Tout le monde a une sauvegarde. Jusqu'au jour où il faut s'en servir. C'est à ce moment‑là qu'on découvre qu'elle date de huit mois, qu'elle contient les fichiers mais pas la base de données, qu'elle était stockée sur le serveur qui vient de tomber, ou que personne ne sait comment la restaurer. J'ai vu chacun de ces cas. Voici ce qu'une sauvegarde WordPress doit être pour mériter son nom.
Un site WordPress, c'est deux choses
Un site WordPress se compose de fichiers (le cœur de WordPress, le thème, les extensions, et surtout vos images et documents dans le dossier wp-content/uploads) et d'une base de données (vos pages, articles, produits, commandes, réglages, utilisateurs). Les deux sont indispensables et l'un ne sert à rien sans l'autre : des fichiers sans la base, c'est un site vide ; une base sans les fichiers, c'est du texte sans images ni mise en page.
Première question, donc : votre sauvegarde contient‑elle les deux ? Beaucoup d'outils « gratuits » n'exportent que la base, ou que les fichiers.
Les quatre critères d'une vraie sauvegarde
1. Complète. Fichiers et base de données, dans un état cohérent (pris au même moment).
2. Régulière, à la bonne fréquence. La question à se poser : combien de travail acceptez‑vous de perdre ? Pour une vitrine qui change une fois par mois, une sauvegarde hebdomadaire suffit. Pour une boutique qui enregistre des commandes chaque jour, il faut une sauvegarde quotidienne de la base au minimum : perdre une journée de commandes, c'est perdre des clients et de la comptabilité. Sur les sites que je maintiens, la base est sauvegardée chaque nuit, les fichiers chaque semaine ou après chaque modification.
3. Stockée ailleurs. Une sauvegarde qui reste sur le serveur du site disparaît avec lui : disque défaillant, piratage qui chiffre ou efface tout, hébergement résilié par erreur, compte suspendu, c'est d'ailleurs la première chose que je mets de côté avant une migration. Elle doit être copiée sur un espace distinct, chez un autre prestataire (stockage en ligne), ou au moins téléchargée régulièrement. Et il faut en garder plusieurs générations : si le piratage date de trois semaines, la sauvegarde d'hier est déjà infectée.
4. Testée. Une sauvegarde qu'on n'a jamais restaurée est une hypothèse. Au moins une fois par an, je restaure un site sur un espace de test pour vérifier que l'archive s'ouvre, que la base s'importe, que le site tourne. Ça prend une heure et ça vaut toutes les promesses.
L'hébergeur sauvegarde, non ?
Souvent, oui, et c'est une bonne couche de sécurité supplémentaire. Infomaniak, par exemple, conserve des instantanés de l'hébergement sur plusieurs jours, restaurables depuis l'interface. Mais ce n'est pas suffisant seul, pour trois raisons :
- la profondeur est limitée (quelques jours à quelques semaines) ;
- la sauvegarde est chez le même prestataire que le site : un compte suspendu ou un litige commercial et vous perdez les deux ;
- elle ne couvre pas l'erreur humaine découverte tard : la page supprimée il y a un mois n'y est plus.
La bonne pratique, c'est la règle des deux : la sauvegarde de l'hébergeur et la vôtre, ailleurs.
Ce que j'utilise
Sur les sites sous contrat de maintenance, une extension de sauvegarde planifiée (UpdraftPlus ou équivalent) envoie chaque nuit la base et chaque semaine les fichiers vers un stockage distant, avec conservation de plusieurs semaines. Avant chaque mise à jour importante, une sauvegarde manuelle supplémentaire, pour pouvoir revenir en arrière en cinq minutes si quelque chose casse. Et une fois par an, le test de restauration.
Tout cela est compris dans la maintenance annuelle : 480 € HT pour un site vitrine, 840 € HT pour un e‑commerce (ce qu'un contrat doit contenir). Si vous préférez gérer seul, c'est possible : je vous installe et configure l'outil lors d'une intervention au taux horaire, et je vous montre comment vérifier que ça tourne.
Le jour où il faut restaurer
Un site piraté, une mise à jour qui a tout cassé, une erreur de manipulation : la procédure est toujours la même. Identifier la dernière sauvegarde saine (pas forcément la plus récente), restaurer sur un espace de test pour vérifier, puis en production. Changer tous les mots de passe si l'origine est un piratage. Mettre à jour ce qui a permis l'intrusion. Puis chercher pourquoi la surveillance n'a rien vu.
Avec une sauvegarde correcte, ça prend une à deux heures. Sans, ça prend une journée de reconstruction depuis les captures de Google et la mémoire de chacun, et il manque toujours quelque chose.
Les trois questions à poser aujourd'hui
À votre hébergeur, à votre prestataire ou à vous‑même :
- De quand date la dernière sauvegarde complète, fichiers et base ?
- Où est‑elle stockée, et combien de générations sont conservées ?
- Quand a‑t‑elle été restaurée pour la dernière fois, ne serait‑ce que pour voir ?
Si une des trois réponses est « je ne sais pas », vous n'avez pas de sauvegarde ; vous avez un espoir. C'est exactement ce que vérifie mon audit technique à 150 € HT, sur n'importe quel site WordPress, avant de proposer quoi que ce soit d'autre. Écrivez‑moi si vous voulez en avoir le cœur net.
