trong Chrome từ Ấn Độ (tải xong cộng thêm 3 giây), đối chiếu bằng cùng quy tắc như với HTML; số lượng thay đổi theo banner xin đồng ý, khu vực và thời điểm. Một số thứ chỉ thấy trong trình duyệt vẫn để lại dấu vết mà một quy tắc đầy đủ hơn có thể đọc được: script preload của Shop Pay có trong HTML của allbirds.com.

Website có thể ẩn CMS của mình không?

Được một phần. CMS tự lưu trữ cho phép chủ website tắt thẻ generator và đổi tên một vài đường dẫn, nhưng nền tảng vẫn định hình trang; các nền tảng lưu trữ sẵn như Shopify và Wix hoàn toàn không thể ẩn dấu hiệu của mình.

Việc ẩn hiếm khi trọn vẹn. Đoạn mã WordPress phổ biến gỡ thẻ generator khỏi trang nhưng không gỡ khỏi RSS feed, đổi tên /wp-json/ vẫn giữ lại liên kết rel="https://api.w.org/", và chuyển wp-content đi chỗ khác vẫn để lại thư mục /themes/ cùng các số ?ver= trong trang.

Vì thế “không tìm thấy” không bao giờ có nghĩa là “không có CMS”: một trang sạch dấu hiệu vẫn có thể chạy bất kỳ CMS nào. Khi website ẩn tốt, câu trả lời của chúng tôi hạ xuống Nhiều khả năng hoặc Có thể và hiển thị những dấu hiệu còn sót lại.

Tắt đi rồi, thứ gì vẫn còn lộ
  • Thẻ generator của WordPress<meta name="generator" content="WordPress 7.1.3">Tắt bằngremove_action( 'wp_head', 'wp_generator' )Vẫn còn lộDòng generator trong RSS feed<generator>https://wordpress.org/?v=7.1.3</generator>
  • Đường dẫn REST của WordPress/wp-json/Tắt bằngadd_filter( 'rest_url_prefix', … )Vẫn còn lộGiá trị rel của liên kếtrel="https://api.w.org/"
  • Thư mục wp-content/wp-content/Tắt bằngWP_CONTENT_DIR · WP_CONTENT_URLVẫn còn lộThư mục themes bên trong và các số ?ver=…/themes/<name>/?ver=
  • Header của Next.jsx-powered-by: Next.jsTắt bằngpoweredByHeader: falseVẫn còn lộĐường dẫn tệp của nó/_next/static/
  • Thẻ generator của Hugo<meta name="generator" content="Hugo …">Tắt bằngdisableHugoGeneratorInject = trueVẫn còn lộKhông gì cả: trang tĩnh không có CMS nào đang chạy
  • Phiên bản Joomla<meta name="generator" content="Joomla! …">Tắt bằngMetaVersionTắt theo mặc địnhVẫn còn lộThẻ generator, không kèm phiên bảnJoomla! - Open Source Content Management
  • Shopify{{ content_for_header }}Tắt bằngKhông thể tắtVẫn còn lộScript và cookie của nó trên mọi trang_shopify_essentialpowered-by: Shopify
  • Wixstatic.wixstatic.com/mediaTắt bằngKhông thể tắtVẫn còn lộMáy chủ media của nóstatic.wixstatic.com/media
Mỗi cách tắt là thiết lập riêng của nền tảng, lấy từ tài liệu hoặc mã nguồn của nó. Các hệ thống tự lưu trữ có thể im lặng; nền tảng lưu trữ sẵn bắt buộc dùng script và máy chủ tệp của riêng họ.

Vì sao để lộ phiên bản CMS lại quan trọng?

Vì các phiên bản cũ mang những lỗ hổng đã được công khai. Hướng dẫn tăng cường bảo mật của chính WordPress cho biết các phiên bản cũ không còn được bảo trì bằng các bản cập nhật bảo mật, và khi một bản sửa lỗi được phát hành, cách khai thác lỗ hổng đó gần như chắc chắn đã được công khai.

Dù vậy, chỉ một số phiên bản vẫn không chứng minh được website đang gặp rủi ro. Chỉ WordPress 7.1 được hỗ trợ chính thức, nhưng ngày 6/10/2026 WordPress đã phát hành phiên bản mới trên mọi nhánh, ngược về tận 4.7, nên một website chạy 6.9.10 đang dùng bản mới nhất của nhánh đó.

Vì vậy chúng tôi hiển thị phiên bản mà trang mang, chỉ đánh dấu “mới nhất” khi nó khớp với bản phát hành mới nhất của WordPress.org, và không bao giờ nói một website có lỗ hổng. Drupal chỉ hiển thị phiên bản chính, đủ để nhận ra bản cũ: Drupal 7 đã hết hỗ trợ bảo mật từ ngày 5/1/2025.

Bản phát hành mới nhất trên mỗi nhánh WordPress · tính đến 24/10/2026
Thị phần trong các website WordPress (W3Techs)
  • Phiên bản 7
    • 7.1.3 mới nhất · nhánh duy nhất còn được hỗ trợ
    • 7.0.7
    66,9%
  • Phiên bản 6
    • 6.9.10
    • 6.8.11
    • 6.7.10
    • 6.6.10
    • 6.5.13
    • 6.4.13
    • 6.3.13
    • 6.2.14
    • 6.1.15
    • 6.0.17
    26,3%
  • Phiên bản 5
    • 5.9.19
    • 5.8.18
    • 5.7.20
    • 5.6.22
    • 5.5.23
    • 5.4.24
    • 5.3.26
    • 5.2.29
    • 5.1.27
    • 5.0.30
    4,7%
  • Phiên bản 4
    • 4.9.34
    • 4.8.33
    • 4.7.38
    • 4.6.30
    • 4.5.33
    • 4.4.34
    • 4.3.35
    • 4.2.39
    • 4.1.42
    • 4.0.38
    2,0%
  • Phiên bản 3
    • 3.9.40
    • 3.8.41
    • 3.7.41
    • 3.6 trở về trước
    0,2%
  • Phát hành ngày 6/10/2026
  • Bản cuối: tháng 7/2025
  • Bản cuối: ngày 30/11/2022
  • Không có bản nào từ năm 2013
Mọi nhánh từ 4.7 đến 7.1 đều nhận bản phát hành ngày 6/10/2026, các nhánh cũ là bản backport mang tính hỗ trợ thêm; chỉ 7.1 được bảo trì chính thức. Bên cạnh mỗi phiên bản chính: thị phần của nó trong các website WordPress mà W3Techs thấy được phiên bản (23/10/2026).

Đây có phải công cụ kiểm tra lỗ hổng website không?

Là công cụ kiểm tra thụ động. Với mỗi phiên bản chính xác mà website để lộ trong header, trong trang hoặc qua lần quét bằng trình duyệt, công cụ liệt kê các khuyến cáo bảo mật đã công bố áp dụng cho phiên bản đó, trong đó có các CVE, từ OSV.dev hoặc, với thư viện JavaScript được nhận diện qua tệp, từ Retire.js; tình trạng hỗ trợ của dòng phát hành từ endoflife.date; và các thông báo riêng của chúng tôi, như PHP2Shell. Công cụ không bao giờ gửi yêu cầu dò quét hay yêu cầu tấn công.

Số phiên bản có giới hạn của nó. Gói phần mềm của một bản phân phối Linux có thể chứa bản vá được backport dưới một số phiên bản cũ, một khuyến cáo có thể cần đến tính năng mà website không dùng, và nhiều website ẩn phiên bản. Vì vậy câu trả lời chỉ liệt kê sự thật về một phiên bản (“36 khuyến cáo bảo mật đã công bố áp dụng cho Next.js 14.1.0”) và không bao giờ nói website có lỗ hổng.

Đằng sau Cloudflare, header Server ghi “cloudflare”, nên phiên bản của chính máy chủ web bị che khuất, nhưng các header khác của website vẫn đi qua: phiên bản PHP trong X-Powered-By vẫn hiện ra. Để kiểm tra kỹ website của chính bạn, hãy dùng một trình quét lỗ hổng mà bạn được phép chạy trên website đó.

Từ một phiên bản đến ba câu trả lời · ba mẫu có thật, 24/10/2026

  1. 1Máy chủ phát triển của một ứng dụng Flaskflask-app.example

    Website gửi gìServer: Werkzeug/2.0.1 Python/3.8.10

    Werkzeug2.0.1Khuyến cáo đã công bố · OSV.dev11 khuyến cáo2 mức caoHỗ trợ · endoflife.date–không có trong nguồn nàyThông báo của chúng tôi–không có trong nguồn này
    Python3.8.10Khuyến cáo đã công bố · OSV.dev–không có trong nguồn nàyHỗ trợ · endoflife.dateHết hỗ trợ 7 thg 10, 2024Thông báo của chúng tôi–không có trong nguồn này

  2. 2PHP sau Cloudflareshop.example

    Website gửi gìServer: cloudflarePhiên bản máy chủ web: bị Cloudflare cheX-Powered-By: PHP/7.4.33

    PHP7.4.33Khuyến cáo đã công bố · OSV.dev–không có trong nguồn nàyHỗ trợ · endoflife.dateHết hỗ trợ 28 thg 11, 2022Thông báo của chúng tôiCó khả năng tồn tại lỗ hổngPHP2Shell · dự án PHP không có bản phát hành đã sửa lỗi cho 7.4

  3. 3Next.js, thấy qua quét bằng trình duyệtapp.exampletìm thấy qua quét bằng trình duyệt

    Website gửi gìwindow.next.version → "14.1.0"

    Next.js14.1.0Khuyến cáo đã công bố · OSV.dev36 khuyến cáo4 nghiêm trọngHỗ trợ · endoflife.dateHết hỗ trợ 26 thg 10, 2025mới nhất 14.2.35Thông báo của chúng tôi–không có trong nguồn này
Mỗi phiên bản đúng như header, trang hoặc lần quét bằng trình duyệt cho thấy, được tra cứu ngay ngày kiểm tra: khuyến cáo của OSV.dev (một lỗi được hai cơ sở dữ liệu liệt kê chỉ tính một lần), ngày hỗ trợ của endoflife.date và thông báo riêng của chúng tôi. Dấu gạch ngang nghĩa là nguồn đó không bao quát sản phẩm. Các tên máy chủ là giả định; các mẫu và câu trả lời là thật.

So sánh với BuiltWith, Wappalyzer và WhatCMS thế nào?

BuiltWith trả lời từ chỉ mục web của riêng họ, Wappalyzer đưa ra kết quả đã xác minh trong 30 ngày gần nhất hoặc một lần đọc trực tiếp tính bằng năm lượt tra cứu, còn WhatCMS đọc trang trực tiếp nhưng liệt kê các lượt tra cứu gần đây trên trang chủ. Vừa check CMS vừa kiểm tra công nghệ website, công cụ này đọc trang bạn đưa vào, ngay lúc đó, và hiển thị dòng mã đứng sau mỗi câu trả lời.

Chỉ mục rất hữu ích để xem lịch sử: API của BuiltWith cho biết lần cuối họ lập chỉ mục một tên miền. Đọc trực tiếp cho thấy chính xác trang bạn dán vào ở trạng thái hiện tại, kể cả thư mục con của cửa hàng hay blog.

Mức dùng miễn phí cũng khác nhau: Wappalyzer cần tài khoản để có 50 lượt tra cứu mỗi tháng, BuiltWith miễn phí tra cứu từng website, còn gói API miễn phí của WhatCMS có 500 lượt nhận diện mỗi tháng, với tra cứu riêng tư từ $40 mỗi tháng. Trang này không cần tài khoản và không công khai gì cả.

Bốn cách trả lời “website này được làm bằng gì?” · 24/10/2026

DNS RobotTrang này

Trả lời dựa trên
Trang bạn dán vào, đọc ngay lúc đó, kèm dòng mã đứng sau mỗi câu trả lời
Dùng miễn phí
Không cần tài khoản; không công khai gì
Điều nên biết
Quét bằng trình duyệt thật khi bạn yêu cầu

BuiltWith

Trả lời dựa trên
Chỉ mục web riêng, thu thập như một công cụ tìm kiếm
Dùng miễn phí
Tra cứu từng website
Điều nên biết
API cho biết lần cuối họ lập chỉ mục một tên miền

Wappalyzer

Trả lời dựa trên
Kết quả đã xác minh trong 30 ngày, hoặc đọc trực tiếp
Dùng miễn phí
50 lượt tra cứu mỗi tháng khi có tài khoản
Điều nên biết
Một kết quả trực tiếp tính bằng 5 lượt tra cứu

WhatCMS

Trả lời dựa trên
Trang, được tải về khi bạn yêu cầu
Dùng miễn phí
API: 500 lượt nhận diện mỗi tháng
Điều nên biết
Liệt kê tra cứu gần đây trên trang chủ; tra cứu riêng tư từ $40 mỗi tháng
Lấy từ trang của chính mỗi công cụ ngày 24/10/2026. Các gói dịch vụ có thể thay đổi; hãy kiểm tra trang của họ trước khi chọn.

Check CMS: câu hỏi thường gặp

Làm sao kiểm tra website đang dùng CMS gì?

Dán địa chỉ website vào công cụ check CMS ở trên. Công cụ đọc header, cookie và HTML của trang cùng các bản ghi DNS của tên miền, rồi nêu tên nền tảng kèm dòng mã chứng minh điều đó và mức độ chắc chắn. Bạn cũng có thể tự kiểm tra: xem mã nguồn trang và tìm generator, wp-content, Shopify.theme hoặc wixstatic.

Có phát hiện được theme WordPress của một website không?

Có, khi trang tải một tệp từ thư mục của theme. Chúng tôi lấy tên thư mục từ /wp-content/themes/<name>/ và đọc header trong style.css của theme đó: tên, tác giả và phiên bản. Theme con ghi tên theme cha trong dòng Template:, nên bạn thấy cả hai, ví dụ Nalgene Twenty Twenty trên nền Genesis 3.5.0. Nếu máy chủ chặn tệp theme, chỉ còn lại tên thư mục.

Có biết được cửa hàng dùng theme Shopify nào không?

Có. Các cửa hàng Shopify in đối tượng Shopify.theme trong HTML, gồm tên theme trong cửa hàng đó, theme gốc mà nó dựa trên (schema_name) cùng phiên bản, số hiệu Theme Store và vai trò (role) của nó. Tên có thể là bất cứ gì người bán gõ vào, như “Updated copy of Kingdom”, nên chúng tôi hiển thị cả theme bên dưới. Theme riêng của một thương hiệu, như của allbirds.com, không có số hiệu Theme Store.

Có tìm được mọi plugin mà một website WordPress đang dùng không?

Không công cụ nào làm được. Một plugin chỉ lộ ra khi nó đưa thứ gì đó vào trang: script hay stylesheet trong /wp-content/plugins/<name>/, một chú thích hoặc tên class. Những plugin hoạt động trong trang quản trị hay ở trang khác, như sao lưu, bảo mật hoặc biểu mẫu trên trang liên hệ, không để lại dấu vết trên trang chủ. Kiểm tra đúng trang mà plugin chạy sẽ tìm được nhiều hơn.

Vì sao công cụ báo website không dùng WordPress trong khi tôi biết là có?

Thường là vì trang chúng tôi nhận được không hiện dấu hiệu của WordPress. Lớp chống bot có thể đã trả về trang thử thách thay vì website (chúng tôi báo “bị chặn”), chủ website có thể đã gỡ thẻ generator và chuyển wp-content đi, hoặc địa chỉ đó chạy hệ thống khác: trang chủ ghost.org chạy Hugo còn blog chạy Ghost. Hãy kiểm tra đúng trang bạn cần, hoặc thử quét bằng trình duyệt.

Có thấy được CMS đằng sau Cloudflare không?

Thường là có. Cloudflare chuyển nguyên header và HTML của website, nên header REST của WordPress, đường dẫn tệp và header X-Powered-By vẫn hiện ra; chỉ header Server thành “cloudflare”, che mất phiên bản của chính máy chủ web. Ngoại lệ là lớp kiểm tra bot: khi Cloudflare hay một tường lửa khác trả về trang thử thách thay vì website, chúng tôi báo lần kiểm tra bị chặn, và quét bằng trình duyệt có thể vượt qua được.

Vì sao hai công cụ check CMS cho kết quả khác nhau?

Chúng đọc những thứ khác nhau vào những thời điểm khác nhau. BuiltWith trả lời từ chỉ mục web của họ và kết quả lưu sẵn của Wappalyzer có thể đã cũ tới 30 ngày, còn công cụ đọc trực tiếp thì đọc trang ngay lúc này. Các công cụ cũng có thể kiểm tra trang khác, dùng quy tắc khác, hoặc nhận về trang kiểm tra bot thay vì website. Đó là lý do mỗi câu trả lời của chúng tôi đều hiển thị dòng mã làm căn cứ.

Công cụ check CMS này chính xác đến mức nào?

Mỗi câu trả lời đều kèm bằng chứng và một trong ba nhãn. Đã xác nhận nghĩa là có hai tín hiệu độc lập, hoặc một tín hiệu chỉ nền tảng đó tạo ra, như header, cookie hay đường dẫn tệp riêng của nó. Nhiều khả năng nghĩa là một tín hiệu mà ai cũng có thể sao chép hoặc gỡ bỏ, như thẻ generator. Có thể nghĩa là một gợi ý gián tiếp, như máy chủ ảnh. Trang bị chặn hoặc trống được báo đúng như vậy, không bao giờ là “không có CMS”.

Vì sao không thấy phiên bản CMS?

Nhiều nền tảng không in ra phiên bản. Joomla ẩn phiên bản theo mặc định, header của Drupal chỉ cho biết phiên bản chính, còn Ghost chỉ cho biết phiên bản chính và phụ. WordPress in phiên bản chính xác trừ khi chủ website gỡ đi, và địa chỉ tệp của nó thường vẫn mang phiên bản trong ?ver=. Chúng tôi chỉ hiển thị phiên bản mà một tín hiệu trên trang thực sự mang, và cho biết đã tìm thấy ở đâu.

Có kiểm tra được lỗ hổng đã biết (CVE) của website không?

Có, theo cách thụ động, cho những phiên bản website để lộ. Khi header, trang hoặc lần quét bằng trình duyệt cho thấy một phiên bản chính xác, như Next.js 14.1.0, chúng tôi liệt kê các khuyến cáo áp dụng cho nó từ OSV.dev (hoặc Retire.js, với thư viện JavaScript nhận diện qua tệp), dòng phát hành đó còn được hỗ trợ hay không (endoflife.date) và các thông báo riêng như PHP2Shell. Chúng tôi không bao giờ gửi yêu cầu dò quét hay nói website có lỗ hổng: bản vá được backport không hiện ra trong số phiên bản.

Có kiểm tra được website có bị ảnh hưởng bởi PHP2Shell không?

Chỉ dựa trên phiên bản PHP mà website công bố. Nếu header X-Powered-By hoặc Server của website ghi tên PHP, chúng tôi so sánh nó với các bản sửa của php.net ngày 21/10/2026 (8.5.12, 8.4.27, 8.3.36 và 8.2.35), giống như php2shell-checker của OpenAI: một bản cũ hơn trên các nhánh đó, hoặc bất kỳ PHP nào từ 5.4 đến 8.1, đều “có khả năng tồn tại lỗ hổng”. Gói của một bản phân phối có thể chứa bản vá được backport, và website ẩn phiên bản PHP thì không kiểm tra được theo cách này.

Các bạn có lưu hay công khai những website tôi kiểm tra không?

Chúng tôi không bao giờ công khai: không có danh sách công khai các lượt tra cứu gần đây. Kết quả được giữ trong một thời gian ngắn để lần kiểm tra lại cùng trang hiện ra ngay, sau đó bị xóa. Website bạn kiểm tra chỉ thấy một yêu cầu từ máy chủ của chúng tôi, không bao giờ thấy địa chỉ IP của bạn: yêu cầu này tự giới thiệu là công cụ phát hiện CMS của DNS Robot, còn lần quét bằng trình duyệt tải trang từ mạng của Cloudflare.

Còn thiếu điều gì?Đề xuất tính năng hoặc công cụ mới

Công cụ liên quan