Ce que fait cet outil
WordPress laisse souvent plusieurs indices publics de sa présence et de sa version : une balise <meta name="generator"> dans le code source de chaque page, un fichier readme.html qui affiche la version en clair, et une structure de fichiers reconnaissable (/wp-content/, /wp-includes/). Cet outil vérifie les trois signaux et combine leurs résultats en un seul diagnostic.
Pourquoi la version compte
WordPress publie régulièrement des correctifs de sécurité, et chaque annonce de faille précise quelles versions sont concernées. Un site qui affiche encore une version vieille de plusieurs mois n'a probablement pas appliqué les derniers correctifs — ce n'est pas une preuve de vulnérabilité en soi, mais c'est le premier indice que cherche quiconque scanne le web à la recherche de cibles faciles. Connaître sa propre version exposée permet de vérifier si elle est à jour avant que quelqu'un d'autre ne le remarque.
Pourquoi certains sites ne sont pas détectés comme WordPress
Masquer la balise generator et supprimer readme.html sont des recommandations de durcissement WordPress classiques — de nombreux guides de sécurité les préconisent. Un site correctement durci qui a fait ces deux choses ne renverra aucune version ici, et cet outil se rabat alors sur des chemins caractéristiques (/wp-content/, /wp-includes/, /wp-login.php) pour au moins confirmer la présence de WordPress, même sans indication de version.
Ce que ce détecteur ne fait pas
Il ne tente pas d'identifier les plugins ou thèmes installés — cette détection repose sur des empreintes de fichiers statiques peu fiables, avec un taux d'erreur élevé et un besoin de maintenance permanent face aux mises à jour. Ce détecteur se limite au cœur WordPress, la seule partie où la détection reste fiable dans la durée.
Un exemple concret
Un site qui affiche WordPress 5.2 dans sa balise generator, alors que la version actuelle est très supérieure, mérite une vérification immédiate : chaque version majeure intermédiaire a corrigé des failles connues, potentiellement encore exploitables sur ce site. À l'inverse, un site qui ne révèle aucune version mais où /wp-content/ répond correctement est simplement un WordPress bien configuré — la prudence côté publication d'informations, pas une alerte en soi.