Sauvegarde WordPress : copies hors serveur, rythme adapté et restauration éprouvée

Un piratage, une fausse manipulation dans l’administration ou une mise à jour qui tourne mal : le jour où votre site tombe, tout dépend d’une sauvegarde WordPress complète, récente, saine et que quelqu’un sait réellement remettre en ligne. Trop d’entreprises découvrent qu’il leur manque l’un de ces quatre critères au moment précis où elles en ont besoin.

L’agence Référenceur aide les commerces, professions libérales, ASBL et PME belges à bâtir une stratégie de copies vérifiée et documentée, et intervient lorsqu’un site WordPress compromis doit être remis sur pied sans réinstaller la faille avec lui.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Ce guide s’inscrit dans notre dossier sur la sécurité WordPress. Vous y verrez quoi copier, à quel rythme, où ranger les archives et comment éviter le piège le plus fréquent : la copie déjà contaminée.

Deux briques à copier ensemble : base de données et fichiers

Un site WordPress repose sur deux ensembles distincts. La base de données regroupe pages, articles, réglages, comptes utilisateurs et, pour une boutique, les commandes. Les fichiers comprennent le cœur, les thèmes, les extensions, les médias, wp-config.php et .htaccess.

La documentation officielle de WordPress insiste : copier le dossier du site ne capture pas la base, stockée à part. Elle conseille d’exporter la base puis les fichiers, pour qu’ils forment un même lot, et à la restauration de remettre d’abord les fichiers, puis d’importer la base.

Sur un site en français, néerlandais et allemand, les traductions vivent généralement dans la base et dans les réglages de l’extension multilingue. Un simple export des articles ou une copie des médias ne suffit donc jamais.

Où ranger les copies : plusieurs lieux, des accès séparés

La règle dite 3-2-1 sert de repère : trois copies, sur deux supports distincts, dont une hors du site principal. La documentation WordPress va dans le même sens et recommande de garder plusieurs sauvegardes récentes à des endroits différents, par exemple chez l’hébergeur, dans un stockage en ligne et sur un ordinateur local.

La copie automatique de l’hébergeur est précieuse mais insuffisante : elle dépend du même prestataire et souvent des mêmes identifiants que le site. Un attaquant qui obtient l’accès au panneau d’hébergement peut l’effacer. Ajoutez une copie hors serveur avec des accès distincts, de préférence dans un stockage situé en Belgique ou dans l’Union européenne.

Ces archives contiennent les mêmes données personnelles que le site : coordonnées de clients, messages de formulaires, commandes. Chiffrez-les, réservez-en l’accès à quelques personnes et supprimez celles qui ne sont plus nécessaires.

Sauvegarde WordPress et RGPD : la disponibilité compte aussi

Le RGPD ne parle pas seulement de confidentialité. Son article 32 cite, parmi les mesures de sécurité, des moyens permettant de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique. Une sauvegarde testée en est l’illustration la plus concrète.

À l’inverse, la perte ou la destruction de données personnelles peut constituer une violation au sens du RGPD. Sauf si elle est peu susceptible d’engendrer un risque pour les personnes, elle doit être notifiée à l’Autorité de protection des données (APD) dans les 72 heures (article 33). Notre page sur la fuite de données et le RGPD détaille ces règles, sans remplacer un avis juridique.

Quel rythme de copie pour quelle activité

La bonne fréquence dépend de ce que vous acceptez de perdre. La documentation WordPress évoque une copie hebdomadaire pour un petit site peu modifié, quotidienne pour un site très actif, et toujours une copie avant une mise à jour ou un déménagement.

Profil du site	Rythme conseillé	Point d’attention
Vitrine d’un indépendant ou d’une profession libérale	Hebdomadaire, plus une copie avant chaque changement	Garder plusieurs semaines d’historique, dont une copie hors serveur
Restaurant ou établissement horeca avec réservations en ligne	Quotidien	Les réservations reçues après la dernière copie seraient perdues
Boutique WooCommerce	Au moins quotidien pour la base, idéalement plus fréquent	Noter les commandes payées entre la copie et la restauration
ASBL avec espace membres ou inscriptions	Quotidien	Copies chiffrées : elles contiennent des données de membres
Site multilingue FR, NL, DE ou EN	Quotidien en période de mise à jour des contenus	Vérifier que les traductions et réglages linguistiques sont inclus

Pour une boutique, remettre la base de la veille peut effacer des commandes réglées entre-temps. Relevez-les avant d’agir, ou ne restaurez que les fichiers si la base est saine.

Quand la dernière copie est déjà infectée

Une intrusion ne se voit pas toujours le jour même. Une porte dérobée peut rester silencieuse plusieurs semaines avant de déclencher redirections ou spam. Si vous ne gardez que les copies les plus récentes, elles contiennent peut-être déjà le code malveillant.

Remettre une telle copie donne l’illusion d’un site propre, puis l’infection revient. Même une copie saine ne règle rien si la faille d’origine, souvent une extension vulnérable, reste en place. Avant de choisir une date, essayez de situer l’intrusion grâce aux journaux d’accès et aux dates de modification des fichiers.

Après la remise en ligne, contrôlez la liste des administrateurs avec wp user list --role=administrator, puis appliquez immédiatement les correctifs. En cas d’infection avérée, suivez notre guide site WordPress piraté : que faire et conservez une copie de l’état compromis comme preuve.

Restaurer site WordPress : l’exercice à faire avant l’urgence

Une sauvegarde jamais testée reste une promesse. La documentation officielle recommande d’ailleurs de lancer de temps en temps une copie manuelle pour vérifier que le processus automatique fonctionne. Allez un cran plus loin : planifiez un exercice de restauration dans un environnement de préproduction (staging), que la plupart des hébergeurs proposent.

1. Choisir une copie datée et noter d’où elle vient.
2. Remettre les fichiers dans l’environnement de test, puis importer la base.
3. Adapter l’adresse du site de test, par exemple avec wp search-replace, et bloquer son indexation.
4. Parcourir les pages clés dans chaque langue, les formulaires, la connexion et le tunnel de commande.
5. Contrôler l’intégrité du cœur avant de déclarer la copie saine.
6. Consigner la date, la durée de l’exercice et les difficultés rencontrées.

wp db export copie-avant-intervention.sql
tar -czf fichiers.tar.gz wp-content wp-config.php .htaccess
wp db import copie-avant-intervention.sql
wp core verify-checksums

Ces commandes WP-CLI et tar se lancent depuis la racine du site. Elles ne remplacent pas un système automatisé, mais elles rendent service pour une copie manuelle juste avant une intervention. Savoir restaurer site WordPress en conditions calmes vous fera gagner un temps précieux le jour d’un incident.

Faire le point avec votre hébergeur ou votre prestataire

La sauvegarde permet de revenir en arrière, elle n’empêche pas l’intrusion. Elle va de pair avec la sécurisation des accès, le suivi des extensions WordPress vulnérables et une mise à jour régulière de WordPress. Pour savoir où vous en êtes, posez ces questions :

• Où sont stockées les copies, dans quel pays, et combien de temps sont-elles gardées ?
• Base de données et fichiers sont-ils copiés dans un même lot ?
• Puis-je remettre moi-même une date précise, ou faut-il ouvrir un ticket ?
• Existe-t-il une copie hors de votre infrastructure, avec d’autres identifiants ?
• À quand remonte le dernier test de restauration ?

Organiser vos sauvegardes en visioconférence

Référenceur n’a pas de bureau dans votre commune : l’accompagnement se fait entièrement en visioconférence, au moment qui convient à votre équipe. Un atelier de cadrage recense le site, l’hébergement et les copies existantes.

Le premier test de restauration se fait en partage d’écran : vous suivez chaque étape et la procédure vous est remise par écrit. Une formation enregistrée permet de refaire l’exercice, et un point mensuel vérifie que les copies se déroulent bien.

Que votre structure soit dans le Hainaut ou ailleurs, notre agence web en Belgique applique la même méthode, en français.

Sauvegarde WordPress : questions fréquentes

La copie automatique de mon hébergeur me suffit-elle ?

C’est une bonne base, mais elle reste chez le même prestataire et dépend souvent des mêmes accès que le site. Vérifiez sa durée de conservation et la possibilité de remettre une date précise. Pour une sauvegarde WordPress réellement fiable, ajoutez une copie hors serveur avec d’autres identifiants, idéalement dans l’UE, et testez la restauration régulièrement.

Mon extension multilingue est-elle incluse dans la copie ?

Elle l’est si vous copiez à la fois les fichiers et l’intégralité de la base. Les traductions, les correspondances entre pages FR, NL ou DE et les réglages linguistiques y sont généralement stockés. Une copie limitée aux médias ou un export XML des articles les perdrait. Lors du test en préproduction, vérifiez chaque version linguistique du site.

Comment savoir si une copie est saine ?

Remettez-la dans un environnement de test, contrôlez l’intégrité du cœur avec WP-CLI, cherchez des fichiers PHP dans le dossier des médias et passez en revue la liste des administrateurs. Avant de restaurer site WordPress en production, assurez-vous aussi que la faille qui a permis l’intrusion est corrigée.

Combien de temps garder les anciennes archives ?

Assez longtemps pour remonter avant une infection restée discrète, sans conserver indéfiniment des données personnelles. Un mélange de copies récentes et d’archives hebdomadaires ou mensuelles offre un bon équilibre. Fixez cette durée dans votre politique de conservation, protégez les archives et prévoyez leur suppression lorsqu’elles ne servent plus.

La perte de toutes mes copies est-elle une violation de données ?

Elle peut l’être si des données personnelles sont définitivement perdues ou indisponibles. Le RGPD vise aussi la destruction et la perte, pas seulement le vol. Selon le risque pour les personnes, une notification à l’APD dans les 72 heures peut être nécessaire. Consignez l’incident dans votre registre et faites-vous conseiller pour votre cas précis.

Une sauvegarde protège-t-elle contre le piratage ?

Non : elle permet de revenir en arrière, pas d’empêcher l’intrusion. Si la faille reste ouverte, le site remis en ligne peut être compromis de nouveau. Combinez la sauvegarde WordPress avec les mises à jour, des mots de passe solides, la double authentification et une surveillance régulière des fichiers et des comptes.

Que faire si toutes les copies sont contaminées ?

Il faut alors nettoyer le site lui-même : remplacer le cœur, les thèmes et les extensions par des versions officielles, inspecter la base et les médias, puis changer tous les accès. Si le site est trop ancien ou trop atteint, une refonte peut être plus raisonnable. Dans les deux cas, gardez une copie de l’état infecté comme preuve.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Vous doutez de la qualité de vos copies ? Prenez rendez-vous pour un appel visio : nous examinons ensemble votre hébergement, vos sauvegardes actuelles et votre capacité à remettre le site en ligne, puis nous rédigeons une procédure claire et éprouvée.