Quan sát, không khai thác
Trình kiểm tra nhận diện các chữ ký phản hồi công khai đã chọn. Nó không gửi tải tấn công, cố gắng đăng nhập, kiểm tra mật khẩu hoặc yêu cầu liệt kê thành phần.
Công cụ miễn phí, không cần tài khoản
Free WordPress Security Checker: Eight Live Configuration Checks
The WordPress security checker observes eight public configuration areas on a live WordPress site, from XML-RPC and the login path to debug leakage and sensitive files. No passwords are tested and no plugins are enumerated.
Còn được gọi là: Kiểm tra tăng cường WordPress, kiểm tra XML-RPC và REST API
Bằng chứng được hiển thị với nguồnKhông cần tài khoảnKhông có chỉ số nào được tạo ra.
Chạy một kiểm tra thực tế ở trên
Gửi một URL công khai, tên miền, hoặc từ khóa. Novaverb sẽ chỉ hiển thị bằng chứng mà công cụ này thực sự có thể lấy hoặc đo lường.
Định nghĩa
What is a WordPress security checker?
A WordPress security checker is a tool that looks at how a WordPress site is configured from the outside. The Novaverb WordPress Security Configuration Checker sends a bounded set of public HTTP requests to the submitted origin and reports eight named configuration observations, each on its own evidence and without a composite security score.
Phạm vi
What does the WordPress security checker check?
The WordPress security checker checks eight areas: XML-RPC status at xmlrpc.php, access to wp-login.php, WP_DEBUG leakage, directory listing in three wp-content directories, WordPress version disclosure in generator metadata, six security response headers, REST API user enumeration and six sensitive public paths, among them debug.log and one common wp-config.php backup name.
Dành cho ai
Who is the WordPress security checker for?
The WordPress security checker is for anyone responsible for a public WordPress site. A site owner checks whether a debug log or setup file was left reachable. A developer confirms that a hardening change is live after deploying it. An agency records the starting configuration of a site it is taking over.
Vì sao quan trọng
Why use a WordPress security checker?
A WordPress security check finds exposed configuration before someone else reads it. A public debug.log shows PHP and WordPress errors, a wp-config.php backup can expose configuration secrets, an open directory index lists files, and a users endpoint can return account identifiers. Each one answers any anonymous request until access is restricted.
Phương pháp
How does the WordPress security checker work?
The WordPress security checker works in a fixed sequence. The submitted address is fetched through a pinned public-IP safety check, and every redirect destination is checked again. A bounded WordPress path set is requested and exact response signatures are recognized. The homepage is read for version signals and six headers. Raw response bodies are then discarded.
- Chúng tôi tải địa chỉ công khai đã gửi thông qua bước kiểm tra an toàn với IP đã ghim và kiểm tra lại mọi điểm đến redirect.
- Chúng tôi yêu cầu một tập hợp đường dẫn WordPress giới hạn và nhận diện chính xác đăng nhập, XML-RPC, REST, chỉ mục thư mục, gỡ lỗi và chữ ký tệp nhạy cảm.
- Chúng tôi đã đọc trang chủ để tìm tín hiệu phiên bản WordPress và sáu tiêu đề bảo mật trình duyệt đã chọn.
- Chúng tôi loại bỏ các thân phản hồi thô và báo cáo tám quan sát cấu hình đã đặt tên mà không tạo ra một điểm số bảo mật tổng hợp.
Đầu vào
What do you enter into the WordPress security checker?
Enter a public WordPress domain or any URL on that site into the WordPress security checker. The address is normalized to the final public origin before WordPress paths are requested. Private and reserved targets, localhost included, are refused. A site that hides every recognizable public signal can return a result reading WordPress not confirmed.
Sử dụng nó như thế này
your-wordpress-site.comMột miền WordPress công khai hoạt động, và trình kiểm tra chuẩn hóa địa chỉ trước các yêu cầu giới hạn.https://www.your-wordpress-site.com/blogMột URL trang đầy đủ cũng hoạt động; các đường dẫn cấu hình WordPress được kiểm tra tại nguồn công khai cuối cùng.Tránh điều này
localhost / 10.0.0.8Các mục tiêu riêng tư và nội bộ bị từ chối bởi ranh giới an toàn IP công cộng.Expecting a vulnerability scanCông cụ này chỉ kiểm tra bằng chứng cấu hình công khai đã chọn; nó không khai thác, xác thực, hoặc liệt kê các thành phần đã cài đặt.Kết quả
What does the WordPress security checker report contain?
The WordPress security checker report contains a summary and eight numbered cards. The summary counts how many areas need review, how many showed no selected exposure and how many could not be concluded. Each card names the area and path checked, shows its state and gives a next action when something was observed.
Cách đọc
How do you read a WordPress security check result?
Read a WordPress security check result one area at a time, because no composite score exists. A clean header result cannot cancel an exposed debug log, and an unavailable response never becomes a pass. A reachable wp-login.php is normal WordPress behavior and a review item, not proof of a defect. Exposed logs and sensitive files come first.
Cách đọc kết quả cấu hình WordPress này
Không có điểm số bảo mật tổng hợp
Mỗi trong tám lĩnh vực đều dựa trên bằng chứng riêng của nó. Một kết quả tiêu đề sạch không thể hủy bỏ một nhật ký gỡ lỗi đã được công khai, và một phản hồi không khả dụng không bao giờ trở thành một thông qua.
Sửa, triển khai, kiểm tra lại
Ưu tiên các nhật ký lộ ra và tệp nhạy cảm, sau đó là phân loại người dùng công khai và các điểm cuối không cần thiết. Chạy lại kiểm tra chính xác sau khi triển khai mỗi thay đổi cấu hình.
Nguồn
Where does the WordPress security checker get its data?
The WordPress security checker gets its data from bounded live HTTP observations of the submitted public WordPress origin. Requests go to the homepage, xmlrpc.php, wp-login.php, the REST discovery and users endpoints, three wp-content directories and six sensitive paths. The result describes what those public responses returned on one origin at one moment.
Giới hạn
What does the WordPress security checker not tell you?
The WordPress security checker does not tell you that a WordPress site is secure. The review is non-intrusive and covers selected public HTTP responses only. Passwords are not tested and vulnerabilities are not exploited. Plugins and themes are not enumerated, source code is not inspected, and accounts, databases, malware and known software vulnerabilities are outside the check.
Bằng chứng
What does a WordPress security check result prove?
A WordPress security check result proves that a specific public response matched, or did not match, a recognized signature at that moment. An exposed finding means recognizable content was returned, not merely an HTTP 200. A clean result means the selected observations showed no exposure, while plugin vulnerabilities, weak accounts and server-side issues remain untested.
1. Nguồn
Quan sát HTTP trực tiếp có giới hạn từ nguồn WordPress công khai đã gửi. Kết quả xác định nguồn gốc của bằng chứng.
2. Ranh giới
Đây là một đánh giá cấu hình không xâm lấn của các phản hồi HTTP công khai đã chọn. Nó không kiểm tra mật khẩu, khai thác lỗ hổng, liệt kê các plugin, hoặc chứng minh rằng một trang web WordPress là an toàn.
3. Hành động tiếp theo
Sử dụng phát hiện để xác minh một vấn đề, sau đó kết nối một không gian làm việc khi bạn cần lịch sử, giám sát hoặc phân tích toàn bộ trang web.
Tiêu chuẩn
Which standards does the WordPress security checker apply?
The WordPress security checker applies WordPress documentation, an IETF specification and an OWASP project. WordPress documentation defines XML-RPC and REST API behavior. RFC 9110 defines the HTTP statuses read on each bounded path. The OWASP Secure Headers project supplies the six selected response headers. None of these turns a public response into proof of a vulnerability.
WordPressXML-RPC
WordPress XML-RPC support
Nhận diện xem điểm cuối XML-RPC công khai tiêu chuẩn có trả lời với chữ ký XML-RPC của WordPress hay không.
Đọc thông số kỹ thuậtWordPressREST API
WordPress REST API
Kiểm tra phát hiện REST riêng biệt với việc điểm cuối người dùng công khai trả về các định danh tài khoản.
Đọc thông số kỹ thuậtIETFRFC 9110
HTTP Semantics
Đọc trạng thái phản hồi của mỗi đường dẫn giới hạn trong khi bảo tồn các kết quả không khả dụng và bị hạn chế.
Đọc thông số kỹ thuậtOWASPSecure Headers
OWASP Secure Headers Project
Báo cáo sự hiện diện của sáu điều khiển tiêu đề phản hồi đã chọn mà không tuyên bố rằng các giá trị chính sách của chúng là đầy đủ.
Đọc thông số kỹ thuậtChúng tôi chỉ liệt kê một tiêu chuẩn khi công cụ này thực sự đọc hoặc đo lường theo đó. Khi một tín hiệu nằm ngoài kiểm tra trực tiếp, kết quả sẽ nói rõ điều đó thay vì ngụ ý rằng có sự bao phủ.
Xác minh
How can you verify a WordPress security check result yourself?
Verify a WordPress security check result by requesting the same public paths in a private browser window while signed out. Open the reported path, a wp-content directory for instance, and see whether an index page or file content comes back. View the homepage source and look for a generator meta tag that carries a WordPress version.
Ví dụ
What does a typical WordPress security check finding look like?
A typical WordPress security check finding is a site with WordPress signals observed and several areas marked for review. XML-RPC returns a recognizable response, the login form is publicly reachable, the generator metadata discloses a version and some of the six headers are not observed. Directory listing, debug leakage and sensitive paths show no selected exposure.
Chi phí
Is the WordPress security checker free?
The WordPress security checker is free and needs no account to run. An account is needed for what follows the check: a free workspace can crawl the site you choose, retain evidence over time and re-check configuration changes after you deploy them, so each fix is confirmed by a fresh observation.
Trong không gian làm việc
What does a Novaverb workspace add to the WordPress security checker?
A Novaverb workspace adds retained evidence and whole-site coverage to the WordPress security checker. Site Trust continues the job as a bounded scorecard for captured site trust signals, headers and supported external probes. The site is crawled, results are kept over time, and a configuration finding moves into a task that is rechecked.
Khi nào cần đi xa hơn
When is a free WordPress security check not enough?
A free WordPress security check is not enough when the question goes beyond eight public observations on one origin. Plugin vulnerabilities, authorization flaws, malware and weak accounts require separate authorized testing. A site spread over several origins needs each one checked. A site that changes often needs recurring observation, because a result holds only for its moment.
Bước kế tiếp
What should you do after running the WordPress security checker?
After running the WordPress security checker, act in priority order. Remove exposed logs, backup files and setup files from the web root. Restrict anonymous access to user data on the REST users endpoint. Disable or restrict XML-RPC when no publishing client or integration requires it. Add missing headers at the server or edge. Re-run the check after deploying.
Công cụ liên quan
Which free tools pair with the WordPress security checker?
The WordPress security checker pairs with free tools that cover what a WordPress path check leaves out. The Website Security Checker adds the TLS certificate and selected TCP-port probes for the same hostname. The Website Safety Checker looks the URL up on Safe Browsing threat lists. The Website Monitor runs a live availability check after a change.
Công cụ kiểm tra SEO websiteHomepage status, indexability, title, headings and links from one live scan
Công cụ nghiên cứu từ khóaFree keyword research tool: monthly searches, cost per click, ad …
Trình kiểm tra SERPFree SERP checker: the organic results for a keyword in …
Công cụ Kiểm tra Bảo mật Trang webFree website security checker: a limited outside check of a …
Kiểm tra thời gian phản hồi máy chủFree server response time checker: one live request from Germany, …
Phân tích BacklinksFree backlink checker: see the referring domains, link totals, follow …
Trình kiểm tra robots.txtFree robots.txt tester: fetch a site's live robots.txt and see …
Sitemap CheckerFree sitemap checker: find a site's XML sitemaps from robots.txt …
Trình kiểm tra thẻ metaFree meta tag checker: a page's live title, meta description, …
Trình kiểm tra trạng thái HTTP và chuyển hướngFree redirect checker: trace every hop of a URL's redirect …
Giám sát trang webFree website status checker: one live request to your address …
Kiểm tra HTTP/2Free HTTP/2 test: opens one live TLS connection to a …
Kiểm tra HTTP/3Free HTTP/3 test: attempts a real QUIC connection to a …
Kiểm tra Hiệu suất Trang webFree website performance test: time one request to your URL …
Trình kiểm tra GEOFree GEO checker: retrieve, quote, cite and graph signals from …
Công cụ kiểm tra Core Web VitalsFree Core Web Vitals checker: real-user LCP, INP and CLS …
Trình kiểm tra PageSpeedFree PageSpeed checker: a Lighthouse lab audit of a public …
Kiểm tra an toàn trang webFree website safety checker: see whether a URL is listed …
Kiểm tra Knowledge GraphFree Knowledge Graph checker: look up a brand or name …
Kiểm tra khoảng cách từ khóaFree keyword gap analysis: keywords a competitor ranks for and …
Các trang hàng đầu của đối thủFree competitor top pages tool: a domain's leading pages by …
Câu hỏi
What do people ask about the WordPress security checker?
The WordPress security checker FAQ answers whether the tool is a vulnerability scanner, whether XML-RPC should always be disabled and whether a public wp-login.php page is automatically insecure. Other answers explain how exposed debug output is detected, what counts as directory listing, how WordPress discloses its version and which sensitive paths are requested.
Công cụ Kiểm tra Cấu hình Bảo mật WordPress kiểm tra những gì?
Nó quan sát tám khu vực cấu hình công khai: XML-RPC, wp-login.php, đầu ra debug, danh sách thư mục, tiết lộ phiên bản WordPress, sáu tiêu đề bảo mật, điểm cuối người dùng API REST, và các đường dẫn nhạy cảm WordPress đã chọn.
Đây có phải là công cụ quét lỗ hổng WordPress không?
Không. Trình kiểm tra chỉ gửi các yêu cầu HTTP công khai có giới hạn. Nó không khai thác lỗ hổng, kiểm tra mật khẩu, phân loại plugin hoặc chủ đề, kiểm tra mã nguồn, hoặc tìm kiếm các lỗ hổng phần mềm đã biết.
Có nên luôn tắt XML-RPC không?
Không phải lúc nào cũng vậy. XML-RPC có thể hỗ trợ các khách hàng xuất bản, tích hợp và pingback. Nếu không có gì bạn sử dụng cần nó, hãy hạn chế hoặc vô hiệu hóa nó; nếu nó phải công khai, hãy bảo vệ nó bằng cách giới hạn tần suất và giám sát.
Trang wp-login.php công khai có tự động không an toàn không?
Không. Trang đăng nhập tiêu chuẩn thường là công khai, vì vậy khả năng tiếp cận là một mục xem xét thay vì bằng chứng của một khiếm khuyết. Sử dụng mật khẩu mạnh, xác thực đa yếu tố, giới hạn tần suất và giám sát thay vì dựa vào một URL ẩn.
Kiểm tra phát hiện đầu ra WP_DEBUG bị lộ như thế nào?
Nó tìm kiếm các chữ ký lỗi PHP và WordPress có thể nhận diện trong trang chính đã được ghi lại và phản hồi debug.log công khai. Nó không bao giờ hiển thị hoặc lưu trữ nội dung của nhật ký thô hoặc tệp cấu hình.
Những gì được coi là danh sách thư mục WordPress?
Trình kiểm tra yêu cầu các thư mục wp-content đã chọn và tìm kiếm một trang chỉ mục thực tế được tạo ra, chẳng hạn như một trang Chỉ mục với danh sách thư mục cha. Một phản hồi ứng dụng bình thường không được gán nhãn là danh sách thư mục.
WordPress có thể tiết lộ phiên bản của nó như thế nào?
Một trang có thể tiết lộ phiên bản WordPress thông qua siêu dữ liệu trình tạo của nó. Việc xóa siêu dữ liệu đó giảm thiểu việc nhận diện dễ dàng, nhưng việc cài đặt các bản cập nhật bảo mật vẫn là kiểm soát quan trọng.
API REST của WordPress có an toàn không?
Không. REST API là một tính năng bình thường của WordPress. Quan sát liên quan là liệu điểm cuối người dùng công khai có trả về các định danh tài khoản hay không; trình kiểm tra báo cáo khả năng sử dụng REST và phân loại người dùng một cách riêng biệt.
Những đường dẫn nhạy cảm của WordPress nào được kiểm tra?
Tập hợp đường dẫn giới hạn bao gồm tệp readme công khai và giấy phép, các màn hình cài đặt và thiết lập, debug.log, và một tên sao lưu wp-config.php phổ biến. Chỉ nội dung đã được công nhận mới được gán nhãn là lộ diện, và nội dung nhạy cảm thô được loại bỏ.
Kết quả cấu hình sạch có chứng minh rằng trang web an toàn không?
Không. Điều đó chỉ có nghĩa là các quan sát công khai được chọn không cho thấy những phơi bày cấu hình đó vào thời điểm đó. Các lỗ hổng plugin, lỗi ủy quyền, phần mềm độc hại, tài khoản yếu và vấn đề phía máy chủ cần kiểm tra ủy quyền riêng biệt.