Wappalyzer
What it is — Wappalyzer fingerprints a website's tech stack: CMS (WordPress, Drupal...), JS frameworks (React, Vue...), server (Apache/nginx/IIS), backend language, analytics, CDN, and even specific WordPress plugins. It analyses HTTP headers, cookies, loaded scripts, and HTML patterns.
| Type | Browser extension + web + API |
| Cost | Extension and web lookup free · paid API |
| URL | wappalyzer.com |
How to use it
Install the browser extension and browse normally — the icon updates automatically for every page you visit. To check without the extension, use the web lookup:
https://www.wappalyzer.com/lookup/target.com/Why it matters: knowing a site runs WordPress 6.2 with the "Contact Form 7" plugin immediately tells you where to look for public CVEs — much faster than manually enumerating typical CMS paths.
What I use it for
- First glance at any web target: before touching anything, I want to know if it's a known CMS, a custom app, or an SPA framework — it completely changes the approach.
- Targeted CVE searches: with CMS + version + plugins identified, searching for public vulnerabilities is far more precise than probing blindly.
- Spotting legacy stack: it sometimes reveals old technology (a years-old JS library, an unpatched CMS) that hints at which parts of the site are less maintained.
Link
Qué es — Wappalyzer identifica el stack tecnológico de una web: CMS (WordPress, Drupal...), frameworks JS (React, Vue...), servidor (Apache/nginx/IIS), lenguaje backend, analítica, CDN, e incluso plugins concretos de WordPress. Analiza cabeceras HTTP, cookies, scripts cargados y patrones del HTML.
| Tipo | Extensión de navegador + web + API |
| Coste | Extensión y lookup web gratis · API de pago |
| URL | wappalyzer.com |
Cómo se usa
Instala la extensión de navegador y navega normalmente — el icono se actualiza solo con cada página que visitas. Para consultar sin extensión, usa el lookup web:
https://www.wappalyzer.com/lookup/objetivo.com/Por qué importa: saber que un sitio corre WordPress 6.2 con el plugin "Contact Form 7" te dice inmediatamente dónde buscar CVEs públicos — mucho más rápido que enumerar manualmente rutas típicas de CMS.
Para qué lo uso yo
- Primer vistazo en cualquier objetivo web: antes de tocar nada, quiero saber si es un CMS conocido, una app custom, o un framework SPA — cambia totalmente el enfoque.
- Buscar CVEs dirigidos: con CMS + versión + plugins identificados, la búsqueda de vulnerabilidades públicas es mucho más precisa que probar a ciegas.
- Detectar stack heredado: a veces revela tecnología antigua (una librería JS de hace años, un CMS sin actualizar) que da pistas de qué partes del sitio están menos mantenidas.