Welches HTTP-Cookie verrät WooCommerce am zuverlässigsten?

Das Cookie woocommerce_cart_hash wird gesetzt, sobald ein Artikel in den Warenkorb gelegt wird. Auf Produktseiten erscheint bereits das Cookie woocommerce_items_in_cart. Beide sind ohne Backend-Zugriff im Browser sichtbar.

Kann eine Website WooCommerce verbergen?

Teilweise. Manche Betreiber benennen den Shop-Pfad um oder entfernen versionsbezogene Meta-Tags. Die CSS-Klassen im DOM und die API-Endpunkte sind jedoch schwerer zu verstecken, ohne die Plugin-Funktionalität zu beeinträchtigen.

Erkennt der Analyzer auch WooCommerce-Unterseiten wie Kategorien oder Produkte?

Ja. Der Analyzer wertet nicht nur die Startseite aus, sondern analysiert die übergebene URL auf spezifische WooCommerce-Signale, darunter Pfadmuster und typische Body-Klassen wie woocommerce-page.

WooCommerce erkennen: So identifizierst du einen WordPress-Shop

WooCommerce ist die meistgenutzte E-Commerce-Lösung für WordPress. Wer eine WordPress-Website untersucht und herausfinden möchte, ob dort ein Shop betrieben wird, kann auf eine Reihe technischer Merkmale zurückgreifen, die WooCommerce im Quellcode, in den HTTP-Headern und im Cookie-Verhalten hinterlässt.

Typische Pfadmuster einer WooCommerce-Installation

Der erste Blick gilt der URL-Struktur. Eine WooCommerce-Installation legt standardmäßig folgende Seiten an:

/shop/ als Produktübersicht
/warenkorb/ oder /cart/ als Warenkorb
/kasse/ oder /checkout/ für den Bestellprozess
/mein-konto/ oder /my-account/ für Kundenbereiche

Diese Pfade sind konfigurierbar, werden aber in den meisten Fällen beibehalten, da eine Änderung die internen Verlinkungen von WooCommerce beeinträchtigen kann. Wer die Seitenstruktur einer Website kennt, kann allein aus diesen Pfaden auf WooCommerce schließen.

Hinzu kommen Produktkategorie-URLs wie /produkt-kategorie/ oder /product-category/ und einzelne Produktseiten unter /produkt/ bzw. /product/. Auch diese Prefixe werden von WooCommerce gesetzt und können über die Permalink-Einstellungen im Backend angepasst werden.

HTML-Klassen und Body-Attribute

Auf einer WooCommerce-Seite enthält das <body>-Element charakteristische Klassen, die WordPress standardmäßig ausgibt:

woocommerce auf Seiten, die WooCommerce-Inhalt darstellen
woocommerce-page auf allen mit WooCommerce verknüpften Seiten
woocommerce-shop auf der Produktübersicht
woocommerce-cart auf der Warenkorbseite
woocommerce-checkout auf der Kassenseite
woocommerce-account auf der Mein-Konto-Seite

Diese Klassen werden von WooCommerce selbst gesetzt und sind schwer zu entfernen, ohne die Stilzuweisung im Frontend zu beeinträchtigen. Einzelne Produktseiten enthalten zusätzlich Klassen wie product und type-product.

Stylesheet- und Skript-Pfade

WooCommerce bindet eigene Stile und Skripte ein, die spezifische Pfade tragen:

wp-content/plugins/woocommerce/assets/css/woocommerce.css
wp-content/plugins/woocommerce/assets/js/frontend/woocommerce.min.js
wp-content/plugins/woocommerce/assets/js/frontend/add-to-cart.min.js

Auch wenn ein Theme die WooCommerce-Styles überschreibt, werden die JavaScript-Dateien in der Regel weiterhin aus dem Plugin-Verzeichnis geladen. Das Vorhandensein dieser Pfade im Quellcode ist ein starkes Signal.

Cookies als Erkennungsmerkmal

WooCommerce setzt mehrere spezifische Cookies:

woocommerce_cart_hash: enthält einen Hash des aktuellen Warenkorb-Inhalts
woocommerce_items_in_cart: enthält die Anzahl der Artikel im Warenkorb
wp_woocommerce_session_*: Session-Cookie für angemeldete Kunden

Diese Cookies erscheinen erst nach einer Interaktion mit dem Shop, also nach dem Hinzufügen eines Produkts zum Warenkorb. Für eine automatisierte Erkennung kann dieses Cookie-Muster durch einen kontrollierten Seitenaufruf ausgewertet werden.

REST-API-Endpunkte

WooCommerce erweitert die WordPress-REST-API um eigene Routen. Eine Anfrage an /wp-json/wc/v3/products gibt bei einer WooCommerce-Installation eine JSON-Antwort zurück, sofern der entsprechende Zugriff erlaubt ist. Selbst wenn die API-Authentifizierung aktiv ist, verrät eine 401 Unauthorized-Antwort mit dem Header WWW-Authenticate: Basic realm="WooCommerce API", dass WooCommerce vorhanden ist.

Auch /wp-json/wc/v2/ und /wp-json/wc/v1/ sind mögliche Endpunkte älterer Installationen und können beim Scan abgefragt werden.

Strukturierte Daten für Produkte

WooCommerce gibt auf Produktseiten strukturierte Daten im JSON-LD-Format aus, die dem Schema.org-Typ Product folgen:

\{
  "@context": "https://schema.org/",
  "@type": "Product",
  "name": "...",
  "offers": \{
    "@type": "Offer",
    "price": "...",
    "priceCurrency": "EUR"
  \}
\}

Das Vorhandensein dieses JSON-LD-Blocks im <head> einer Seite ist ein verlässliches Merkmal, auch wenn andere Spuren bereinigt worden sind.

Wie der Analyzer WooCommerce erkennt

Der Analyzer kombiniert mehrere der genannten Signale: Body-Klassen, Stylesheet-Pfade, Skript-Handles, Cookie-Namen und strukturierte Daten. Dabei wertet er die übergebene URL aus und prüft spezifische Pfadmuster. Das Ergebnis ist eine fundierte Einschätzung, ob WooCommerce auf einer Website aktiv ist, ohne dass ein Login oder direkter Serverzugriff nötig wäre.

Praxistipp: manuelle Prüfung im Browser

Wer ohne Werkzeuge prüfen möchte, ob eine Website WooCommerce einsetzt, öffnet die Browser-Entwicklertools und prüft:

Den Quellcode der Seite auf Klassen wie woocommerce-page
Den Netzwerk-Tab auf Anfragen aus wp-content/plugins/woocommerce/
Den Storage-Tab auf Cookies mit dem Präfix woocommerce_

Diese drei Schritte reichen in den meisten Fällen aus, um eine WooCommerce-Installation zu bestätigen.

WooCommerce erkennen: So identifizierst du einen WordPress-Shop

Typische Pfadmuster einer WooCommerce-Installation

HTML-Klassen und Body-Attribute

Stylesheet- und Skript-Pfade

Cookies als Erkennungsmerkmal

REST-API-Endpunkte

Strukturierte Daten für Produkte

Wie der Analyzer WooCommerce erkennt

Praxistipp: manuelle Prüfung im Browser

Häufige Fragen

Quellen

Mateusz Viola

Verwandte Artikel

WordPress erkennen: Schritt für Schritt

WordPress-Theme erkennen: Welches Design steckt dahinter?

WordPress-Version verstecken: Sicherheit durch Verschleierung