Un bot puede visitar una página web por primera vez y, en pocos segundos, obtener pistas sobre el CMS, el servidor, las librerías, los plugins o incluso algunos servicios que utiliza. No necesita acceder al panel de administración: muchas de esas señales forman parte de la propia web pública.
Este proceso suele relacionarse con el fingerprinting tecnológico: observar características de una web para intentar identificar las tecnologías que existen detrás de ella.
Entender cómo funciona ayuda a comprender por qué ocultar una página de acceso, cambiar una URL o eliminar una referencia concreta no convierte automáticamente una tecnología en invisible.
¿Qué es el fingerprinting de una página web?
El fingerprinting consiste en identificar un sistema a partir de las características que expone.
En una web, estas características pueden encontrarse en muchos lugares: el HTML enviado al navegador, las cabeceras HTTP, los nombres de determinados recursos, las cookies, las respuestas del servidor o la estructura utilizada para cargar imágenes, hojas de estilo y JavaScript.
Una única señal no siempre permite identificar una tecnología con certeza. Sin embargo, cuando varias coinciden, la identificación puede resultar mucho más fiable.
1. El código HTML puede dejar muchas pistas
Todo navegador necesita recibir información para construir una página. Parte de ella puede revelar qué herramientas se utilizaron para generarla.
Un sistema automatizado puede analizar referencias a hojas de estilo, scripts, imágenes, metadatos y otras partes del documento buscando patrones asociados con tecnologías conocidas.
Por ejemplo, determinadas estructuras de directorios pueden indicar que una web utiliza WordPress:
/wp-content/
/wp-includes/No es necesario encontrar un texto que diga explícitamente “esta página utiliza WordPress”. La propia estructura de los recursos puede proporcionar esa información.
2. Las cabeceras HTTP también hablan
Cuando un navegador o un bot solicita una página, el servidor no responde únicamente con el contenido visible. También envía cabeceras HTTP que describen diferentes aspectos de la respuesta.
Dependiendo de la configuración, algunas cabeceras pueden proporcionar pistas sobre el servidor, sistemas de caché, CDN, proxies u otras capas de la infraestructura.
No todas estas cabeceras son problemáticas ni toda información técnica debe ocultarse. El punto importante es entender que la respuesta HTTP contiene más información que la página que vemos en pantalla.
3. Cookies con nombres característicos
Las cookies también pueden actuar como pequeñas huellas tecnológicas.
CMS, plataformas de comercio electrónico, sistemas de sesión, herramientas de seguridad y otros servicios pueden utilizar nombres o comportamientos característicos.
Un detector puede comparar esas señales con patrones conocidos para estimar qué software está funcionando detrás de la web.
4. JavaScript y CSS pueden identificar componentes
Una página moderna puede cargar decenas de archivos JavaScript y CSS.
Sus nombres, rutas y contenido pueden revelar librerías, constructores visuales, plugins, sistemas de analítica, herramientas de marketing o componentes utilizados para determinadas funcionalidades.
En WordPress esto resulta especialmente interesante porque algunos recursos pueden incluir rutas relacionadas con plugins o temas instalados.
Por tanto, ocultar únicamente la versión de WordPress no significa necesariamente ocultar todo el ecosistema tecnológico utilizado por la página.
5. Archivos y endpoints conocidos
Otra fuente de información son determinados recursos asociados habitualmente con una plataforma.
Un bot puede observar recursos públicos o comprobar si determinados endpoints responden. La respuesta obtenida puede proporcionar una nueva señal sobre la tecnología utilizada.
Esto explica también por qué los registros de un servidor pueden mostrar visitas a URLs que nunca han existido: el sistema automatizado puede estar comprobando diferentes posibilidades para identificar qué hay detrás del dominio.
6. La forma de responder también puede identificar una tecnología
No solamente importa que un recurso exista o no.
El código de estado, las redirecciones, determinadas cabeceras, el contenido de una respuesta o incluso la forma en que una aplicación gestiona una URL inexistente pueden proporcionar información adicional.
Por eso dos servidores pueden responder de manera diferente ante exactamente la misma petición.
Para un sistema de fingerprinting, esas diferencias también son datos.
7. Varias señales juntas son más útiles que una sola
Supongamos que un bot encuentra una referencia compatible con WordPress. Por sí sola puede no ser suficiente para llegar a una conclusión fiable.
Pero después observa rutas características, recursos relacionados con un tema y archivos asociados con determinados plugins.
La combinación de señales permite construir una identificación mucho más precisa.
Es parecido a resolver un pequeño rompecabezas: cada elemento aporta una parte de la información.
¿Para qué quieren saber qué tecnología utilizas?
Identificar tecnologías tiene muchos usos legítimos. Herramientas de análisis, auditoría, compatibilidad y monitorización utilizan técnicas similares para comprender cómo está construida una página web.
Pero esta información también puede formar parte de una fase de reconocimiento antes de un ataque web.
Si un sistema automatizado identifica una determinada plataforma o componente, puede decidir qué comprobaciones tienen sentido realizar después y descartar otras que no corresponden con esa tecnología.
Un bot no necesita conocer previamente tu web
Esta es una de las ideas más importantes para entender el tráfico automatizado.
El bot puede comenzar prácticamente sin información sobre el sitio y recopilar señales progresivamente.
Primero observa la respuesta inicial. Después identifica posibles tecnologías. A partir de esas señales puede realizar nuevas comprobaciones y obtener información adicional.
De esta forma, el reconocimiento puede convertirse en un proceso progresivo en el que cada respuesta ayuda a decidir qué analizar a continuación.
¿Cambiar la URL de administración oculta WordPress?
No necesariamente.
Cambiar o proteger una URL de acceso puede reducir determinados intentos automatizados dirigidos directamente contra ella, pero WordPress puede seguir siendo identificable mediante otras señales públicas.
Por eso conviene diferenciar dos conceptos: reducir una superficie de ataque y ocultar completamente la tecnología utilizada. No son lo mismo.
¿Debemos intentar ocultar todas las tecnologías?
La seguridad de una web no debería depender exclusivamente de que nadie consiga descubrir qué software utiliza.
Reducir información técnica innecesaria puede tener sentido, pero una aplicación debe mantenerse segura incluso cuando su tecnología es conocida.
Actualizar el software, eliminar componentes innecesarios, proteger accesos, controlar archivos sensibles y mantener una configuración adecuada son medidas mucho más importantes que confiar únicamente en ocultar el nombre de una plataforma.
La tecnología es solo una parte del comportamiento que observa un scanner
Detectar WordPress, WooCommerce, un servidor concreto o una determinada librería no tiene por qué ser el objetivo final.
Puede ser simplemente una etapa dentro de un proceso más amplio de recopilación de información.
Cuando analizamos seguridad resulta más útil observar el conjunto: qué recursos se solicitan, en qué orden, con qué frecuencia, qué respuestas recibe el visitante y qué intenta comprobar después.
Una tecnología identificada es una señal. Una secuencia completa de acciones puede ayudarnos a comprender mucho mejor qué está intentando hacer un bot.
