WP Detector là công cụ kiểm tra website WordPress miễn phí của KhoDeal. Bạn dán URL bất kỳ vào ô bên dưới, công cụ sẽ quét và cho biết trang đó có dùng WordPress không, đang chạy theme và plugin nào, thông tin máy chủ, IP, cùng các security header đang thiếu. Không cần cài đặt, chạy trực tiếp trên trình duyệt.
🔍 WP Detector — Kiểm tra Website WordPress
Phát hiện Theme, Plugin, IP, máy chủ & bảo mật cơ bản. Quét nhẹ, không xâm nhập.
💡 Ví dụ: khodeal.com — Công cụ chỉ đọc thông tin công khai của trang.
WP Detector kiểm tra được những gì?
Phát hiện WordPress, theme và plugin
WP Detector quét mã nguồn trang chủ của website bạn nhập vào. Nếu trang có dấu hiệu như /wp-content/ hay /wp-includes/, công cụ xác nhận đó là WordPress.
Với theme, công cụ đọc file style.css để lấy tên, version và tác giả. Nếu site dùng child theme (theme con), WP Detector hiển thị cả parent theme (theme cha) đứng sau.
Plugin được nhận diện từ đường dẫn /wp-content/plugins/ lộ ra trong mã nguồn. Cách này chỉ thấy plugin nào để lại dấu vết ở trang chủ — site đã gộp hoặc ẩn tài nguyên có thể giấu bớt.
Toàn bộ là passive scan (quét thụ động): công cụ chỉ gửi vài request đọc trang công khai, không đăng nhập, không dò quét sâu.
IP, nameserver, máy chủ và CDN/WAF
Ngoài WordPress, WP Detector trả về thông tin hạ tầng của website.
IP và nameserver lấy từ bản ghi DNS — cho biết site trỏ về máy chủ nào và dùng dịch vụ DNS của ai. Tên máy chủ và phiên bản PHP đọc từ HTTP header (thẻ phản hồi) mà trang trả về.
Mục CDN/WAF cho biết website có đứng sau Cloudflare hay một tường lửa ứng dụng (WAF — Web Application Firewall) nào không. Thông tin này hữu ích khi bạn muốn biết một site đang dùng hạ tầng và lớp bảo vệ ra sao.
Security header và cảnh báo bảo mật cơ bản
Phần cuối là điểm mình quan tâm nhất khi tự kiểm tra site: bảo mật.
WP Detector kiểm tra sáu security header phổ biến và chỉ ra cái nào đang thiếu. Ngoài ra, công cụ chạy một loạt cảnh báo cơ bản:
- XML-RPC có đang bật không
- Username có bị lộ qua
?author=hoặc REST API không - File
readme.htmlcó truy cập được không (lộ version) - Phiên bản PHP và WordPress có hiển thị công khai không
Mỗi mục đi kèm gợi ý xử lý ngắn. Đây là bản kiểm tra nhanh, không thay thế một audit bảo mật (kiểm toán bảo mật) chuyên sâu.
Cách đọc kết quả
Thấy nhiều dấu ✕ và ⚠ có thể khiến bạn lo, nhưng phần lớn cảnh báo ở mức thông tin, không phải lỗ hổng nghiêm trọng. Dưới đây là cách hiểu đúng từng nhóm.
“Thiếu” security header nghĩa là gì
Security header là các dòng chỉ thị website gửi kèm mỗi phản hồi, bật cơ chế phòng thủ sẵn có của trình duyệt. Sáu header WP Detector kiểm tra:
- X-Frame-Options — chống clickjacking (nhúng site vào iframe để lừa click)
- Content-Security-Policy — kiểm soát nguồn tài nguyên được tải, chống XSS (chèn mã độc)
- Strict-Transport-Security (HSTS) — ép trình duyệt luôn dùng HTTPS
- X-Content-Type-Options — chống trình duyệt đoán sai loại file
- Referrer-Policy — hạn chế thông tin rò rỉ sang trang khác
- Permissions-Policy — chặn quyền camera, micro, vị trí
Thiếu header không có nghĩa website đã bị tấn công. Đây là lớp phòng thủ bổ sung. Bạn thêm chúng qua file .htaccess, hoặc qua Cloudflare nếu site đi qua proxy.
Riêng Content-Security-Policy cần cấu hình cẩn thận — đặt sai có thể làm hỏng giao diện. Theo best practice, nên chạy thử ở chế độ report-only trước rồi mới bật chính thức.
Lộ phiên bản PHP / WordPress có nguy hiểm không
Câu trả lời ngắn: rủi ro thấp, nhưng nên ẩn.
Khi website để lộ phiên bản PHP hay WordPress, công cụ dò tự động có thể đối chiếu nhanh với danh sách lỗ hổng theo version. Ẩn version làm chậm bước dò này.
Đây là điểm nhiều người hiểu nhầm: ẩn version không phải là “bảo mật”. Đó chỉ là security through obscurity (an toàn nhờ giấu thông tin). Lớp bảo vệ thật vẫn là cập nhật core và plugin đều đặn, cùng mật khẩu mạnh.
Để ẩn, bạn xóa file readme.html, gỡ thẻ meta generator và tắt header X-Powered-By.
XML-RPC và user enumeration là gì
XML-RPC (file xmlrpc.php) là cổng giao tiếp cũ của WordPress. Nó có thể bị lợi dụng để brute-force (dò mật khẩu hàng loạt) hoặc khuếch đại tấn công. Nếu bạn không dùng Jetpack hay app đăng bài từ xa, có thể chặn file này.
User enumeration (liệt kê người dùng) là khi website lộ username đăng nhập qua ?author=1 hoặc REST API. Đây cũng là điểm dễ hiểu nhầm: vấn đề không nằm ở việc tên tác giả bị biết, mà ở chỗ username đăng nhập có trùng tên hiển thị hay không.
Nếu username đăng nhập khác tên hiển thị, cộng thêm mật khẩu mạnh và xác thực hai bước (2FA), việc lộ tên hiển thị gần như vô hại.
Câu hỏi thường gặp
Làm sao biết một website có dùng WordPress không?
Dán URL vào WP Detector. Công cụ quét mã nguồn và xác nhận ngay website có chạy WordPress hay không, kèm theme và plugin nếu phát hiện được.
Công cụ có kiểm tra được theme và plugin của website khác không?
Có, miễn là website đó để lộ đường dẫn theme/plugin trong mã nguồn trang chủ. Site đã gộp hoặc ẩn tài nguyên có thể không hiện đầy đủ.
Quét website khác có lộ IP của tôi không?
Không. WP Detector quét từ máy chủ của KhoDeal, không phải từ thiết bị của bạn. Website bị quét chỉ thấy request đến từ máy chủ KhoDeal.
Lộ phiên bản WordPress có nguy hiểm không?
Rủi ro thấp. Lộ version chỉ giúp công cụ dò tự động làm việc nhanh hơn. Bảo mật thật đến từ cập nhật đều và mật khẩu mạnh, không phải từ việc giấu version.
Kiểm tra website của người khác có hợp pháp không?
WP Detector chỉ đọc thông tin công khai, tương tự cách trình duyệt tải một trang. Đây là quét thụ động, không xâm nhập. Dù vậy, bạn nên dùng công cụ cho mục đích kiểm tra chính đáng.
Công cụ do KhoDeal tự phát triển. Xem thêm bộ công cụ miễn phí khác của KhoDeal.
Lưu ý: WP Detector quét thụ động thông tin công khai, dùng cho mục đích kiểm tra hợp pháp. Công cụ không thay thế một audit bảo mật chuyên sâu.