Sauvegarde WordPress : copies externes, bonne fréquence et restauration testée

Une extension qui plante en pleine mise à jour, un fichier effacé par erreur, un rançongiciel qui chiffre l’hébergement : dans chacun de ces scénarios, la survie de votre site repose sur une sauvegarde WordPress complète, saine, conservée hors du serveur et que vous savez réellement remettre en place. Qu’un seul de ces critères manque, et la copie ne sert à rien le jour où vous en avez besoin.

L’agence Référenceur accompagne artisans, commerçants, cabinets libéraux, associations loi 1901 et PME dans la mise en place de copies fiables et documentées. Nous intervenons aussi lorsqu’il faut réparer un site WordPress piraté sans réintroduire la faille par une archive contaminée.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Cette page complète notre guide de sécurité WordPress. Elle répond à quatre questions : que faut-il copier, à quelle fréquence, où ranger les archives et comment vérifier qu’elles fonctionnent.

Ce que contient vraiment une copie complète

Votre site se compose de deux parties qui ne vivent pas au même endroit. La base de données (MySQL ou MariaDB) contient les contenus, les réglages, les comptes, les commandes et les messages reçus. Le dossier du site regroupe le cœur de WordPress, les thèmes, les extensions, la médiathèque, wp-config.php et le fichier .htaccess.

La documentation de WordPress consacrée aux sauvegardes le rappelle : télécharger le dossier par SFTP ne récupère pas la base, stockée ailleurs. Les deux doivent être capturées au même moment pour rester cohérentes ; lors d’une remise en ligne, on replace les fichiers avant d’importer la base.

Méfiez-vous des exports partiels : un fichier XML des articles ne conserve ni les réglages, ni les comptes, ni les données d’une boutique WooCommerce.

Choisir la fréquence selon ce que vous pouvez perdre

La question utile n’est pas « combien de copies ? » mais « combien d’heures de travail ou de commandes puis-je me permettre de perdre ? ». La documentation officielle évoque une copie hebdomadaire pour un site rarement modifié, quotidienne pour un site animé, et une copie systématique avant toute mise à jour ou tout changement d’hébergeur.

Type de site	Fréquence raisonnable	Vigilance particulière
Site vitrine d’artisan ou de cabinet libéral	Une fois par semaine, et avant chaque intervention	Conserver plusieurs semaines d’historique
Restaurant ou gîte avec réservation en ligne	Chaque jour	Les réservations arrivées après la copie manqueront dans l’archive
Boutique WooCommerce	Base au moins quotidienne, davantage pendant les soldes	Relever les commandes payées avant toute restauration
Association loi 1901 avec adhésions en ligne	Chaque jour pendant les campagnes d’adhésion	Chiffrer les archives, qui contiennent les données des membres
Blog ou média très actif	Chaque jour, voire plusieurs fois	Anticiper le poids de la médiathèque et l’espace de stockage

Pour une boutique, revenir à la base de la veille peut faire disparaître des commandes déjà réglées. Exportez-les avant d’agir ou, si seuls quelques fichiers sont touchés, ne restaurez que ceux-ci.

Stocker les archives loin du site, avec d’autres accès

Le principe du 3-2-1 reste une bonne boussole : trois exemplaires, deux supports différents, un exemplaire à l’extérieur. Cybermalveillance.gouv.fr va dans le même sens pour les sites internet : sauvegarder régulièrement données, configuration et bases, vérifier que la restauration fonctionne et déconnecter le support de stockage après usage pour qu’un attaquant ne puisse pas l’atteindre.

La copie fournie par l’hébergeur rend de grands services, mais elle dépend du même contrat et souvent des mêmes identifiants que le site. Quiconque prend le contrôle de votre espace client peut aussi l’effacer. Ajoutez au moins une copie externe, sur un stockage situé dans l’Union européenne, protégée par d’autres identifiants et par la double authentification.

Ces archives renferment les mêmes données personnelles que le site. Chiffrez-les, limitez la liste des personnes qui y accèdent et supprimez celles qui ne servent plus.

Sauvegarde WordPress et RGPD : disponibilité et violation de données

L’article 32 du RGPD cite, parmi les mesures de sécurité attendues, les moyens permettant de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique. Une procédure de copie éprouvée en est la traduction la plus concrète pour un site.

Inversement, la perte définitive ou l’indisponibilité de données personnelles constitue une violation. Elle doit être documentée en interne dans tous les cas et, si elle présente un risque pour les personnes, notifiée à la CNIL via son téléservice, si possible dans les 72 heures. Nos explications sur la fuite de données d’un site WordPress détaillent ces obligations, sans remplacer l’avis d’un juriste.

Le piège de l’archive déjà contaminée

Une intrusion peut rester silencieuse plusieurs semaines : une porte dérobée attend son heure, puis déclenche des redirections ou des envois de spam. Si votre historique ne couvre que quelques jours, toutes vos archives contiennent peut-être déjà le code malveillant.

Remettre l’une d’elles donne l’impression d’un site propre jusqu’à la réinfection. Et même une copie saine ne protège de rien si la vulnérabilité d’origine reste ouverte, par exemple une extension non corrigée. Avant de choisir une date, croisez les journaux d’accès et les dates de modification des fichiers pour estimer le moment de l’intrusion.

Une fois le site remis en ligne, vérifiez les comptes avec wp user list --role=administrator et appliquez les correctifs aussitôt, en surveillant les extensions WordPress vulnérables. En cas de piratage confirmé, suivez notre procédure site WordPress piraté : que faire et gardez une copie de l’état compromis comme élément de preuve.

Restaurer site WordPress en préproduction : un exercice à planifier

Une copie jamais remise en ligne n’est qu’une hypothèse. La documentation officielle conseille d’ailleurs de lancer de temps en temps une copie manuelle pour contrôler l’automatisme. Le vrai test consiste à restaurer site WordPress dans un environnement de préproduction (staging), proposé par de nombreux hébergeurs, au moins deux fois par an.

1. Sélectionner une archive datée et noter sa provenance.
2. Déployer les fichiers dans l’environnement de test, puis importer la base.
3. Remplacer l’adresse du site avec wp search-replace et empêcher l’indexation de cette copie.
4. Tester la connexion, les formulaires, le panier et le paiement, sur mobile comme sur ordinateur.
5. Contrôler l’intégrité du cœur et l’absence de fichiers PHP dans la médiathèque.
6. Chronométrer et consigner l’exercice : durée, obstacles rencontrés, personne en charge.

wp db export avant-intervention.sql
tar -czf site-fichiers.tar.gz wp-content wp-config.php .htaccess
wp db import avant-intervention.sql
wp core verify-checksums

Lancées depuis la racine du site, ces commandes WP-CLI et tar ne remplacent pas un système automatisé, mais elles sont précieuses pour une copie ponctuelle avant une intervention. La durée mesurée pendant l’exercice vous indique aussi combien de temps votre activité resterait privée de site.

Les questions à poser à votre hébergeur ou à votre prestataire

Une copie permet de revenir en arrière, elle n’empêche pas l’attaque : elle accompagne une mise à jour régulière de WordPress et des accès protégés. Si votre site a été conçu par un tiers, lors d’une création de site internet par exemple, vérifiez ce qui a été prévu :

• Dans quel pays sont stockées les copies, et combien de temps sont-elles conservées ?
• La base et les fichiers sont-ils sauvegardés au même moment ?
• Puis-je restaurer une date précise moi-même, sans ouvrir de ticket ?
• Existe-t-il une copie hors de votre infrastructure, avec des identifiants séparés ?
• Quand la restauration a-t-elle été testée pour la dernière fois ?

Un plan de sauvegarde construit en visioconférence

Tout notre accompagnement se fait 100 % en visioconférence, que votre entreprise soit à Bordeaux, à Lille ou à Montpellier. Une séance de cadrage fait l’inventaire du site, de l’hébergement et des copies existantes.

Le premier test de restauration se déroule en partage d’écran : vous voyez chaque étape et recevez la procédure écrite. Une formation enregistrée permet à votre équipe de refaire l’exercice, puis un point mensuel vérifie que les copies s’exécutent correctement. Une analyse gratuite de sécurité est également disponible sur cette page.

Sauvegarde WordPress : vos questions

Les copies automatiques de mon hébergeur sont-elles suffisantes ?

Elles constituent un bon socle, mais restent chez le même prestataire et derrière les mêmes identifiants que le site. Vérifiez leur durée de conservation et la possibilité de choisir une date précise. Une sauvegarde WordPress vraiment fiable ajoute une copie externe, protégée par d’autres accès, stockée dans l’Union européenne et testée régulièrement.

Une extension de sauvegarde fait-elle l’affaire ?

Elle automatise le travail, à condition de copier base et fichiers ensemble et d’envoyer les archives vers un stockage externe. Si elle les laisse sur le même serveur, un piratage ou une panne peut tout emporter. Vérifiez aussi qu’elle est maintenue, téléchargée depuis une source officielle, et que ses alertes d’échec arrivent dans une boîte réellement lue.

Comment vérifier qu’une archive n’est pas infectée ?

Déployez-la en préproduction, contrôlez l’intégrité du cœur avec WP-CLI, cherchez des fichiers PHP dans la médiathèque et passez en revue les comptes administrateurs. Avant de restaurer site WordPress en production, assurez-vous aussi que la faille à l’origine de l’intrusion est corrigée, sinon la réinfection n’est qu’une question de temps.

Pendant combien de temps conserver les archives ?

Le bon horizon permet de revenir avant une intrusion restée invisible plusieurs semaines, sans stocker sans fin des données personnelles. Un schéma courant combine sept copies quotidiennes, quatre hebdomadaires et quelques mensuelles. Fixez cette règle par écrit, chiffrez les archives et programmez l’effacement des plus anciennes, conformément à vos durées de conservation.

Un rançongiciel peut-il chiffrer mes copies ?

Oui, si elles restent accessibles depuis le serveur ou l’ordinateur infecté. C’est pourquoi Cybermalveillance.gouv.fr recommande de déconnecter le support après chaque sauvegarde. Pour un site, cela se traduit par une copie externe dont les identifiants ne sont stockés ni sur l’hébergement ni dans WordPress, et si possible par une conservation en mode non modifiable.

Perdre toutes mes copies, est-ce une violation de données ?

Cela peut l’être si des données personnelles deviennent définitivement indisponibles : le RGPD vise la perte et la destruction, pas uniquement le vol. L’incident doit être documenté en interne, puis notifié à la CNIL s’il présente un risque pour les personnes, si possible sous 72 heures. Pour votre cas précis, rapprochez-vous d’un conseil spécialisé.

Une sauvegarde WordPress me protège-t-elle d’un piratage ?

Non : elle permet de revenir à un état antérieur, pas d’empêcher l’attaque. Si la porte d’entrée reste ouverte, le site restauré sera de nouveau compromis. Associez vos copies à des mises à jour rapides, des mots de passe uniques, la double authentification et une surveillance régulière des fichiers et des comptes administrateurs.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Vos sauvegardes ont-elles déjà été mises à l’épreuve ? Planifions un appel visio pour diagnostiquer votre site : nous vérifions ensemble l’hébergement, les copies en place et votre capacité à restaurer site WordPress rapidement, puis nous rédigeons une procédure claire.