Thèmes et plugins achetés hors circuit : le risque réel
Thème ou plugin « nulled », GPL club, Telegram : le backdoor est parfois dans l'installateur. Payez l'extension ou changez-en. Recoller une licence officielle ne retire pas le code déjà posé. Ce n'est pas une économie ; c'est une porte achetée d'occasion. Comparez aux zips éditeur, cherchez les copies (mu-plugin, racine), tournez le panel : la facture seule ne désinfecte rien.
Nulled, « GPL club », Telegram. Le backdoor est parfois dans l'installateur. Payez l'extension ou changez-en. Recoller une licence ne retire pas le code déjà là.
Ce que « hors circuit » veut dire concrètement
Pas le dépôt WordPress.org / l'éditeur / ThemeForest officiel. Un zip reçu par Drive, un « GPL à 9 € les 200 thèmes », un tuto YouTube. Le fichier n'a pas la chaîne de confiance de l'éditeur. Il peut être identique… ou non. Vous n'avez pas les moyens de le savoir sans comparer.
« GPL » n'interdit pas de vendre du support. Ça n'autorise pas à vous livrer un PHP supplémentaire. Méfiez-vous du mot comme d'un label sécu.
WordPress piraté : le thème hors circuit est une des quatre portes fréquentes. Ici on la détaille. « GPL » n'est pas un label de sécurité ; c'est une licence, pas une chaîne de confiance.
Le backdoor n'attend pas la faille publique
Une extension officielle abandonnée est une porte de DEMAIN (CVE). Un nulled est parfois une porte d'AUJOURD'HUI : code déjà là, update « offert » qui réinjecte. Abandonnés : autre liste, à tenir aussi.
L'admin a l'air normal. Le must-use, le fichier dans le thème, l'installateur. On ne donne pas de signatures à reproduire. On dit : comparez au zip acheteur officiel, octet à octet sur les PHP.
Supply chain npm dans un thème compilé : Composer / npm.
Recoller une licence ne lave pas le disque
Acheter enfin Divi / Elementor Pro et coller la clé laisse les fichiers nulled. Il faut remplacer les fichiers par le paquet éditeur, puis chercher ce qui a été copié ailleurs (mu-plugin, racine). La clé ne désinfecte pas.
Les « mises à jour » du club GPL peuvent réécrire par-dessus un nettoyage. Coupez ces update servers. Changez les secrets panel : le zip avait pu les lire. Mots de passe.
Maj cœur ensuite, site propre. Maj sans casser.
Où ça se cache (thème, installateur, ionCube)
`functions.php`, dossier `inc`, installateur à la racine, drop-in, cron créé à l'activation. Encoded (ionCube) : vous ne lisez rien — raison suffisante pour ne pas le garder en prod après un incident.
Thème enfant « propre » + parent nulled : le parent suffit. Inversement.
Joomla template / Drupal thème « premium gratuit » : même famille. Joomla, Drupal.
Après incident : remplacer, pas « mettre à jour »
Pas de maj depuis le même canal. Copie, comparaison, remplacement par officiel ou changement de thème (projet). Refonte et incident : ne mélangez pas si la home dépend du constructeur.
Cherchez les jumeaux sur le compte (autre site, même zip). Isolation.
Hébergeur : le constat peut dire « thème non officiel retiré ». Compte suspendu.
Constructeurs, packs, et add-ons Telegram
Elementor / Divi tenus + add-on Telegram : l'add-on est le risque. Add-ons Elementor. Packs « 50 plugins ».
Un constructeur nulled n'aura jamais de correctif propre. Planifiez la sortie à froid.
WAF : ne voit pas le code déjà dans le thème. WAF.
Boutique : modules de paiement nulled
Pire cas. Module Stripe / PayPal « gratuit ». Stripe Presta officiel vs nulled. Checkout : vitrine vs boutique.
Prévenez le PSP si le doute existe. Ne « réactivez » pas le même zip.
Magento marketplace douteuse : même discipline. Magento.
Prévention : un tableur, pas un serment
Origine de chaque composant (URL d'achat, compte éditeur). Si vous ne savez plus, considérez-le suspect. Budget : une licence coûte moins qu'un piratage.
Trente jours après remplacement. Garantie.
Créer un compte : on compare aux zips officiels, on ne « réinstalle pas la même archive ». Un second passage avec le même zip Telegram est le dossier que nous refusons de « garantir ».
Le tableur (composant, URL d'achat, date, compte éditeur) se relit au trimestre, avec la liste des abandonnés. Les deux dettes se ressemblent : personne n'ose y toucher parce que la home en dépend.
Parler au client / au boss sans le mot « nulled »
« Le thème ne vient pas de l'éditeur ; il faut le remplacer par le paquet officiel ou changer de thème. Recoller une facture ne retire pas les fichiers déjà là. » C'est factuel, ce n'est pas une leçon de morale. Le coût d'une licence est souvent inférieur à une journée de CA perdu. Coût réel.
Si le design est intouchable politiquement, le chantier (thème enfant propre, CSS) se planifie après le nettoyage, pas pendant. Une home cassée le vendredi pour « être éthique » crée un second incident métier. Refonte et incident.
Hébergeur : vous pouvez écrire « composant hors circuit officiel retiré, fichiers comparés à l'éditeur ». Pas besoin du mot nulled dans le ticket d'abus. Compte suspendu. Si plusieurs sites du compte ont le même zip, dites-le : c'est le voisin, version thème.