Plugins et thèmes nulled : le cheval de Troie gratuit
Un plugin premium téléchargé gratuitement sur un site douteux n'est jamais vraiment gratuit. Ces versions dites « nulled » font économiser quelques dizaines d'euros, mais elles arrivent souvent avec un passager clandestin : une porte dérobée qui donnera un accès complet à votre site. Voici comment ces fichiers piègent les sites WordPress, comment les repérer et comment en sortir proprement.
Comprendre le problème des extensions nulled
Un thème ou un plugin « nulled » est une version d'extension payante dont on a supprimé la vérification de licence. Elle circule sur des sites de téléchargement, des forums ou des groupes de partage, sous des noms rassurants comme « GPL club » ou « premium gratuit ».
Pour retirer la licence, il faut modifier le code. Et quand on modifie le code d'un fichier que des milliers de personnes vont installer sur leur serveur, la tentation d'y ajouter autre chose est grande. Les éditeurs de solutions de sécurité, Wordfence et Sucuri en tête, documentent régulièrement des campagnes de logiciels malveillants diffusées par ce canal.
Qui est concerné ? Rarement des développeurs aguerris. Plus souvent des indépendants qui montent un site pour un client avec un budget serré, des commerçants qui veulent « juste ce thème-là », ou des associations qui cherchent à économiser. L'erreur fréquente est de croire qu'un fichier qui s'installe sans erreur et qui fonctionne est un fichier sain. Le code malveillant est justement conçu pour rester discret.
Il faut aussi distinguer deux choses que l'on confond souvent. La licence GPL, sous laquelle est publié WordPress, autorise la redistribution du code de nombreuses extensions. Certains sites revendent donc légalement des copies d'extensions premium. Mais légalité ne veut pas dire sécurité : vous installez un fichier qui a transité par un intermédiaire inconnu, sans garantie de l'éditeur, et qui ne recevra pas les mises à jour officielles. Le risque ne vient pas du prix payé, il vient de la chaîne d'approvisionnement.
Ce que cachent réellement ces fichiers
Les risques ne se limitent pas à un virus visible. Voici ce qu'on retrouve typiquement dans les extensions modifiées :
- Une porte dérobée : un petit bout de code qui permet à un inconnu d'exécuter des commandes sur votre serveur, souvent en envoyant un paramètre secret dans une URL.
- La création d'un compte administrateur caché : le plugin ajoute un utilisateur et le masque dans la liste des comptes.
- Du code chargé à distance : le fichier semble propre, mais il télécharge sa charge malveillante plus tard, depuis un serveur contrôlé par l'attaquant.
- De l'injection publicitaire ou du spam SEO : liens cachés vers des sites de jeux ou de pharmacie, visibles uniquement par Google.
- L'absence totale de mises à jour : même sans malware, la copie reste bloquée sur une version dont les failles sont publiées et corrigées ailleurs.
Ce dernier point est souvent sous-estimé. Une extension premium légitime reçoit ses correctifs de sécurité via sa licence. Une copie nulled, jamais. Elle devient vulnérable le jour où l'éditeur publie un correctif.
Enfin, le coût réel se mesure après coup. Un nettoyage, une perte de référencement ou une boutique fermée quelques jours coûtent sans commune mesure avec le prix d'une licence annuelle. Sans parler des données clients exposées, qui peuvent imposer une notification à la CNIL dans les 72 heures. Notre estimation du coût d'un piratage pour une TPE ou une PME détaille ces postes de dépense.
Cas concrets
Le site vitrine monté au rabais
Un couvreur commande un site à un prestataire peu cher. Le thème premium utilisé est une copie nulled. Six mois plus tard, Google affiche des pages en japonais sous son nom de domaine. Le nettoyage révèle un fichier ajouté dans le dossier du thème, qui recréait les pages après chaque suppression. Ce mécanisme est décrit dans notre article sur les pages japonaises dans Google.
La boutique et le module de facturation « offert »
Une boutique de cosmétiques installe une extension premium de factures PDF trouvée gratuitement. Le code ajoutait un administrateur nommé comme un compte technique et le masquait dans la liste. Il n'est apparu qu'en comparant la liste des utilisateurs avec un export direct de la base de données.
L'association et le pack de 200 plugins
Une association culturelle télécharge un « pack » de plugins premium sur un forum. Un seul est réellement utilisé. Les autres restent installés, désactivés. Or un fichier PHP présent sur le serveur peut être appelé directement par son adresse, même si le plugin est désactivé dans WordPress. C'est par l'un d'eux que l'intrusion a eu lieu.
L'agence qui reprend un site existant
Une agence reprend la maintenance d'un site de restaurant. Premier réflexe : vérifier les licences. Trois extensions premium n'en ont aucune et ne reçoivent pas de mises à jour. Elle les remplace avant toute autre intervention, puis lance un scan complet.
Méthode pas à pas
- Faire l'inventaire : listez tous les thèmes et plugins installés, actifs ou non. Avec WP-CLI, l'outil en ligne de commande de WordPress,
wp plugin listetwp theme listdonnent la liste complète. - Identifier les extensions premium : pour chacune, vérifiez qu'une licence est active et que la version installée correspond à la dernière version publiée par l'éditeur.
- Chercher les signes de modification : du code volontairement illisible et des fonctions d'exécution sont des indices forts. Une recherche simple sur le serveur permet un premier tri, à confirmer par un scan :
grep -rnE "eval\(|base64_decode\(|gzinflate\(|str_rot13\(" wp-content/plugins wp-content/themes
Certains plugins légitimes utilisent ces fonctions : un résultat n'est pas une preuve, mais un fichier à examiner.
- Faire une sauvegarde avant de toucher : même un site douteux doit être sauvegardé avant intervention, pour pouvoir analyser ou revenir en arrière.
- Remplacer par une version officielle : achetez la licence chez l'éditeur, ou choisissez une alternative du répertoire WordPress.org. Supprimez entièrement l'ancien dossier, sans écraser par-dessus.
- Supprimer tout ce qui est inutilisé : un plugin désactivé reste un fichier exécutable sur le serveur.
- Contrôler les comptes et les accès : vérifiez la liste des administrateurs, puis changez les mots de passe et les clés de sécurité de
wp-config.phpsi une copie suspecte était installée.
Bonnes pratiques
- Ne télécharger que depuis la source officielle : le répertoire WordPress.org ou le site de l'éditeur, avec votre compte client.
- Garder les factures des licences : elles prouvent l'origine et facilitent la reprise du site par un autre prestataire.
- Exiger la liste des licences dans le cahier des charges : si un prestataire monte votre site, demandez qu'elles soient à votre nom.
- Préférer moins d'extensions, mieux choisies : une extension payée et maintenue vaut mieux que trois copies gratuites.
- Scanner après chaque installation : un contrôle rapide juste après l'ajout d'une extension détecte les surprises au plus tôt.
Erreurs fréquentes à éviter
- Penser qu'un antivirus sur votre ordinateur suffit à valider un fichier PHP destiné au serveur.
- Désactiver un plugin suspect sans le supprimer du serveur.
- Écraser une extension nulled par la version officielle sans supprimer les fichiers ajoutés dans son dossier.
- Garder une copie nulled « le temps de trouver le budget », alors qu'elle ne recevra aucun correctif.
Comment V-Shield vous aide
L'agent V-Shield scanne votre site automatiquement, tous les jours en Essentiel et toutes les 6 heures en Pro. Il repère les portes dérobées, les fichiers suspects et les comptes administrateurs frauduleux, avec une analyse ClamAV et YARA côté serveur. Les fichiers détectés peuvent être nettoyés ou placés en quarantaine réversible, ce qui évite de supprimer à l'aveugle. Le score de sécurité de 0 à 100 indique ensuite où en est votre site. Vous trouverez le détail sur la page des fonctionnalités V-Shield et une comparaison factuelle avec Wordfence. Pour approfondir, lisez notre guide pour supprimer un malware WordPress et celui pour scanner un site WordPress à la recherche de malwares.
Vous avez un doute sur une extension installée sur votre site ? Parlez à un expert V-Shield avant qu'elle ne serve de porte d'entrée.
Questions fréquentes
Qu'est-ce qu'un plugin nulled sur WordPress ?
C'est une version d'un plugin ou d'un thème payant dont on a retiré la vérification de licence, puis redistribuée gratuitement sur des sites non officiels. Pour faire sauter cette vérification, quelqu'un a modifié le code. Vous ne savez donc pas ce qui a été ajouté au passage, ni par qui.
Un plugin nulled est-il forcément infecté ?
Pas systématiquement, mais vous n'avez aucun moyen simple de le prouver. Le code peut paraître sain et contenir une porte dérobée activée plus tard, ou télécharger son code malveillant depuis un serveur distant. Sans mises à jour officielles, il restera de toute façon exposé aux failles corrigées par l'éditeur.
Est-ce légal d'utiliser un thème WordPress nulled ?
La licence GPL de WordPress autorise la redistribution du code PHP de nombreux thèmes et plugins. En revanche, les images, styles, la marque, l'accès aux mises à jour et au support relèvent souvent d'autres conditions. Surtout, la légalité ne dit rien de la sécurité : une copie redistribuée reste une copie non vérifiée.
Comment savoir si mon site utilise un plugin nulled ?
Regardez si les extensions premium ont une licence active dans leur page de réglages et reçoivent des mises à jour. Cherchez aussi des fichiers ajoutés dans leur dossier, du code chiffré ou des appels vers des domaines inconnus. Si le site a été monté par un tiers, demandez-lui les factures des licences.
Par quoi remplacer un plugin premium que je ne veux pas payer ?
Cherchez d'abord une alternative gratuite dans le répertoire officiel WordPress.org, où le code est relu à la publication et les mises à jour sont distribuées normalement. Sinon, comparez le prix de la licence officielle avec le coût d'un nettoyage après piratage : la licence est presque toujours l'option la moins chère.