Как узнать, на какой CMS сделан сайт

Зачем узнавать CMS сайта

CMS (система управления содержимым) - это движок, на котором работает сайт: WordPress, 1С-Битрикс, Tilda, Joomla, OpenCart и другие. Узнать CMS сайта полезно в нескольких ситуациях:

• вы выбираете платформу для своего проекта и смотрите, на чём сделаны успешные сайты конкурентов;
• к вам пришёл клиент, а прежний разработчик пропал, и нужно понять, с чем предстоит работать;
• вы ищете подрядчика и хотите оценить, на каких движках он делает сайты;
• вы проводите аудит и проверяете, не устарела ли версия CMS у своего сайта.

Все способы ниже используют только то, что сайт сам открыто отдаёт любому посетителю: код страницы, файлы и заголовки. Ничего взламывать не нужно.

Способ 1. По исходному коду страницы

Это самый надёжный и быстрый способ, он не требует никаких сервисов. Большинство CMS оставляют в коде свои следы: названия папок с файлами, служебные мета-теги, характерные классы.

1. Откройте любую страницу сайта в браузере.
2. Нажмите Ctrl+U (на Mac Cmd+Option+U), откроется исходный код.
3. Нажмите Ctrl+F и поищите слово generator.
4. Если мета-тега нет, поищите названия папок: wp-content, bitrix, tildacdn, catalog/view, com_content.
5. Посмотрите, откуда подключаются стили и скрипты в начале кода: путь к файлам часто сразу выдаёт движок.

Мета-тег generator выглядит так: <meta name="generator" content="WordPress 6.8">. Он показывает не только движок, но и версию. Многие владельцы его скрывают ради безопасности, поэтому отсутствие тега ничего не значит, а вот пути к файлам скрыть гораздо сложнее.

Признаки популярных CMS в коде и адресах

Запомнить всё не нужно, достаточно сверяться с таблицей. Если нашли хотя бы два признака из строки, движок определён почти наверняка.

WordPress

Самый частый результат проверки. Кроме папок wp-content и wp-includes, WordPress выдаёт адрес /wp-json/ (интерфейс REST API) и характерные классы в теле страницы вроде wp-block-. Название темы оформления видно прямо в пути: /wp-content/themes/название-темы/, а плагины - в /wp-content/plugins/.

1С-Битрикс

Битрикс часто стоит у интернет-магазинов и корпоративных сайтов. Кроме папки /bitrix/, его выдаёт заголовок ответа сервера X-Powered-CMS: Bitrix Site Manager и cookie с префиксом BITRIX_SM_. О том, когда стоит выбирать эту платформу для магазина, рассказано в материале магазин на Bitrix.

Tilda

Сайты на Tilda узнаются по подключениям с домена tildacdn.com и блокам с классами t-rec, t-records. Это конструктор, поэтому привычной админки на самом сайте нет. Иногда внизу страницы стоит плашка "Made on Tilda", если владелец на бесплатном тарифе.

Joomla и OpenCart

У Joomla в адресах страниц бывают параметры option=com_content, а в коде пути /components/ и /modules/. OpenCart обычно у небольших магазинов: в адресах встречается index.php?route=product/product, а стили лежат в catalog/view/theme/.

Способ 2. По адресам админки и служебным файлам

Если в коде всё скрыто, допишите к адресу сайта типичный путь входа в панель управления из таблицы выше, например example.ru/wp-admin/ или example.ru/bitrix/admin/. Если открылась форма входа с логотипом движка, вопрос решён.

Достаточно увидеть страницу входа. Не пробуйте подбирать логин и пароль на чужом сайте: это незаконно. Многие сайты к тому же блокируют IP за частые обращения к админке.

Ещё один открытый источник - файл robots.txt по адресу example.ru/robots.txt. В нём часто закрыты служебные папки движка: строки Disallow: /wp-admin/ или Disallow: /bitrix/ говорят сами за себя. Подробнее о том, что пишут в этом файле, рассказано в статье про файл robots.txt, а для своего сайта его можно собрать в генераторе robots.txt.

Способ 3. По заголовкам ответа сервера и cookie

Сервер вместе со страницей отдаёт служебные заголовки, их видно в инструментах разработчика.

1. Откройте сайт и нажмите F12.
2. Перейдите на вкладку "Network" ("Сеть") и обновите страницу клавишей F5.
3. Кликните по самой первой строке, это сам документ.
4. В разделе "Response Headers" посмотрите заголовки X-Powered-By, X-Powered-CMS, X-Generator.
5. На вкладке "Application" - "Cookies" посмотрите названия cookie: BITRIX_SM_, wordpress_, OCSESSID (OpenCart).

То же самое можно сделать одной командой в консоли: curl -sI https://example.ru/ покажет только заголовки без кода страницы.

Способ 4. Узнать CMS сайта онлайн через сервисы

Если разбираться в коде не хочется, вставьте адрес в онлайн-сервис. Они проверяют сотни признаков сразу и показывают не только CMS, но и счётчики, библиотеки, сервер.

Сервисы ошибаются на сильно переделанных сайтах и на самописных движках. Если результат вызывает сомнения, сверьте его с кодом страницы.

Способ 5. Расширения браузера

Если вы часто смотрите чужие сайты, удобнее поставить расширение. Wappalyzer есть для Chrome, Яндекс Браузера (через каталог расширений Chrome) и Firefox: при открытии любого сайта иконка показывает его технологии в один клик. Похожим образом работают WhatRuns и аналоги. Расширение анализирует ту же страницу, что и вы видите, поэтому заодно определяет счётчики, CDN и подключённые шрифты.

Ставьте только расширения из официального каталога с большим числом установок. Расширение видит все открытые страницы, и сомнительное может собирать данные.

Если CMS определить не удаётся

Бывает, что ни один способ не даёт ответа. Обычно это значит одно из трёх:

• Самописный сайт. Разработчики сделали его на фреймворке (Laravel, Django, Symfony) без готовой CMS. Иногда фреймворк выдаёт cookie вроде laravel_session.
• Статический сайт. Страницы собраны генератором и лежат как готовые HTML-файлы, движка на сервере нет совсем.
• Скрытые следы. Владелец переименовал папки, убрал мета-теги и заголовки. Так поступают крупные проекты ради безопасности.

Если вы выбираете CMS для себя, а не изучаете чужую, полезно сравнить варианты по стоимости поддержки: об этом материал как сэкономить на создании сайта: слово о CMS, а бесплатные способы запуска описаны в статье как создать сайт бесплатно.

Что проверить на своём сайте

Если всё, что вы нашли у других, видно и у вас, это нормально. Но стоит убрать из открытого доступа номер версии движка: по нему злоумышленники ищут сайты с известными уязвимостями. Обновляйте CMS и плагины, удаляйте неиспользуемые темы и расширения, закройте файлы установки. Эти пункты входят в технический раздел чек-листа бесплатный SEO-аудит сайта.