Sauvegarde WordPress : copies hors serveur, bon rythme et restauration testée

Un piratage, une fausse manœuvre dans l’administration, une mise à jour qui dérape : le jour où le site tombe, tout repose sur une sauvegarde WordPress qui soit complète, récente, saine, et que quelqu’un sache réellement remettre en ligne. Beaucoup d’entreprises découvrent qu’il manque l’un de ces quatre éléments au pire moment, c’est-à-dire quand elles en ont besoin.

Référenceur, agence de marketing numérique francophone de Belgique et du Luxembourg, aide à distance les commerces, les professionnels, les OBNL et les PME à bâtir une stratégie de copies documentée et vérifiée. Nous intervenons aussi quand un site compromis doit être relancé sans remettre en place la faille qui a permis l’attaque; notre page sur le site WordPress piraté décrit cette intervention.

Pour un premier bilan de votre site, lancez l’analyse de sécurité gratuite ci-dessous.

Vous verrez ici quoi copier, à quelle fréquence, où ranger les archives et comment éviter le piège le plus courant : la copie déjà contaminée.

Ce qu’il faut copier : la base de données et les fichiers, ensemble

Un site WordPress repose sur deux blocs bien distincts. La base de données contient les pages, les articles, les réglages, les comptes d’utilisateurs et, pour une boutique, les commandes. Du côté des fichiers, on trouve le cœur de WordPress, les thèmes et les extensions, la bibliothèque de médias, ainsi que wp-config.php et .htaccess.

La documentation officielle de WordPress le rappelle : copier le dossier du site ne copie pas la base, qui est stockée ailleurs. Elle suggère d’exporter la base puis les fichiers pour former un lot cohérent et, au moment de restaurer, de remettre d’abord les fichiers avant d’importer la base.

Sur un site bilingue, les traductions se trouvent généralement dans la base et dans les réglages de l’extension de traduction. Exporter les articles ou copier les médias ne suffira donc jamais.

Où conserver les copies : plusieurs endroits, des accès séparés

La règle 3-2-1 sert de point de repère : trois copies, sur deux supports différents, dont une à l’extérieur du site principal. WordPress recommande la même chose : garder plusieurs sauvegardes récentes à des endroits distincts, par exemple chez l’hébergeur, dans un service de stockage en ligne et sur un ordinateur du bureau.

La copie automatique de l’hébergeur rend de grands services, mais elle ne suffit pas : elle dépend du même fournisseur, et souvent des mêmes identifiants, que le site. Quiconque prend le contrôle du panneau d’hébergement peut la supprimer. Ajoutez une copie hors serveur, avec des accès qui lui sont propres.

Ces archives renferment les mêmes renseignements personnels que le site : coordonnées de clients, messages reçus par les formulaires, commandes. Chiffrez-les, limitez l’accès à quelques personnes et détruisez celles qui ne servent plus. Si elles sont stockées à l’extérieur du Québec, sachez que la Loi 25 prévoit une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors du Québec.

Sauvegardes et Loi 25 : la disponibilité compte aussi

Au Québec, la Loi 25 demande aux entreprises de protéger les renseignements personnels qu’elles détiennent par des mesures de sécurité raisonnables, compte tenu de leur sensibilité. Pouvoir remettre ces données en service après une panne ou une attaque fait partie de cette protection, et une sauvegarde testée en est l’exemple le plus concret.

À l’inverse, la perte d’un renseignement personnel constitue un « incident de confidentialité » au sens de la loi. L’entreprise doit l’inscrire dans son registre des incidents et, s’il présente un risque de préjudice sérieux, aviser avec diligence la Commission d’accès à l’information (CAI) et les personnes concernées. Si vos activités relèvent aussi de la LPRPDE fédérale, des obligations semblables envers le Commissariat à la protection de la vie privée du Canada peuvent s’ajouter. Notre page sur la Loi 25 et le consentement présente le cadre général; aucune de ces informations ne remplace un avis juridique.

À quel rythme copier selon votre activité

Tout dépend de la quantité de données que vous êtes prêt à perdre. La documentation de WordPress parle d’une copie hebdomadaire pour un petit site qui change peu, d’une copie quotidienne pour un site très actif, et toujours d’une copie avant une mise à jour ou un changement d’hébergeur.

Type de site	Fréquence suggérée	À surveiller
Site vitrine d’un travailleur autonome ou d’un professionnel	Une fois par semaine, et avant toute modification	Conserver quelques semaines d’archives, dont au moins une hors serveur
Restaurant ou commerce qui prend des réservations en ligne	Chaque jour	Les réservations reçues après la dernière copie seraient perdues
Boutique WooCommerce	Au moins chaque jour pour la base, idéalement plus souvent	Noter les commandes payées entre la copie et la restauration
OBNL avec espace membre ou inscriptions	Chaque jour	Copies chiffrées : elles contiennent des renseignements sur les membres
Site bilingue français-anglais	Chaque jour pendant les périodes de mise à jour du contenu	Vérifier que les traductions et les réglages linguistiques sont inclus

Pour une boutique, restaurer la base de la veille peut faire disparaître des commandes payées entre-temps. Dressez-en la liste avant d’agir; si la base n’a pas été touchée, contentez-vous de restaurer les fichiers.

Et si la dernière copie était déjà infectée?

Une intrusion passe souvent inaperçue au début. Une porte dérobée peut dormir pendant des semaines avant de déclencher des redirections ou des envois de pourriels. Si vous ne gardez que les copies les plus récentes, il est possible qu’elles contiennent déjà le code malveillant.

Restaurer une telle copie donne l’impression d’un site propre, jusqu’au retour de l’infection. Une copie parfaitement saine ne sert d’ailleurs à rien si la porte d’entrée, bien souvent une extension vulnérable, reste ouverte. Avant de choisir une date, tentez de situer l’intrusion à l’aide des journaux d’accès et des dates de modification des fichiers.

Une fois le site relancé, passez en revue les comptes administrateurs (wp user list --role=administrator) et installez tous les correctifs en attente. Si l’infection est confirmée, conservez une copie de l’état compromis : elle servira de preuve et d’outil d’analyse.

Restaurer un site WordPress : l’exercice à faire à tête reposée

Une sauvegarde qu’on n’a jamais testée n’est qu’une promesse. La documentation officielle conseille d’ailleurs de lancer à l’occasion une copie manuelle pour s’assurer que le processus automatique fonctionne. Allez plus loin : planifiez un véritable exercice de restauration dans un environnement de préproduction, offert par la plupart des hébergeurs.

1. Choisir une copie datée et noter sa provenance.
2. Remettre les fichiers dans l’environnement d’essai, puis importer la base.
3. Ajuster l’adresse du site d’essai, par exemple avec wp search-replace, et en bloquer l’indexation.
4. Parcourir les pages importantes dans chaque langue, les formulaires, la connexion et le processus de commande.
5. Vérifier l’intégrité du cœur avant de déclarer la copie saine.
6. Consigner la date de l’essai, le temps qu’il a pris et les obstacles rencontrés.

wp db export copie-avant-intervention.sql
tar -czf fichiers.tar.gz wp-content wp-config.php .htaccess
wp db import copie-avant-intervention.sql
wp core verify-checksums

Lancées depuis le dossier racine du site, ces quelques commandes (WP-CLI et tar) ne remplacent en rien une solution automatisée; elles dépannent toutefois quand il faut une copie manuelle juste avant une intervention. Savoir restaurer un site WordPress quand tout est calme vous fera gagner un temps précieux le jour d’un pépin.

Les questions à poser à votre hébergeur ou à votre fournisseur

Une copie répare, elle ne protège pas. Elle s’inscrit dans un tout qui comprend des accès bien protégés, le suivi des extensions vulnérables et des mises à jour régulières. Pour savoir où vous en êtes, posez ces questions :

• Où les copies sont-elles stockées, dans quel pays, et pendant combien de temps?
• La base de données et les fichiers sont-ils copiés dans un même lot?
• Puis-je restaurer moi-même une date précise, ou dois-je ouvrir une demande de soutien?
• Gardez-vous une copie ailleurs que sur votre infrastructure, protégée par d’autres identifiants?
• De quand date le dernier essai de restauration?

Organiser vos sauvegardes à distance

Nous n’avons pas de bureau au Québec : l’accompagnement se fait entièrement en visioconférence, à une heure qui convient à votre équipe malgré le décalage horaire. Une rencontre de cadrage fait le tour du site, de l’hébergement et des copies existantes.

Nous menons le premier essai de restauration devant vous, en partage d’écran, puis nous vous remettons la procédure par écrit. Grâce à une formation enregistrée, votre équipe pourra répéter l’exercice; un suivi mensuel confirme que les copies se font comme prévu. Si le site est trop ancien pour être remis d’aplomb, notre équipe de création de sites Web peut prendre le relais.

Sauvegarde WordPress : questions fréquentes

La copie automatique de mon hébergeur suffit-elle?

C’est un bon point de départ, mais elle reste chez le même fournisseur et dépend souvent des mêmes accès que le site. Vérifiez combien de temps elle est conservée et si vous pouvez restaurer une date précise. Pour une protection vraiment fiable, ajoutez une copie hors serveur, avec d’autres identifiants, et testez la restauration régulièrement.

Mon extension de traduction est-elle incluse dans la copie?

Oui, si vous copiez à la fois les fichiers et toute la base. Les traductions, les liens entre les pages françaises et anglaises et les réglages linguistiques s’y trouvent généralement. Si vous vous contentez des médias ou d’un export XML des articles, elles seront perdues. Pendant l’essai en préproduction, passez en revue le site dans chaque langue.

Comment savoir si une copie est saine?

Restaurez-la dans un environnement d’essai, contrôlez le cœur avec WP-CLI, traquez tout fichier PHP égaré parmi les médias et examinez la liste des administrateurs. Et avant de restaurer quoi que ce soit en production, vérifiez que la brèche utilisée par le pirate est bel et bien colmatée.

Combien de temps garder les vieilles archives?

Assez longtemps pour remonter avant une infection discrète, sans conserver indéfiniment des renseignements personnels. Combiner des copies récentes avec des archives hebdomadaires ou mensuelles est un bon compromis. Fixez cette durée dans votre politique de conservation, sécurisez les archives et planifiez leur destruction quand elles n’ont plus d’utilité, comme le demande la Loi 25.

Perdre toutes mes copies, est-ce un incident de confidentialité?

Ce peut l’être si des renseignements personnels sont perdus pour de bon. La Loi 25 vise la perte, et pas seulement le vol ou l’accès non autorisé. L’incident doit être inscrit à votre registre et, s’il présente un risque de préjudice sérieux, déclaré à la CAI et aux personnes concernées. Faites-vous conseiller par un juriste pour votre cas précis.

Une sauvegarde protège-t-elle du piratage?

Non. Elle sert à réparer les dégâts, pas à les éviter : tant que la faille n’est pas fermée, le site restauré peut être attaqué de nouveau. Associez vos copies aux mises à jour, à des mots de passe robustes, à l’authentification à deux facteurs et à un suivi régulier des fichiers et des comptes.

Et si toutes mes copies étaient infectées?

Dans ce cas, c’est le site lui-même qu’on désinfecte : on réinstalle le cœur, les thèmes et les extensions à partir des sources officielles, on passe la base et les médias au peigne fin et on renouvelle tous les identifiants. Quand le site est trop ancien ou trop atteint, repartir à neuf est souvent plus raisonnable. Peu importe l’option, conservez une copie de la version infectée à titre de preuve.

Vous voulez savoir où en est votre site? Faites-le analyser gratuitement :

Vous n’êtes pas certain de la qualité de vos copies? Référenceur, agence francophone de Belgique et du Luxembourg, vous accompagne à distance. Obtenir un diagnostic gratuit : nous faisons le point avec vous sur votre hébergement, vos copies actuelles et votre capacité à remettre le site en ligne, puis nous rédigeons une procédure claire et éprouvée.