WordPressテーマ・プラグイン調査 ネットワーク調査

調べられること

• そのサイトが WordPress で作られているかどうかと、その判定根拠
• 使用しているテーマの正式名称・ディレクトリ名・制作者・バージョン・公式サイト
• 親テーマと子テーマの関係 (子テーマが正しく使われているか)
• 導入されているプラグインの一覧と、それぞれの使用中バージョン
• 公式ディレクトリの最新版と比較した、更新が遅れているプラグイン
• ページビルダー (Elementor、Divi、ブロックエディタ等) の使用状況
• WordPress 本体のバージョンと、公開設定の健全性
• 外部から確認できる18項目のセキュリティ点検 (100点満点・A から E の評価つき)
• 検出した危険箇所ごとの、なぜ危険かの説明と、そのまま貼れる対処コード

なぜ外部からテーマ名が分かるのか

WordPress は仕様上、テーマのファイルを /wp-content/themes/テーマのフォルダ名/ に配置し、 そのCSSやJavaScriptを読み込む記述をページのHTMLへ出力します。ブラウザが読み込む以上、この記述は誰でも閲覧できます。 本ツールはその記述からフォルダ名を取り出し、さらにテーマの style.css 冒頭に書かれた正式なテーマ名・制作者・バージョンを読み取ります。 プラグインも同様に /wp-content/plugins/フォルダ名/ から特定し、readme.txt の安定版番号と WordPress.org 公式ディレクトリの最新版を突き合わせています。

テーマ名が表示されないケース

• CSSやJavaScriptを1つに結合する高速化プラグインを使っている場合
• テーマのフォルダ名を独自に変更している場合 (受託制作のオリジナルテーマに多く見られます)
• style.css へのアクセスをサーバ側で遮断している場合
• WAF やアクセス制限により、自動的なアクセスが弾かれている場合

使い道

気に入ったサイトの構成を知りたいとき、制作会社に依頼する前に競合サイトの作り方を把握したいとき、 あるいは自社サイトが古いプラグインを放置していないかを外部の視点で点検したいときに役立ちます。 特にプラグインの更新遅れは、WordPress の改ざん被害で最も多い原因です。自社サイトの定期点検にお使いください。

ご利用にあたって

• 本ツールは、ブラウザで誰でも閲覧できる公開情報のみを取得します
• ログインの試行、管理画面への接続、脆弱性を突く操作は一切行いません
• ユーザー名の列挙可否は「可能か否か」のみを判定し、取得した名前は表示しません
• 他者のサイトへの攻撃準備を目的とした利用は固くお断りします