На чём сделан сайт

Как мы определяем платформу

Мы загружаем главную страницу сайта так же, как обычный посетитель, и ищем следы, которые оставляет каждая CMS и каждый конструктор. Новые страницы не запрашиваем и ничего не перебираем: смотрим только то, что сайт отдаёт всем.

• Мета-тег generator. Многие CMS прямо пишут в коде своё имя и версию: «WordPress 6.6», «Joomla! 4».
• Пути к файлам. У WordPress это /wp-content/, у Битрикса /bitrix/templates/, у Tilda — файлы с tildacdn.com.
• Заголовки ответа. X-Powered-By, X-Generator, Server, служебные заголовки CDN.
• Cookie. Названия cookie выдают платформу: BITRIX_SM_ у Битрикса, laravel_session у Laravel.

Каждую находку мы оцениваем по числу и силе признаков: «точно», «вероятно» или «возможно», и показываем сами признаки, чтобы результат можно было проверить.

Когда платформу не видно

Определить платформу получается не всегда. Сайты, написанные на заказ, часто не оставляют знакомых следов. Опытные администраторы прячут версию CMS и переименовывают служебные папки. Если перед сайтом стоит защита от ботов, она может отдать нам страницу проверки вместо настоящей главной: тогда признаков почти нет, и мы об этом предупредим.

Бывает и наоборот: на сайте подключён чужой виджет или скрипт, похожий на признак другой платформы. Поэтому слабые находки помечены как «возможно».

Если результат кажется странным, загляните в доказательства под каждой находкой: там видно, какой именно фрагмент кода или заголовок навёл нас на вывод.

Сервер, CDN и счётчики

Кроме платформы, мы показываем, что стоит перед сайтом и что подключено на странице. Заголовок Server выдаёт веб-сервер: nginx, Apache, LiteSpeed. Служебные заголовки и cookie показывают CDN и защиту от DDoS: Cloudflare, Qrator, DDoS-Guard, Variti. Если сайт стоит за такой защитой, его настоящий сервер скрыт, а ответы приходят от узлов защиты.

Заголовок X-Powered-By часто сообщает язык и версию, например PHP/7.4. Само по себе это не уязвимость, но устаревший PHP больше не получает исправлений безопасности, и это повод запланировать обновление.

В блоке аналитики видно, какие счётчики и виджеты загружает страница: Яндекс Метрика, Google Analytics, Tag Manager, Top.Mail.Ru, онлайн-чаты и коллтрекинг. Это удобно, чтобы проверить свой сайт после переезда: все ли счётчики на месте и не остался ли код старого сервиса, который давно не используется и только замедляет загрузку.

Зачем это знать

• Перед покупкой или передачей сайта. От платформы зависит, кто сможет его поддерживать, сколько стоят доработки и лицензии.
• Когда пропал разработчик. Понятно, какого специалиста искать и с чего начинать.
• Чтобы оценить конкурентов. На чём сделан их магазин, какие счётчики стоят, какой у них хостинг и защита.
• Для безопасности. Открытая версия PHP или CMS подсказывает ботам, какие уязвимости пробовать. Устаревшую версию стоит обновить, а заголовки с версиями скрыть.
• Перед заказом доработок. Подрядчику проще оценить задачу и сроки, когда заранее известны платформа, её версия, хостинг и подключённые сервисы.

Что делать с результатом

Если сайт на WordPress или Битриксе, первым делом проверьте, когда в последний раз обновлялись ядро и плагины и есть ли резервные копии. Если на конструкторе и его возможностей уже не хватает, можно переехать на свой код с сохранением дизайна и адресов страниц. Если сайт самописный и документации нет, начните с аудита: так станет понятно, в каком он состоянии и сколько стоит его поддерживать. А если сайт на конструкторе и его возможностей хватает, достаточно следить за оплатой подписки и продлением домена вовремя.