Sauvegarde automatique WordPress vers un stockage externe
Une sauvegarde stockée sur le même serveur que ton site protège contre une fausse manipulation, pas contre une panne d’hébergement, un piratage ou une résiliation de compte. Dans ces trois cas, le site et ses copies disparaissent ensemble. La seule sauvegarde qui te sauve vraiment, c’est celle qui est ailleurs, faite automatiquement, et que tu as déjà su restaurer au moins une fois.
La règle 3-2-1
C’est le principe de base utilisé bien au-delà de WordPress :
- 3 copies de tes données (le site en ligne compte pour une) ;
- sur 2 supports ou services différents ;
- dont 1 hors site, c’est-à-dire chez un autre fournisseur que ton hébergeur.
Concrètement, pour un site WordPress, cela donne souvent : le site en ligne, les sauvegardes automatiques de l’hébergeur, et une sauvegarde envoyée par une extension vers un stockage externe. Les sauvegardes de l’hébergeur sont un bon filet, mais tu ne maîtrises ni leur durée de conservation ni leur accès si le compte est bloqué.
Que faut-il sauvegarder ?
Un site WordPress tient en deux morceaux, et il faut les deux :
| Élément | Contenu | Fréquence conseillée |
|---|---|---|
| Base de données | Articles, pages, réglages, utilisateurs, commandes | Quotidienne, voire plus pour une boutique active |
| Fichiers | Médias (wp-content/uploads), thèmes, extensions, wp-config.php | Hebdomadaire, ou quotidienne si tu publies beaucoup de médias |
Le cœur de WordPress lui-même se retélécharge, mais l’inclure ne coûte pas grand-chose et simplifie une restauration complète.
Choisir le stockage externe
Les extensions de sauvegarde courantes proposent plusieurs destinations. Le choix dépend de ton volume, de ton budget et de ton aisance technique.
| Destination | Points forts | Points de vigilance |
|---|---|---|
| Stockage objet compatible S3 (Amazon S3, Backblaze B2, Wasabi, Scaleway, OVHcloud…) | Fiable, peu coûteux au gigaoctet, gestion fine des accès et de la conservation | Création d’un compartiment et de clés d’accès, un peu technique au départ |
| Google Drive, Dropbox, OneDrive | Simple à connecter, souvent déjà utilisé | Quotas partagés avec tes fichiers personnels, dépendance à un compte personnel |
| Serveur SFTP | Contrôle total, adapté si tu as déjà un serveur ou un NAS | À maintenir et à sécuriser toi-même |
Pour un stockage compatible S3, crée une clé d’accès dédiée au site, limitée à un seul compartiment et sans droit de suppression si le service le permet. Si ton site est piraté, l’attaquant ne pourra pas effacer tes sauvegardes avec les identifiants trouvés dans l’administration. Certains services proposent aussi le verrouillage d’objets (object lock), qui empêche toute suppression pendant une durée choisie.
Pense à la localisation : si ta base contient des données personnelles de clients, un stockage situé dans l’Union européenne simplifie tes obligations. La CNIL publie des recommandations sur la sécurité des données, sauvegardes comprises.
Régler l’automatisation
Dans la plupart des extensions, la logique est la même :
- connecter la destination externe (autorisation du compte ou saisie des clés) ;
- choisir la fréquence de la base et celle des fichiers séparément ;
- définir la rétention, c’est-à-dire le nombre de copies conservées ;
- lancer une première sauvegarde manuelle et vérifier qu’elle arrive bien à destination ;
- activer les notifications par e-mail en cas d’échec.
Le pas-à-pas avec une extension très répandue est dans le tutoriel UpdraftPlus, et les autres solutions sont passées en revue dans le comparatif des extensions de sauvegarde.
La rétention
Garder une seule copie est risqué : si le site est infecté depuis dix jours sans que tu le saches, la dernière sauvegarde l’est aussi. Un schéma raisonnable pour un petit site :
- 14 sauvegardes quotidiennes de la base ;
- 4 à 8 sauvegardes hebdomadaires des fichiers ;
- une copie mensuelle conservée plus longtemps, si ton stockage le permet.
Sur une boutique, adapte selon le volume de commandes et tes obligations de conservation.
Le chiffrement
Une sauvegarde contient tout : adresses e-mail des clients, mots de passe chiffrés, parfois des clés d’API dans wp-config.php. Active le chiffrement de la base si ton extension le propose, et conserve la phrase de chiffrement en dehors du site, dans un gestionnaire de mots de passe. Sans elle, la sauvegarde est inutilisable.
Tester la restauration
Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Au moins deux fois par an :
- télécharge une sauvegarde depuis le stockage externe, pas depuis l’administration du site ;
- restaure-la sur une copie de test (sous-domaine de préproduction ou installation locale) ;
- vérifie que les pages, les médias, les comptes et, le cas échéant, les commandes sont bien là ;
- note le temps que ça t’a pris : c’est ton délai de remise en ligne réel.
Ce test est aussi ta meilleure préparation au jour où tu devras réagir à un site WordPress piraté, et il rend chaque mise à jour de WordPress beaucoup moins stressante.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.