Sauvegarder son site WordPress : la méthode qui marche vraiment

Une sauvegarde utile est quotidienne, complète, stockée ailleurs que sur votre serveur, et testée au moins une fois. Si l’une de ces quatre conditions manque, vous n’avez pas vraiment de sauvegarde : vous avez l’illusion d’en avoir une. C’est la découverte que font beaucoup de gens le jour où ils en ont besoin.

Voici comment mettre en place quelque chose qui vous sauvera réellement la mise.

Ce qu’il faut sauvegarder, et pourquoi les deux

Un site WordPress tient en deux parties, et une sauvegarde qui n’en contient qu’une ne sert à rien.

Les fichiers, d’abord : le cœur de WordPress, votre thème, vos extensions et surtout le dossier wp-content/uploads, qui contient toutes vos images et vos documents. C’est en général la partie la plus lourde.

La base de données, ensuite. Elle contient vos articles, vos pages, vos réglages, vos comptes, vos commandes si vous avez une boutique. Elle pèse peu, souvent quelques mégaoctets, mais c’est elle qui contient votre travail.

Restaurer des fichiers sans la base vous rend un site vide. Restaurer la base sans les fichiers vous rend un site sans images ni mise en forme. Il faut les deux, et pris au même moment.

Pourquoi la sauvegarde de votre hébergeur ne suffit pas

Tous les hébergeurs sérieux proposent une sauvegarde automatique, et c’est très bien. Ce n’est simplement pas suffisant pour trois raisons que l’on découvre toujours au mauvais moment.

Elle est souvent stockée sur la même infrastructure que votre site. Si le serveur brûle ou si le compte est suspendu, la sauvegarde part avec.

Sa profondeur est limitée, fréquemment à sept jours. Or une infection passe régulièrement inaperçue plus longtemps : quand vous vous en apercevez, toutes les sauvegardes disponibles contiennent déjà le code malveillant.

Et la restauration est parfois payante, ou soumise à un délai de traitement. Un site à l’arrêt qui attend 48 heures qu’un support veuille bien restaurer, ce n’est pas un plan de secours.

Gardez-la, elle est utile. Mais ajoutez la vôtre par-dessus.

La règle des trois copies

Le principe vient de la sauvegarde professionnelle et il se résume simplement : trois copies de vos données, sur deux supports différents, dont une hors site.

Pour un site WordPress, cela donne le site en production, la sauvegarde automatique de l’hébergeur, et une sauvegarde indépendante envoyée vers un stockage externe, Google Drive, Dropbox ou un espace dédié.

Cette troisième copie est celle qui compte vraiment. C’est la seule qui survive à une suspension de compte, à une erreur de manipulation ou à un ransomware.

À quelle fréquence

La bonne réponse dépend d’une seule question : combien de travail acceptez-vous de perdre ?

Pour un site vitrine modifié une fois par mois, une sauvegarde hebdomadaire suffit largement. Pour un site avec un blog actif, passez au quotidien. Pour une boutique en ligne qui enregistre des commandes, il faut du quotidien au minimum, et idéalement une sauvegarde de la base toutes les heures : chaque commande perdue est un client mécontent et une comptabilité fausse.

Sur la durée de conservation, trente jours est un bon compromis. C’est assez long pour couvrir une infection découverte tardivement, sans faire exploser l’espace de stockage.

Comment faire concrètement

Trois approches, selon votre niveau de confort technique.

La plus simple consiste à installer une extension dédiée, à la configurer pour envoyer les sauvegardes vers un stockage externe, et à programmer la fréquence. UpdraftPlus est la référence gratuite, largement suffisante pour un site vitrine. Comptez vingt minutes de configuration.

La méthode manuelle, elle, ne demande aucune extension : téléchargez les fichiers en FTP et exportez la base depuis phpMyAdmin. C’est fiable et gratuit, mais reposer sur votre discipline personnelle est le maillon faible. Personne ne tient un rythme manuel pendant deux ans.

La troisième approche consiste à déléguer, dans le cadre d’une maintenance : sauvegarde quotidienne automatique, stockage hors serveur, conservation trente jours et restauration sur demande. C’est ce que je mets en place chez mes clients, parce que la seule sauvegarde qui fonctionne est celle à laquelle personne n’a besoin de penser.

L’étape que tout le monde saute : tester

Une sauvegarde jamais restaurée n’est pas une sauvegarde. C’est un fichier dont vous supposez qu’il fonctionne.

J’ai vu des archives vieilles de deux ans qui se sont révélées vides le jour du sinistre, parce que l’extension avait cessé de fonctionner après une mise à jour sans que personne ne le remarque. Les rapports d’échec partaient dans les indésirables.

Testez une fois par an, sur une copie du site, jamais en production. Restaurez, ouvrez le site, vérifiez que les images s’affichent et que les contenus récents sont bien là. Une heure par an, et vous saurez que votre filet existe.

Vérifiez aussi que vous recevez bien les rapports de sauvegarde, et regardez-les. Un échec silencieux qui dure six mois est le pire des scénarios.

Avant chaque mise à jour

Indépendamment du rythme automatique, prenez l’habitude de sauvegarder juste avant toute intervention : mise à jour de WordPress, d’un thème, d’une extension, ou modification de code.

C’est le moment où le risque est le plus élevé, et c’est celui où une sauvegarde de la veille ne suffit pas : vous perdriez tout ce qui s’est passé entre-temps.

Cette habitude transforme les mises à jour en opération sans enjeu. Si quelque chose casse, vous revenez en arrière en dix minutes au lieu de passer la journée à réparer.

Que faire si vous n’avez aucune sauvegarde

C’est la situation dans laquelle arrivent la plupart des gens qui me contactent en urgence. Elle n’est pas désespérée, mais elle demande d’agir vite et dans le bon ordre.

Commencez par vérifier ce qui existe sans le savoir. Beaucoup d’hébergeurs conservent des sauvegardes automatiques que leurs clients ignorent : cherchez dans le panneau une section « sauvegardes » ou « restauration ». Sur un hébergement mutualisé récent, il y a souvent sept jours d’historique disponibles.

Regardez ensuite si une extension de sauvegarde a été installée par un prestataire précédent. Il n’est pas rare de trouver des archives oubliées dans wp-content, parfois vieilles de plusieurs mois, mais toujours mieux que rien.

Si le site est encore accessible, même partiellement, faites immédiatement une copie manuelle avant toute tentative de réparation. C’est l’erreur la plus coûteuse que je vois : intervenir sur un site déjà abîmé sans avoir figé son état, et se retrouver sans point de retour.

En dernier recours, le cache de Google conserve parfois une version textuelle de vos pages, et l’Internet Archive peut avoir enregistré votre site. On ne récupère ni les images ni la mise en forme, mais on récupère les textes, ce qui représente souvent l’essentiel du travail perdu.

Le stockage : où mettre ses sauvegardes

Un point pratique, souvent réglé trop vite. Évitez de tout envoyer vers un compte personnel rattaché à une adresse que vous seul relevez : le jour où quelqu’un d’autre doit restaurer, il est bloqué.

Préférez un compte au nom de l’entreprise, dont les accès figurent dans votre gestionnaire de mots de passe, avec au moins deux personnes capables d’y entrer. Cela vaut aussi pour les indépendants : si vous êtes indisponible, quelqu’un doit pouvoir remettre le site en ligne.

Le réflexe qui change tout

Si vous ne devez retenir qu’une chose : téléchargez dès aujourd’hui une copie complète de votre site sur votre ordinateur, fichiers et base de données.

Cela prend une demi-heure, et vous serez immédiatement mieux protégé que la majorité des sites que je récupère en urgence. La sauvegarde parfaite peut attendre demain ; la première copie, non.