Sauvegarde WordPress : fréquence, stockage hors serveur et restauration testée

Le jour où votre site est piraté, effacé par une mauvaise manipulation ou cassé par une mise à jour, une seule question compte : avez-vous une sauvegarde WordPress complète, récente, saine et que vous savez remettre en ligne ? Beaucoup de PME découvrent la réponse au pire moment.

L’agence Référenceur met en place pour les entreprises romandes une stratégie de sauvegarde vérifiée, documentée et testée, et intervient quand un site WordPress piraté doit être remis en état sans réinstaller le problème.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse avec notre outil ci-dessous.

Ce guide complète notre guide de la sécurité WordPress. Vous y trouverez ce qu’il faut sauvegarder, à quelle fréquence, où stocker les copies et comment éviter le piège le plus courant : la sauvegarde déjà infectée.

Ce que contient une sauvegarde WordPress complète

Un site WordPress repose sur deux éléments distincts. La base de données contient les pages, articles, commentaires, réglages, comptes et, pour une boutique, les commandes. Les fichiers regroupent le cœur de WordPress, les thèmes, les extensions, le dossier des médias, le fichier wp-config.php et le fichier .htaccess.

La documentation officielle sur les sauvegardes de WordPress le rappelle : sauvegarder les fichiers n’inclut pas la base, et il faut les deux pour une restauration complète. Elle conseille de sauvegarder la base puis les fichiers, idéalement dans un même lot, et de restaurer d’abord les fichiers, puis la base.

Une copie des seuls médias ou un export XML des articles ne remplace donc pas une vraie sauvegarde. Il vous manquerait les réglages, les extensions, les comptes et souvent les données de formulaires.

La règle 3-2-1 et les copies hors du serveur

La règle dite 3-2-1 est un repère simple : trois copies de vos données, sur deux supports différents, dont une conservée hors du site principal. La documentation WordPress va dans le même sens, en recommandant de garder plusieurs sauvegardes récentes à des endroits et sur des supports différents.

La sauvegarde automatique de votre hébergeur est utile, mais elle ne suffit pas. Elle se trouve souvent chez le même prestataire, parfois sur la même infrastructure, et un attaquant qui obtient vos accès au panneau d’hébergement peut y toucher. Ajoutez une copie hors serveur, dans un stockage externe dont les accès sont distincts de ceux du site.

Ces copies contiennent les mêmes données personnelles que votre site : coordonnées de clients, messages, commandes. Chiffrez-les, limitez les personnes qui y ont accès et supprimez les archives devenues inutiles selon votre politique de conservation des données.

Quelle fréquence selon votre activité

La bonne fréquence dépend de ce que vous accepteriez de perdre. La documentation WordPress cite une sauvegarde hebdomadaire pour un petit site peu actif et quotidienne pour un site très actif, et toujours avant une mise à jour ou un déménagement.

Type de site	Fréquence à viser	Rétention et précautions
Site vitrine rarement modifié	Hebdomadaire, plus une copie avant chaque modification	Plusieurs semaines de versions, dont une copie hors serveur
Site éditorial ou blog actif	Quotidienne	Historique suffisant pour remonter avant une infection ancienne
Boutique WooCommerce	Au moins quotidienne pour la base, idéalement plus fréquente	Attention aux commandes passées entre la sauvegarde et la restauration
Site avec espace membres ou formulaires	Quotidienne	Copies chiffrées, accès restreints : elles contiennent des données personnelles
Avant toute intervention	Copie manuelle systématique	Mises à jour, changement de thème, nettoyage : restaurer site WordPress doit rester possible

Pour une boutique, restaurer une base de la veille peut effacer des commandes payées entre-temps. Notez-les avant d’agir, ou ne restaurez que les fichiers si la base est saine.

Le piège de la sauvegarde déjà infectée

Un piratage n’est pas toujours visible le jour où il se produit. Une porte dérobée peut dormir plusieurs semaines avant qu’apparaissent des redirections ou du spam. Si vous ne conservez que les dernières copies, elles contiennent peut-être déjà le code malveillant.

Restaurer une telle copie redonne l’illusion d’un site propre, puis l’infection revient. Et même une copie saine ne corrige rien si la faille d’origine, souvent une extension vulnérable, est toujours présente. Avant toute restauration, essayez de dater l’intrusion à l’aide des journaux d’accès et des dates de modification des fichiers.

Après la restauration, contrôlez systématiquement l’intégrité des fichiers, la liste des administrateurs avec wp user list --role=administrator, puis appliquez immédiatement les mises à jour. Si vous constatez une infection, suivez plutôt notre guide site WordPress piraté : que faire et conservez une copie du site compromis comme preuve.

Restaurer site WordPress : tester en staging avant l’urgence

Une sauvegarde jamais restaurée reste une hypothèse. La documentation officielle recommande d’ailleurs de faire de temps en temps une sauvegarde manuelle, même avec un système automatique, pour s’assurer que le processus fonctionne. Allez plus loin : planifiez un test de restauration dans un environnement de préproduction, ou staging, que la plupart des hébergeurs proposent.

1. Choisissez une copie datée et notez sa provenance (hébergeur, stockage externe).
2. Restaurez les fichiers dans l’environnement de test, puis importez la base de données.
3. Adaptez l’adresse du site de test, par exemple avec wp search-replace, et bloquez son indexation.
4. Vérifiez les pages clés, les formulaires, la connexion administrateur et, pour une boutique, le tunnel de commande.
5. Contrôlez l’intégrité du cœur et des extensions avant de considérer la copie comme saine.
6. Consignez la date du test, la durée de l’opération et les problèmes rencontrés.

wp db export sauvegarde.sql
tar -czf fichiers.tar.gz wp-content wp-config.php .htaccess
wp db import sauvegarde.sql
wp core verify-checksums

Ces commandes WP-CLI et tar s’exécutent depuis la racine du site. Elles ne remplacent pas une solution automatisée, mais elles sont utiles pour une copie manuelle juste avant une intervention.

Mises à jour, sécurisation et maintenance : les autres piliers

La sauvegarde vous permet de revenir en arrière ; elle n’empêche pas le piratage. Elle fonctionne avec trois autres piliers : le nettoyage complet en cas d’incident, la sécurisation des accès et des mises à jour régulières, décrites dans notre guide sur la mise à jour de WordPress.

Pour savoir où vous en êtes, posez ces questions à votre hébergeur ou à votre prestataire :

• Où sont stockées les copies, et combien de temps sont-elles conservées ?
• La base de données et les fichiers sont-ils sauvegardés ensemble ?
• Puis-je restaurer moi-même une version précise, ou faut-il ouvrir une demande ?
• Existe-t-il une copie hors de votre infrastructure ?
• Quand une restauration a-t-elle été testée pour la dernière fois ?

Si une copie s’avère infectée, notre guide pour nettoyer un malware WordPress détaille la marche à suivre sans détruire les preuves.

Mettre en place vos sauvegardes en visioconférence

Référenceur n’a pas de bureau à votre porte : l’accompagnement se fait entièrement en visioconférence, ce qui vous évite tout déplacement. Un atelier de cadrage fait l’inventaire de votre site, de votre hébergement et des sauvegardes existantes.

Le premier test de restauration se déroule en partage d’écran : vous voyez chaque étape et la procédure vous est remise par écrit. Une formation enregistrée permet à votre équipe de refaire l’exercice, et un point mensuel vérifie que les copies se font bien.

Nous accompagnons ainsi des structures de Lausanne, de Fribourg, de Bienne, de Montreux ou de Sierre, en français, avec la même méthode.

Sauvegarde WordPress : vos questions

La sauvegarde de mon hébergeur suffit-elle ?

Elle constitue une bonne base, mais elle reste chez le même prestataire et dépend souvent des mêmes accès que votre site. Vérifiez sa durée de conservation et la possibilité de restaurer une date précise. Pour une sauvegarde WordPress vraiment résiliente, ajoutez une copie hors serveur, avec des identifiants distincts, et testez la restauration au moins de temps en temps.

Faut-il sauvegarder la base de données et les fichiers séparément ?

Il faut sauvegarder les deux, idéalement dans un même lot afin qu’ils correspondent à la même date. La base contient le contenu et les réglages, les fichiers contiennent le code, les médias et la configuration. Une copie incomplète vous obligerait à reconstruire une partie du site à la main, au moment où le temps presse le plus.

Comment savoir si ma sauvegarde est saine ?

Restaurez-la dans un environnement de test, puis contrôlez l’intégrité du cœur et des extensions avec WP-CLI, recherchez des fichiers PHP dans le dossier des médias et vérifiez la liste des administrateurs. Avant de restaurer site WordPress en production, assurez-vous aussi que la faille qui a permis l’intrusion a été corrigée.

Combien de temps conserver les anciennes copies ?

Assez longtemps pour remonter avant une infection qui serait restée discrète. Une combinaison de copies récentes et d’archives plus anciennes, hebdomadaires ou mensuelles, offre un bon compromis. Pensez aussi à la protection des données : ces archives contiennent des données personnelles, protégez-les et prévoyez quand les supprimer.

Une sauvegarde WordPress protège-t-elle contre le piratage ?

Non : elle permet de revenir en arrière, mais n’empêche pas l’intrusion. Si la faille reste ouverte, le site restauré peut être compromis à nouveau. Combinez la sauvegarde WordPress avec les mises à jour, des accès solides, la double authentification et une surveillance régulière des fichiers et des comptes.

Que faire si toutes mes copies sont infectées ?

Il faut alors nettoyer le site lui-même : remplacer le cœur, les thèmes et les extensions par des versions officielles, inspecter la base et les médias, puis changer tous les accès. Quand le site est trop ancien ou trop compromis, une refonte peut être plus raisonnable qu’un nettoyage. Dans les deux cas, gardez une copie de l’état infecté comme preuve.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité de votre site WordPress :

Vous ne savez pas si vos copies sont complètes ou saines ? Réservez un appel visio : nous passons en revue votre hébergement, vos sauvegardes existantes et votre capacité à restaurer, puis nous définissons ensemble une procédure claire et testée.