CMS-felismerés (technográfia)

Javítási útvonal

Egy hibalista önmagában kevés. A noindex a kosáron WooCommerce alatt egy pipa a plugin beállításai közt, Shoprenter alatt admin-kapcsoló, egyedi fejlesztésen kódmódosítás. A felismert rendszer nélkül minden javaslat általánosság marad.

Biztonsági kitettség

A pontos verziószám nyilvános CVE-listákkal párosítható. Ha a HTML kiírja, hogy WordPress 5.4, azzal a támadó megspórolja a felderítést. A magyar KKV-oldalak többségén a generator tag érintetlenül ott van.

AI-értelmezhetőség

A nyelvi modellek nem a CMS-t olvassák, hanem annak kimenetét. A rendszer viszont meghatározza, milyen sémát, milyen HTML-struktúrát és milyen betöltési sorrendet kapsz alapból. Egy jól konfigurált Shopify-bolt automatikusan ad Product sémát, egy régi egyedi rendszer semmit.

Üzleti következmény

A technográfia megmutatja a technikai adósságot is. Ha egy oldalon három analitika-szkript fut párhuzamosan, vagy egy használaton kívüli webshop-plugin még aktív, az lassít és zajt ad.

Vonatkozik

• minden nyilvános weboldalra és webshopra, típustól függetlenül
• sablonos rendszerekre (WordPress, Shopify, Unas webáruház, Shoprenter) és egyedi fejlesztésekre egyaránt
• headless felállásokra, ahol a frontend és a backend külön technológia

Kevésbé vagy egyáltalán nem vonatkozik

• jelszóval védett staging- és fejlesztői környezetekre, ahol a külső felismerés nem lát be
• belső hálózaton futó alkalmazásokra
• egyetlen statikus HTML-lapra, ahol nincs mit felismerni

Staging esetén külön figyelj: ha az nyilvánosan elérhető, a felismerés ugyanúgy működik rajta, és a duplikált tartalom is valós kockázat.

Lépések

1. Nyisd meg az oldalt, majd a böngésző devtools Network fülén töltsd újra. Nézd meg a betöltött fájlok domainjét és útvonalát.
2. A Elements fülön keress rá a generator szóra. Ha van <meta name="generator">, ott a rendszer neve, néha verzióval.
3. Az Application fülön nyisd ki a Cookies részt. A sütik nevei sokszor beszédesebbek a HTML-nél.
4. Terminálban kérj csak fejlécet: curl -sI https://pelda.hu. Figyeld a Server, X-Powered-By, Set-Cookie és Via értékeket.
5. Ellenőrizd a tipikus admin-útvonalakat böngészőben (/wp-admin/, /admin/). A válasz státuszkódja is jel.
6. Nézd meg a mérőkódokat: Google Analytics 4 (GA4), Google Tag Manager (GTM), Meta Pixel jelenléte a HTML forrásából látszik.

Jó jelek

• a felismert CMS és verzió naprakész
• nincs X-Powered-By és nincs verziószám a Server fejlécben
• egyetlen mérőkód-rendszer fut, nem három párhuzamosan
• a CDN (tartalomszolgáltató hálózat) fejlécei jelzik, hogy a gyorsítás valóban aktív

Rossz jelek

• <meta name="generator" content="WordPress 5.4"> típusú pontos verzió a HTML-ben
• X-Powered-By: PHP/7.2 a válaszban
• két webshop-motor nyomai egy oldalon (migráció maradványa)
• olyan plugin-fájlok, amelyek funkciója már nem használt

A cél nem az elrejtés. A cél a pontos verziószám eltüntetése és a maradványok kitakarítása.

WordPress

1. Frissítsd a core-t, a sablont és a pluginokat a legutolsó stabil verzióra.
2. A generator tag eltávolítása egy sor a témád functions.php-jában: remove_action('wp_head', 'wp_generator');
3. Kapcsold ki a ?ver= paramétert a CSS- és JS-fájlokon, ha az verziót szivárogtat.
4. Töröld a deaktivált pluginokat, ne csak kapcsold ki. A fájlok maradnak, és felismerhetők.
5. A X-Powered-By fejlécet a szerveren kapcsold ki (expose_php = Off a php.ini-ben).

Shopify

1. A platform verzióját nem te kezeled, itt a sablon a dolgod.
2. Töröld a nem használt app-ok maradék szkriptjeit a theme.liquid-ból. Az app eltávolítása nem mindig tisztít.
3. Nézd át a Settings > Apps listát, és vedd ki, amit nem használsz.

Unas

1. Az admin felületen ellenőrizd, melyik sablonverzió aktív, és frissíts, ha van újabb.
2. A saját HTML-beszúrásokat nézd át: onnan gyakran marad benne régi mérőkód.
3. A platform fejléceit nem te állítod, ezekkel ne foglalkozz.

Shoprenter

1. Ellenőrizd a sablon verzióját, és kérd a frissítést, ha elmaradt.
2. A beépülő modulok listájából vedd ki a nem használtakat.
3. A saját szkript-beszúrásokat vezesd át Tag Manageren, hogy egy helyen legyenek.

Egyedi fejlesztés

1. Kapcsold ki a keretrendszer alapból beállított azonosító fejléceit. Laravelnél és Expressnél is van rá beállítás.
2. Nginxben: server_tokens off;. Apache-nál: ServerTokens Prod és ServerSignature Off.
3. Vedd fel a release-folyamatba, hogy a build ne írjon verziót a HTML-be.
4. A Server-fejléc kitettség cikk további fejléceket is felsorol.

• A generator tag verzióval együtt marad a HTML-ben - egy nyilvános CVE-kereséssel azonnal kiderül, támadható-e az oldal.
• Az elrejtést biztonságnak hiszik - a fejléc letiltása csak lassítja a felderítést, a frissítést nem váltja ki.
• A deaktivált plugint nem törlik - a fájlok elérhetők maradnak, és sérülékeny kód futtatható marad rajtuk.
• Migráció után két rendszer nyomai maradnak - régi útvonalak, halott szkriptek, és egy használaton kívüli webshop-plugin.
• Három mérőkód fut párhuzamosan - duplikált események, rossz adat, és plusz render-blokkoló erőforrás.
• A CDN-t összekeverik a szerverrel - a Server: cloudflare fejlécből azt hiszik, ez a hosting, és rossz helyen keresik a hibát.
• Staging-környezet nyilvánosan fut - a felismerés ott is működik, ráadásul az oldal indexelhető is lehet.

Fejlécek kérése és a jellegzetes nyomok:

curl -sI https://pelda.hu

# HTTP/2 200
# server: cloudflare
# x-powered-by: PHP/7.4.33
# link: <https://pelda.hu/wp-json/>; rel="https://api.w.org/"
# set-cookie: wordpress_test_cookie=WP+Cookie+check; path=/

Itt három dolog derül ki: a Server a CDN (tartalomszolgáltató hálózat)-t mutatja, az X-Powered-By régi PHP-t szivárogtat, a wp-json link és a süti pedig WordPress-t jelez.

Tipikus HTML-nyomok:

<meta name="generator" content="WordPress 6.5.2" />
<meta name="generator" content="WooCommerce 8.7.0" />
<link rel="stylesheet" href="/wp-content/themes/sajat/style.css?ver=1.2" />
<script src="https://cdn.shopify.com/s/files/1/0001/assets/theme.js"></script>

A két generator tag egyszerre WordPress-t és WooCommerce-t azonosít. A cdn.shopify.com hivatkozás Shopify-t jelez. A ?ver=1.2 a sablon verzióját is kiírja, ez elhagyható.

WordPress alatt a generator tag eltávolítása:

# functions.php (child theme)
remove_action('wp_head', 'wp_generator');