Il ne faut jamais chercher un thème WordPress gratuit sur un moteur de recherche
[ceci est la traduction de l'article "Why You Should Never Search For Free WordPress Themes in Google or Anywhere Else", écrit par Siobhan Ambrose sur WPMU.org. Cet article nous a semblé suffisamment pertinent pour justifier une VF, ce que l'auteur nous a autorisé à faire]
Il y a quelques mois, j’avais écrit une liste de conseils pour sécuriser son installation WordPress (« WordPress Security« ). Pour le présent article, je me suis armée des mots « free WordPress themes », et des extensions Theme Authenticity Checker (TAC) de builtBackwards et Exploit Scanner de Donncha O Caoimh, afin de me plonger dans la première page de résultats Google pour une recherche sur des thèmes WordPress gratuits, et voir à quel point ils peuvent être sécurisés — ou non.
A la recherche de thèmes !
Notez bien que je n’ai installé aucun des thèmes présentés ci-après sur mon serveur. Au lieu de cela, j’ai installé WordPress en local avec XAMPP. Je déconseille de mettre en ligne les thèmes provenant de sites inconnus : vous ne savez jamais le mal qu’ils pourraient faire !
1. WordPressThemesBase
WordPress Themes Base a la chance d’être en première position pour la recherche « Free WordPress Themes ». En voilà un qui a bien travaillé son optimisation pour les moteurs de recherche ! Le descriptif nous indique que le visiteurs n’y trouvera que des thèmes récents. Super ! J’adore les thèmes récents.
J’ai donc téléchargé le thème Prinz Brandford Magazine. Dès le départ, un problème se présente. Branford Magazine est un thème conçu par Der Prinz ; on en trouve une très vieille version qui n’est pas conçue pour WordPress 3.0 (autant que je puisse en juger), et une version Pro qui est sortie il y a peu. Cela signifie que vous avez le choix entre un thème qui ne marchera pas avec la dernière version de WP, ou un thème est soit-disant « professionnel ».
Installons le thème et testons-le avec l’extension TAC.
Du code chiffré ! On n’en est qu’au premier site sur Google, et déjà on essaye de nous avoir avec un chiffrement en Base64 ! 
Ca commence mal… Le codage base64 est souvent utilisé pour cacher du code malicieux. On peut voir que le code se trouve dans le pied de page, voyons voir ça de plus près :
Et ouais, mon copyright, comme il se doit ! Mais à quoi correspond ce codage base64 ? Voici le code lui-même :
Beaucoup de blabla.
Le codage base64 peut se décoder de deux manières :
- Utiliser le décodeur d’Otto, très pratique !
- Le décoder à la main, ou presque. Cela suppose de changer la fonctionn eval() pour un echo(), pour forcer l’affichage de ce qui est caché. Cet article en anglais vous explique la procédure.
J’ai choisir la seconde option. Le résultat de l’échange de fonctions :
Hein ?! Il y a une seconde c’était mon copyright !!! Mais ! Maintenant ça parle de télécharger un anti-virus. D’où cela vient-il ? Certainement de ce code en base64.
Le verdict
J’ai téléchargé deux autres thèmes de ce site, et ils contenaient également du code base64. Le base64 ne dissimule pas forcément que des liens. Il peut aussi cacher du code malicieux qui mettra la pagaille dans votre site. En plus de cela, ce site, qui promet des thèmes récents, propose en définitive des thèmes créés par d’autres personnes, auquel le propriétaire du site ajoute son code base64. J’ai contacté Michael Oeser de Der Prinz, et il m’a dit avoir tenté de contacter le webmaster afin d’enlever son thème, sans succès. Il a donc publié un avertissement sur site, sur le danger de télécharger des thèmes piratés. En tant que créateur du thème Branford Magazine, son conseil est d’éviter les sites comme celui-ci — assurément un bon conseil !
Ma suggestion
A éviter !
