Eine Adresse genügt. Der Server holt die Startseite, wählt bis zu drei Unterseiten (ein Produkt, eine Kategorie, einen Beitrag) und setzt eine Handvoll Sonden ab: robots.txt, xmlrpc.php, die REST-Nutzerliste, ?author=1, readme.html, das Upload-Verzeichnis, die http-Weiterleitung sowie je eine CSS- und JS-Datei. Daraus ergibt sich, was eine WordPress- oder WooCommerce-Seite besser machen könnte – mit Punkten und nach Gewicht sortiert. Der Bericht bleibt 24 Stunden gespeichert; nach Änderungen an der Seite läuft die Prüfung über den Knopf unter dem Bericht erneut und zeigt die Differenz.
Bis zu vierzehn Abrufe gehen von diesem Server an die eingegebene Adresse, als einfaches GET ohne Cookies. Abrufe in private Netze, auf Loopback- und Link-local-Adressen werden verweigert, auch über Weiterleitungen. Die Abfrage ist durch reCAPTCHA v3 geschützt; die aufrufende IP-Adresse und das Ziel werden eine Stunde gespeichert, um die Rate zu begrenzen (sechs frische Läufe je Stunde). Der Bericht selbst, der nur öffentliche Tatsachen über die Seite enthält, bleibt 24 Stunden unter einem Hash der Adresse gespeichert.
Grenze, die dazugehört: Gelesen werden das ausgelieferte HTML und die Kopfzeilen, ausgeführt wird nichts. Bilder, die ein Skript später einsetzt, Tags, die erst nach der Einwilligung laden, und alles, was der Browser zur Laufzeit misst (Largest Contentful Paint, Layoutverschiebung), bleiben unsichtbar. Der Bericht sagt, wo hinzusehen ist – nicht, wie schnell sich die Seite anfühlt.