Определение CMS: как узнать движок сайта по коду и онлайн — инструкция для новичка

Что такое определение CMS и зачем оно нужно

CMS (Content Management System, система управления сайтом) — это движок, на котором сайт хранит страницы, меню и настройки. Самые известные примеры — WordPress, Joomla, 1С-Битрикс и Drupal. Определение CMS — это установление такого движка по внешним признакам: исходному коду, адресам служебных страниц и заголовкам ответа.

Возьмём домен example.com. Вы открываете его в браузере, смотрите код страницы и проверяете адрес /wp-login.php. Полная проверка занимает около 5 минут и состоит из 7 шагов, а вывод делают минимум по 3 независимым признакам. Алгоритм подробно описан в материале, как узнать CMS сайта, а общую картину даёт статья про движок сайта.

Эта проверка выручает в трёх случаях:

• Доработка чужого сайта: вы заранее знаете, какие плагины и шаблоны искать, и не ломаете код вслепую.
• Переезд на новый хостинг: от движка зависят версия PHP, объём ОЗУ в ГБ и число ядер vCPU.
• Анализ конкурента: вы видите, на чём построен его сайт и какие модули он использует.

Если проекту нужен собственный сервер, пригодится VDS (Virtual Dedicated Server, виртуальный выделенный сервер). Подбирать его проще, когда движок уже известен.

Как работает определение CMS: по каким признакам движок выдаёт себя

Любая CMS (система управления сайтом) оставляет следы в трёх местах: в исходном коде страницы, в адресах служебных страниц и в HTTP-заголовках (HyperText Transfer Protocol, протокол передачи страниц). Эти следы видны без доступа к серверу: сайт открывается по портам 80 (HTTP) и 443 (HTTPS), и заголовки приходят в ответ на любой запрос. Как порт связан с адресом, объясняет статья про IP-адрес и порт.

Исходный код открывается сочетанием Ctrl+U. В нём ищут тег meta name="generator", путь /wp-content/ и подключаемые скрипты. Служебные страницы проверяют по адресам: /wp-login.php у WordPress, /administrator/ у Joomla, /bitrix/admin/ у 1С-Битрикс, /user/login у Drupal. Код ответа 200 означает, что страница есть, 403 — доступ закрыт, 404 — страницы нет.

Заголовки показывает команда curl -I https://example.com: ищите в ответе X-Powered-By и Set-Cookie. Как читать такой ответ, разобрано в материале о проверке ответа сервера.

Один признак ненадёжен: тег generator и заголовок X-Powered-By владелец удаляет за пару минут, а путь в коде может остаться от старого движка. Поэтому делайте вывод минимум по 3 независимым признакам, например так:

• маркер в исходном коде совпал с ожидаемым движком;
• страница входа отвечает кодом 200 или 403, а не 404;
• заголовок или cookie указывает на тот же движок.

Другие данные о проекте собраны в разборе сведений о сайте.

Как сделать определение CMS пошагово за 5 минут

Полная ручная проверка занимает около 5 минут и состоит из 7 шагов. Вам понадобятся браузер и терминал. В примерах используется домен example.com: замените его на адрес своего сайта.

Сначала вы изучите код страницы, затем служебные адреса, потом заголовки HTTP (HyperText Transfer Protocol, протокол передачи гипертекста). Общий порядок действий описан в материале как определить CMS сайта, а детали по отдельным признакам собраны в статье как проверить CMS. Выполняйте шаги по порядку:

1. Откройте https://example.com в браузере и убедитесь, что страница загружается.
2. Нажмите Ctrl+U (на macOS — Option+Cmd+U), чтобы открыть исходный код страницы.
3. Нажмите Ctrl+F и введите generator. Тег meta name="generator" часто содержит название движка и версию.
4. Найдите в коде строки wp-content, bitrix и joomla, а также подключаемые скрипты и стили.
5. Откройте адреса /wp-login.php (WordPress), /administrator/ (Joomla), /bitrix/admin/ (1С-Битрикс) и /user/login (Drupal). Код ответа 200 означает, что страница есть, 403 — доступ закрыт, 404 — страницы нет.
6. Выполните в терминале curl -I https://example.com и посмотрите заголовки, например X-Powered-By и Set-Cookie.
7. Сверьте результат в Wappalyzer или на странице 2ip.io/ru/cms. Базовая проверка бесплатна.

Читайте результат по совокупности: вывод о движке делайте минимум по 3 независимым признакам. Например, generator со словом WordPress, путь /wp-content/ в коде и ответ 200 на /wp-login.php вместе дают уверенный ответ. Один признак ненадёжен: тег generator и заголовок X-Powered-By владелец может удалить за пару минут, а код 403 говорит лишь о закрытом доступе. Онлайн-сервисы ошибаются на сайтах за защитой, поэтому доверяйте им после ручной проверки. Если страницы не открываются, проверьте доступность портов 80 и 443 по инструкции как проверить порт онлайн и командами. Когда движок известен, подберите VPS под его требования.

Какие признаки у популярных CMS: таблица адресов и маркеров

Таблица ниже сопоставляет пять движков с тремя типами признаков. В колонке «Вход в админку» указан адрес страницы авторизации: допишите его к домену, например example.com/wp-login.php. Код ответа 200 означает, что страница есть, 403 — доступ закрыт, 404 — страницы нет.

Колонка «Маркер в коде» показывает, что искать в исходнике страницы после Ctrl+U (на macOS — Option+Cmd+U). «Служебный путь» — каталог, который встречается в ссылках на скрипты, стили и картинки. Плагины безопасности нередко переносят вход в админку и удаляют тег generator, поэтому сверяйте минимум 3 признака, а не один.

Если признаки не сходятся, узнайте, на каком движке работает сайт, другим способом или получите данные о сайте по адресу.

Типичные ошибки при определении CMS и что с ними делать

Новички чаще всего ошибаются в четырёх местах: судят по внешнему виду темы, верят мета-тегу generator, доверяют одному сервису и путают CMS с конструктором или фреймворком. Каждая ошибка даёт неверный ответ и ведёт к неподходящему серверу.

Ниже разобрано, как выглядит каждая ошибка и чем её заменить.

1. Судить по внешнему виду темы

Один и тот же дизайн встречается на WordPress, Joomla и самописных движках, а шаблоны переносят между системами. Откройте исходный код сочетанием Ctrl+U (на macOS — Option+Cmd+U) и найдите путь /wp-content/ и подключаемые скрипты. Затем проверьте страницу входа: /wp-login.php, /administrator/, /bitrix/admin/ или /user/login.

2. Верить мета-тегу generator без сверки

Тег meta name="generator" и заголовок X-Powered-By владелец удаляет за пару минут. Поэтому пустой код не доказывает отсутствие движка, а найденный тег требует подтверждения. Выполните curl -I https://example.com и сравните код ответа: 200 — страница есть, 403 — доступ закрыт, 404 — страницы нет.

3. Доверять одному сервису

Wappalyzer, BuiltWith и 2ip.io/ru/cms бесплатны в базовой проверке, но ошибаются на сайтах за защитой. Прогоните домен минимум через два сервиса и сравните с ручным результатом. Если ответы расходятся, добавьте независимые данные:

• проверьте DNS-записи домена, чтобы увидеть, куда он направлен;
• узнайте данные whois по IP-адресу, чтобы понять, у какого хостинга размещён сайт;
• проверьте открытые порты 80 (HTTP) и 443 (HTTPS).

4. Путать CMS с конструктором или фреймворком

Tilda и Wix — конструкторы, а Laravel — фреймворк, то есть набор библиотек для разработки, а не готовая система управления. Самописные и headless-сайты (где вывод страниц отделён от админки) часто не определяются вовсе. Если маркеров нет, запишите «не определено» и не подставляйте ближайший вариант.

Короче говоря, считайте каждый признак подсказкой, а не доказательством. Три совпавших маркера дают надёжный ответ, а расхождение — повод проверить ещё раз.

Ручная проверка или онлайн-сервис: что выбрать

Ручная проверка занимает около 5 минут и состоит из 7 шагов: вы открываете исходный код по Ctrl+U, проверяете адреса входа вроде /wp-login.php и читаете заголовки через curl -I. Зато вы видите детали, которых нет в отчёте сервиса: подключаемые скрипты, код ответа 200, 403 или 404, пути к файлам темы. Каждый признак вы оцениваете сами.

Wappalyzer, BuiltWith и 2ip.io/ru/cms отвечают за секунды, а базовая проверка в них бесплатна. Но сервис выдаёт готовый вердикт без пояснений и ошибается, если сайт закрыт защитой, отдаёт страницу из кэша или скрывает заголовки. Владелец удаляет meta name="generator" и заголовок X-Powered-By за пару минут, и тогда сервис остаётся без главных подсказок. Если ответ выглядит странно, проверьте IP-адрес сайта: за защитным прокси сервис видит чужой сервер, а не ваш.

Лучше сочетать оба способа: сначала получите быстрый ответ от сервиса, затем подтвердите его вручную. Считайте движок найденным, когда совпали минимум 3 независимых признака. Коротко сравнить подходы можно так:

• Время: вручную около 5 минут, в сервисе несколько секунд.
• Детали: вручную видны причины вывода, сервис показывает только результат.
• Защита и кэш: сервис ошибается чаще, вручную можно перепроверить каждый признак.
• Цена: базовая проверка в обоих случаях бесплатна.

Что делать после определения CMS: хостинг и сервер под движок

Название движка — исходные данные для выбора сервера. Откройте страницу требований вашей CMS (Content Management System, системы управления сайтом) и выпишите три параметра: версию PHP, объём ОЗУ в ГБ и число vCPU (виртуальных ядер процессора). Текущую версию PHP на сервере покажет команда php -v: старый плагин или модуль может не запуститься на новой версии.

Небольшому сайту-визитке обычно хватает виртуального хостинга. Магазин на 1С-Битрикс или посещаемый портал лучше держать на VPS (виртуальном выделенном сервере), где вы сами задаёте ресурсы: для старта часто достаточно 2 ГБ ОЗУ и 1–2 vCPU, но точные значения зависят от движка и нагрузки. Стоимость зависит от тарифа, поэтому сравнивайте конфигурации, а не названия планов. Чтобы не гадать, подберите VPS под ваш движок, а про мощные конфигурации читайте в материале о быстрых VDS.

Затем проверьте остальные компоненты:

• база данных: WordPress и Joomla работают с MySQL, а чем она отличается от PostgreSQL, показывает сравнение двух СУБД;
• диск: NVMe быстрее SATA при частых обращениях к базе, подробности в разборе SATA и NVMe;
• порты: сайт должен открываться по 80 (HTTP) и 443 (HTTPS);
• возраст: учтите возраст сайта и возраст домена как дополнительные данные об истории проекта.

Когда определение CMS не поможет

Метод работает, пока сайт отдаёт типовые признаки движка. На самописной системе, конструкторе или headless-сайте (фронтенд отделён от админки и общается с ней через API) вы не найдёте ни /wp-content/, ни /administrator/. Три независимых признака не набрать, если их просто нет.

Сайты за CDN (сетью доставки контента) тоже часто скрывают следы. Владелец за пару минут удаляет мета-тег generator и заголовок X-Powered-By, а защита отвечает кодом 403 вместо сайта. Онлайн-сервисы на таких сайтах ошибаются.

Если проверка зашла в тупик, переключитесь на другие источники:

• найдите владельца домена в открытых данных WHOIS и напишите ему;
• узнайте IP-адрес и записи через проверку DNS-записей домена;
• посмотрите, открыты ли порты 80 и 443, через проверку открытых портов;
• спросите разработчика или хостинг-провайдера напрямую.

Работайте только с открытыми данными: не подбирайте пароли к /wp-login.php и не запускайте сканеры, которые нагружают чужой сайт. Перед переходом на незнакомый адрес можно проверить ссылку на безопасность.