Eine Adresse genügt. Der Server holt die Startseite, wählt bis zu drei Unterseiten (ein Produkt, eine Kategorie, einen Beitrag) und setzt eine Handvoll Sonden ab: robots.txt, xmlrpc.php, die REST-Nutzerliste, ?author=1, readme.html, das Upload-Verzeichnis, die http-Weiterleitung sowie je eine CSS- und JS-Datei. Daraus ergibt sich, was eine WordPress- oder WooCommerce-Seite besser machen könnte – mit Punkten und nach Gewicht sortiert. Nach Änderungen an der Seite läuft die Prüfung über den Knopf unter dem Bericht erneut und zeigt die Differenz, solange diese Seite geöffnet bleibt.
Bis zu vierzehn Abrufe gehen von diesem Server an die eingegebene Adresse, als einfaches GET ohne Cookies. Abrufe in private Netze, auf Loopback- und Link-local-Adressen werden verweigert, auch über Weiterleitungen. Die Abfrage ist durch reCAPTCHA v3 geschützt; die aufrufende IP-Adresse und die Größe der Anfrage werden sieben Tage lang gespeichert, um die Rate zu begrenzen (sechs Läufe je Stunde) und um Missbrauch zu erkennen. Weder die Adresse noch der Bericht werden gespeichert; den vorigen Lauf für den Vergleich behält nur der Browser, solange die Seite offen ist.
Grenze, die dazugehört: Gelesen werden das ausgelieferte HTML und die Kopfzeilen, ausgeführt wird nichts. Bilder, die ein Skript später einsetzt, Tags, die erst nach der Einwilligung laden, und alles, was der Browser zur Laufzeit misst (Largest Contentful Paint, Layoutverschiebung), bleiben unsichtbar. Der Bericht sagt, wo hinzusehen ist – nicht, wie schnell sich die Seite anfühlt.