Thème WordPress gratuit : comment vérifier qu’il est sain

J’ai publié ce billet un soir de janvier 2011, après avoir lu un article de WordPress Francophone : « Il ne faut jamais chercher un thème WordPress gratuit sur un moteur de recherche ». Dans la foulée, j’avais testé mes sites et recommandé trois extensions.

Quinze ans plus tard, deux de ces trois extensions n’existent plus. Le problème qu’elles servaient à détecter, lui, est toujours là. Voici la version à jour.

Ce que sont devenues les trois extensions de 2011

TAC (Theme Authenticity Checker) : fermée

WordPress.org a fermé la page de TAC le 9 janvier 2023 pour violation des règles du dépôt. La dernière version publiée, la 1.5.3, date de juin 2017 et n’a été testée que jusqu’à WordPress 4.8. Sur une installation récente, elle ne fonctionne plus : le code appelle get_themes(), une fonction dépréciée depuis WordPress 3.4. Il n’y a plus de téléchargement possible sur le dépôt officiel, et aller la chercher ailleurs revient exactement à faire ce que l’article de 2011 déconseillait.

WP Security Scan : abandonnée, puis fermée

Elle a été rachetée et rebaptisée Acunetix WP Security. Dernière mise à jour : avril 2015. La page est fermée sur WordPress.org. Elle a aussi fini par avoir sa propre faille CSRF référencée dans la base WPScan, sur la fonction de sauvegarde de base de données. Une extension de sécurité devenue une porte d’entrée : c’est le scénario classique de l’outil qu’on installe et qu’on oublie.

Theme Check : toujours vivante

La seule survivante des trois. Elle est maintenue par l’équipe Themes de WordPress.org, qui s’en sert pour valider les thèmes soumis au dépôt officiel. Version stable au 8 mai 2026, testée jusqu’à WordPress 6.9. À installer sur un environnement local, pas en production.

Attention à ce qu’elle fait vraiment. Theme Check contrôle la conformité aux normes de développement des thèmes (fonctions dépréciées, échappement, internationalisation, fichiers requis). Ce n’est pas un antivirus. En 2011, je l’ai présentée comme un outil de sécurité. C’était inexact, et ça l’est toujours.

Le problème de 2011 n’a pas disparu, il a grossi

Patchstack publie chaque année un rapport sur les failles WordPress. L’édition du 25 février 2026 recense 11 334 nouvelles vulnérabilités découvertes en 2025, contre 7 966 en 2024. Répartition : 91 % dans les extensions, 9 % dans les thèmes, 6 dans le core.

Deux chiffres du même rapport méritent qu’on s’y arrête :

• Le délai médian entre la publication d’une faille très exploitée et la première attaque de masse observée est de 5 heures.
• 76 % des failles trouvées dans des composants premium (ThemeForest et compagnie) étaient exploitables en conditions réelles, contre une proportion nettement plus faible dans les composants gratuits du dépôt officiel. La raison est mécanique : le code premium est moins accessible aux chercheurs, donc moins audité.

Autrement dit, payer un thème ne garantit rien. Ce qui compte, c’est la provenance et le suivi.

Les outils que j’utilise en 2026

1. Wordfence, en version gratuite

C’est le remplaçant direct de TAC, en beaucoup plus sérieux. Son scan compare fichier par fichier votre core, vos extensions et vos thèmes avec les versions propres du dépôt WordPress.org, et vous propose de restaurer ce qui a bougé.

Deux réglages à connaître :

• Les comparaisons thèmes et extensions ne sont pas activées dans le scan standard. Il faut aller les cocher dans Wordfence > Scan > Options du scan > Options générales : « Scan theme files against repository versions for changes » et l’équivalent pour les extensions.
• La version gratuite reçoit les signatures de malware avec 30 jours de retard sur la version payante.

Sa limite : la comparaison par empreinte ne fonctionne que pour ce qui vient du dépôt officiel. Un thème acheté sur une place de marché est scanné avec les règles heuristiques, ce qui est moins fiable.

2. WP-CLI, si vous avez un accès SSH

Aucune extension à installer, et le résultat arrive en quelques secondes :

wp core verify-checksums
wp plugin verify-checksums --all

Ces deux commandes téléchargent les empreintes MD5 officielles depuis WordPress.org et les comparent à vos fichiers. Une seule ligne injectée dans wp-settings.php et vous le voyez.

Il n’existe pas d’équivalent pour les thèmes. WordPress.org ne publie pas de checksums de thèmes, et la demande traîne dans les tickets de WP-CLI depuis des années. C’est précisément le trou que TAC essayait de combler, et il est toujours ouvert.

3. Theme Check et Plugin Check, en local

Theme Check pour les thèmes, Plugin Check (PCP) pour les extensions. PCP est le pendant officiel côté extensions, maintenu par les équipes Performance et Plugins de WordPress.org, version 2.0.0 en mai 2026. Depuis octobre 2025, WordPress.org le fait tourner automatiquement sur chaque nouvelle version d’extension soumise au dépôt.

Si vous développez un thème enfant ou une extension maison, les deux valent la peine d’être branchés dans votre workflow. Si vous voulez juste savoir si votre thème est piégé, passez directement à Wordfence.

4. Santé du site, dans le core

Outils > Santé du site. Cet écran fait une partie de ce que WP Security Scan promettait en 2011 : version de PHP, connexion sécurisée, extensions inactives à supprimer, mises à jour en attente. C’est intégré, gratuit, et personne ne le regarde.

5. Une veille de vulnérabilités

Wordfence et Patchstack alertent tous les deux quand une faille est publiée sur un composant que vous avez installé. Vu le délai médian de 5 heures avant exploitation, une alerte par courriel vaut mieux qu’une ronde manuelle une fois par mois.

Note sur l’extension WPScan : elle n’est plus maintenue activement pour les utilisateurs non-entreprise. Automattic renvoie vers Jetpack Protect, qui s’appuie sur la même base de données.

Le CHMOD : ce qui a changé et ce qui n’a pas changé

Le passage sur le CHMOD de la version 2011 tient toujours, sauf que ce n’est plus une extension qui doit s’en charger. Votre hébergeur applique des permissions par défaut, et vous les vérifiez en SSH ou dans le gestionnaire de fichiers.

Les valeurs documentées par WordPress :

• Répertoires : 755 ou 750
• Fichiers : 644 ou 640
• wp-config.php : 440 ou 400, pour que les autres comptes du serveur ne puissent pas lire vos identifiants de base de données
• Jamais 777, y compris sur le dossier uploads

Si un upload échoue en 755, le problème est presque toujours le propriétaire du fichier, pas les permissions. Passer en 777 « pour voir » est la façon la plus rapide de se faire installer un webshell dans wp-content/uploads.

La règle qui vaut tous les scans

Un scan vous dit qu’un thème est infecté. Il ne vous dit pas qu’il est sain : il vous dit qu’il n’a rien trouvé. Le rapport Monarx repris par Patchstack en 2026 décrit des familles de malwares qui servent du contenu propre aux robots et aux scanners, et le contenu vérolé aux visiteurs humains. Parrot TDS détecte même les crawlers d’IA pour leur montrer une version normale du site.

Donc la règle de 2011 reste la bonne, et c’est encore la première ligne de défense :

• Le dépôt officiel wordpress.org/themes, où chaque thème passe une revue humaine.
• Les éditeurs qui ont pignon sur rue et un historique de mises à jour vérifiable.
• Pas de thème nulled. Jamais. Un thème premium « gratuit » téléchargé sur un site de partage, c’est un modèle économique : quelqu’un a payé la licence, l’a modifiée et vous la donne. Devinez pourquoi.

Et quand vous installez un thème dont vous n’êtes pas certain, faites-le sur une installation locale ou de préproduction, pas sur votre site ou le site du client.

Questions fréquentes

TAC (Theme Authenticity Checker) existe-t-elle encore ?

Non. WordPress.org a fermé sa page le 9 janvier 2023 pour violation des règles du dépôt, et la dernière version fonctionnelle datait de 2017. Utilisez Wordfence à la place.

Comment savoir si mon thème WordPress contient du code malveillant ?

Installez Wordfence, activez les options de comparaison des fichiers de thèmes et d’extensions avec les versions du dépôt, puis lancez un scan complet. Si votre thème ne vient pas du dépôt officiel, le scan repose sur des règles heuristiques et le résultat est moins fiable : dans ce cas, ajoutez une lecture manuelle du footer.php et une recherche de base64_decode et eval dans les fichiers du thème.

Un thème premium est-il plus sûr qu’un thème gratuit ?

Pas mécaniquement. Le rapport Patchstack 2026 montre que les composants premium ont trois fois plus de failles activement exploitées que les composants gratuits, parce qu’ils sont moins audités par les chercheurs en sécurité. Ce qui compte, c’est la provenance et la fréquence des mises à jour, pas le prix.

Faut-il laisser ces extensions activées en permanence ?

Wordfence, oui : c’est un pare-feu et un scanner planifié, il travaille en continu. Theme Check et Plugin Check, non : ce sont des outils de développement, à faire tourner en local et à désactiver ensuite.

Vous voulez aller plus loin avec WordPress ?

Je forme des entrepreneurs et des équipes à WordPress, du choix du thème à la maintenance courante. Écrivez-moi pour en discuter.