De ce și cum ascunzi versiunea WordPress de atacatori

Orice site WordPress lăsat pe setările implicite își anunță singur versiunea către oricine trece pe acolo. Numărul e scris în codul sursă, în URL-urile fișierelor CSS și JS, uneori chiar și în feed-ul RSS. Pentru un atacator, informația asta e ca un număr pe ușă: dacă versiunea ta are o vulnerabilitate cunoscută, el știe imediat ce exploit să încerce. De aceea, dacă înveți cum să ascunzi versiunea WordPress, elimini unul dintre cele mai ușoare indicii pe care le oferi boților care scanează internetul non-stop.

Să fim corecți de la început: ascunderea versiunii nu repară nicio breșă și nu e un zid de netrecut. Este securitate prin obscuritate — un strat subțire care reduce zgomotul, îngreunează scanările automate și te scoate din listele generate pentru „WordPress 6.3″. Gândește-te la ea ca la geamurile fumurii ale unei mașini: nu opresc un hoț hotărât, dar îl împing spre o țintă mai ușoară. Merită făcută fiindcă durează câteva minute și nu costă nimic, dar are sens doar alături de măsuri reale.

Ce dezvăluie, de fapt, instalarea ta

Înainte să ascunzi ceva, e bine să știi de unde se scurge informația. WordPress lasă urme în mai multe locuri simultan:

• Meta tag-ul generator — o linie meta name="generator" plasată automat în <head>.
• Parametrul din fișiere — ?ver=6.x lipit de fiecare CSS și JS încărcat.
• Feed-urile RSS și Atom — conțin un tag generator cu versiunea completă.
• Fișierul readme.html — de la rădăcina site-ului, afișează versiunea în clar, la vedere.
• Antetele HTTP — uneori serverul sau un plugin adaugă versiunea în răspuns.

Un scaner precum WPScan verifică toate aceste puncte în câteva secunde și îți construiește un profil. Boții nu discriminează — testează milioane de site-uri pe zi și se opresc acolo unde găsesc o versiune veche, cunoscută public ca vulnerabilă. Dacă le închizi pe rând, îi oferi un răspuns mult mai vag și îl obligi să muncească mai mult pentru mai puțin.

Cum ascunzi versiunea WordPress din cod

Cea mai curată metodă e prin cod, în functions.php al temei copil sau într-un mic plugin „must-use”. Nu atinge niciodată fișierele din nucleu — se suprascriu la fiecare actualizare și pierzi modificările.

Scoate generatorul și parametrul de versiune

Un remove_action('wp_head', 'wp_generator') șterge meta tag-ul din antet. Apoi filtrezi style_loader_src și script_loader_src ca să elimini ?ver din URL-urile resurselor, iar un filtru pe the_generator care întoarce un string gol curăță și feed-urile. Trei intervenții mici acoperă cele mai comune scurgeri.

Blochează fișierele care „vorbesc”

Șterge sau interzice accesul la readme.html și license.txt din rădăcină. În paralel, dezactivează xmlrpc.php dacă nu-l folosești și blochează accesul neautentificat la /wp-json/wp/v2/users, ca să nu expui nici versiuni, nici nume de utilizatori — două indicii pe care atacatorii le combină des.

Plugin sau cod: ce să alegi

Dacă nu ești confortabil cu editarea temei, plugin-uri de securitate precum Wordfence sau iThemes Security ascund versiunea printr-un singur bifat. E o soluție validă pentru începători. Dezavantajul e că adaugi încă un plugin activ și încă un panou de configurat. Pentru un site pe care îl întreții serios, cele câteva linii de cod din tema copil rămân mai rapide și mai ușor de auditat decât un plugin generalist.

Ce nu rezolvă ascunderea versiunii

Aici se păcălesc mulți. Chiar dacă ștergi eticheta din <head>, versiunile plugin-urilor rămân adesea vizibile în propriile fișiere, iar amprenta HTML a unei teme populare poate trăda oricum generația de WordPress pe care o rulezi. Ascunderea e utilă, dar nu înlocuiește igiena de bază:

• Actualizează nucleul, tema și plugin-urile în ziua în care apar patch-urile de securitate.
• Șterge orice temă sau plugin nefolosit — cod inactiv înseamnă suprafață de atac gratuită.
• Pune un firewall (Wordfence sau Cloudflare) în fața site-ului și limitează încercările de login.
• Fă backup zilnic off-site, ca să te poți întoarce rapid și curat după un incident.

Dacă vrei imaginea completă, ghidul nostru de securitate WordPress acoperă toate straturile, de la antetele HTTP și CSP până la 2FA pe zona de admin.

Verifică rezultatul, nu presupune

După ce aplici modificările, testează concret. Deschide codul sursă al paginii și caută cuvântul „generator”; verifică un fișier CSS și confirmă că a dispărut ?ver; încearcă să accesezi /readme.html și așteaptă un 403 sau 404. Abia când toate răspund cum trebuie poți spune că ai reușit.

Pentru context și bune practici oficiale, manualul de securitate WordPress explică pe larg de ce amprenta minimă contează: ghidul de hardening de pe developer.wordpress.org.

Concluzie

Să ascunzi versiunea WordPress e o mișcare rapidă și inteligentă, dar doar prima dintr-un lanț. Ea reduce zgomotul și descurajează scanările leneșe, însă protecția reală vine din actualizări la timp, cod curat, firewall și backup. Trateaz-o ca pe încuietoarea de la ușă: utilă, dar niciodată singura ta apărare. Dacă nu ești sigur ce mai dezvăluie site-ul tău chiar acum, un audit gratuit îți arată exact ce văd atacatorii înainte să apeși pe orice buton.

Citește și: Recuperarea unui site WordPress infectat când nu ai un backup curat.