Télécharger les sites web qui utilisent SlickStack

À propos de SlickStack

SlickStack fait son travail une seule fois, sur un serveur, puis se tait, ce qui est un profil étrange pour quelque chose que l’on retrouve dans un relevé du web public. Ce que le script laisse derrière lui est une stack LEMP complète, assemblée selon une recette unique et assumée pour WordPress, avec un serveur web, une base de données, un environnement d’exécution PHP, du cache et une arborescence de fichiers figée, le tout installé et durci sans le moindre panneau de contrôle commercial. La détection est donc indirecte. Nous lisons les empreintes d’une installation de serveur terminée plutôt qu’une balise qu’un propriétaire de site aurait choisi de placer dans une page.

Savoir qu’un site WordPress a été construit de cette façon en dit plus sur son exploitant que sur le site lui-même. La recette séduit les développeurs et les petites agences qui gèrent leurs propres serveurs, veulent la même arborescence sur chaque machine et ont décidé qu’un panneau d’hébergement était soit une dépense, soit un risque. Les sites déployés ainsi ont tendance à arriver par lots, parce que celui qui a appris le script une fois le réutilise ensuite pour chacun de ses clients. Qui parcourt la liste doit donc s’attendre à des grappes derrière un petit nombre d’exploitants plutôt qu’à une dispersion régulière de décisions indépendantes.

En octobre 2026 nous détectons SlickStack sur 41 sites. Le projet relève de notre catégorie Development, il est publié sous licence GPL v3 et remonte à 2018, ce qui le situe dans la génération d’outils écrits après que les serveurs reproductibles sont devenus une pratique courante, mais avant que l’hébergement WordPress infogéré n’absorbe le bas du marché. Comme la stack est assemblée à partir de composants open source ordinaires, un exploitant soigneux peut ne laisser presque aucune trace du script lui-même, et notre chiffre sous-estimera ces installations.

Cette sous-estimation mérite d’être dite clairement, parce qu’elle change la façon dont la liste doit être utilisée. Une requête domaine par domaine vous dit si un site donné présente le motif. Le dataset exporté répond aux questions qu’une requête ne peut pas poser, à savoir quels exploitants font tourner cette recette à grande échelle, comment leur empreinte se compare à celle de l’hébergement piloté par panneau, et si les stacks auto-provisionnées progressent ou se font absorber par les plateformes infogérées. Pour qui vend de l’hébergement, des services de sécurité ou de la maintenance WordPress, un serveur monté en interne est une tout autre affaire qu’un compte mutualisé, et voilà l’un des rares signaux observables qui les sépare.