R-WAP
Wappalyzer
Extensión de navegador y servicio de consulta que identifica el CMS, frameworks y stack de analítica de un sitio.
Sitio oficialVolver al catálogo
RESUMEN
Wappalyzer examina los headers de respuesta HTTP, el marcado HTML, las fuentes de scripts y las cookies de una página para identificar el CMS, los frameworks de JavaScript, las herramientas de analítica, el servidor web y decenas de otras tecnologías sobre las que corre un sitio. Se distribuye como extensión de navegador, consulta alojada en wappalyzer.com y una API de pago para checks masivos o automatizados.
Como la extensión y la consulta web son gratuitas, suele ser la primera herramienta que se abre contra un objetivo nuevo — antes de lanzar un escáner activo más pesado — para acotar rápido qué CVEs, rutas por defecto y paneles de administración vale la pena revisar para ese stack.
CASOS DE USO
Casos de uso en un engagement
- 01
Identificar el CMS (WordPress, Drupal, etc.) y su ecosistema probable de plugins antes de enumerar a fondo.
- 02
Detectar versiones desactualizadas de librerías JavaScript asociadas a CVEs conocidos.
- 03
Confirmar qué CDN, WAF o proveedor de hosting está delante del objetivo.
- 04
Construir un perfil tecnológico rápido de muchos hosts durante una evaluación externa amplia.
PRIMEROS PASOS
Al inicio del recon, justo tras confirmar que un host está vivo, para saber rápido con qué stack tratas antes de elegir qué herramientas de enumeración usar.
- Instala la extensión de navegador o abre la URL del objetivo en la consulta de wappalyzer.com.
- Navega las páginas en alcance con normalidad y revisa el panel de tecnologías detectadas.
- Cruza las versiones señaladas (CMS, librerías JS) contra vulnerabilidades conocidas.
- Usa las tecnologías confirmadas para elegir tus herramientas de enumeración y explotación.
ANTES DE USARLA
Qué revisar antes de lanzarla
La detección depende de marcadores visibles (headers, meta tags, rutas de scripts); un stack endurecido u ofuscado puede pasar totalmente desapercibido, así que un resultado negativo no es concluyente.
Los números de versión que reporta suelen ser una estimación a partir de firmas estáticas — confirma cualquier dato relevante para seguridad antes de citarlo como hallazgo.
La consulta alojada envía la URL del objetivo a los servidores de Wappalyzer, algo a tener en cuenta en engagements con requisitos estrictos de manejo de datos.