Un pirate met en moyenne 5 heures à exploiter une faille WordPress après sa découverte. En 2025, Patchstack, une entreprise spécialisée en cybersécurité WordPress, a recensé 11 334 failles, soit 42 % de plus que l’année précédente. Votre site reste vulnérable dès qu’une extension prend du retard sur ses mises à jour. Sans sauvegarde WordPress récente, un piratage ou une erreur de mise à jour peut effacer des années de travail en quelques minutes. Ne copiez pas seulement vos fichiers : sauvegardez aussi votre base de données, qui garde vos articles, vos réglages et vos comptes utilisateurs. Beaucoup de propriétaires de site oublient cette étape et perdent leur contenu au premier incident sérieux. Vous ne voulez pas reconstruire votre site à partir de zéro. Cet article vous montre exactement quoi sauvegarder, à quelle fréquence le faire, et où stocker vos sauvegardes.
Pourquoi sauvegarder son site WordPress ? Contexte et enjeux
WordPress fait tourner 41,5 % de l’ensemble des sites web dans le monde, et près de 59 % des sites qui utilisent un système de gestion de contenu identifiable, ce qu’on appelle un CMS, un logiciel qui vous permet de créer et gérer un site sans écrire de code. Cette domination du marché en fait une cible privilégiée pour les pirates informatiques, qui concentrent leurs efforts sur les failles les plus répandues. Un exemple récent illustre l’ampleur du phénomène. En 36 heures, l’entreprise de cybersécurité Wordfence a bloqué 13,7 millions de tentatives d’attaque visant 1,6 million de sites WordPress. Les pirates ont utilisé un réseau de 16 000 adresses IP différentes pour multiplier les points d’entrée et contourner les systèmes de protection basiques.
Ces attaques ne visent presque jamais le cœur de WordPress lui-même. 91 % des vulnérabilités recensées proviennent des extensions installées sur votre site, ces modules complémentaires qui ajoutent des fonctionnalités à WordPress, comme un formulaire de contact, une boutique en ligne ou un outil de référencement. Votre thème et vos extensions représentent donc le maillon le plus fragile de votre site. C’est justement pour cette raison qu’ils doivent figurer dans votre périmètre de sauvegarde.
Certains piratages restent invisibles pendant des semaines. C’est le cas du piratage par mots clés japonais, une technique où le pirate injecte des centaines de pages en japonais dans votre back-office pour détourner votre référencement naturel vers des sites de contrefaçon, sans que vous vous en aperceviez immédiatement. Une sauvegarde récente vous permet alors de restaurer votre site avant l’infection, plutôt que de nettoyer manuellement des milliers de pages corrompues.
La sauvegarde WordPress ne se limite donc pas à anticiper une panne serveur. Vous devez couvrir un périmètre précis : les fichiers de votre site et sa base de données. Les deux sections suivantes détaillent chacun de ces éléments.
Que sauvegarder sur WordPress : les fichiers du site
Votre site WordPress repose sur trois catégories de fichiers bien distinctes. Chacune répond à une logique de sauvegarde différente, selon qu’elle reste standard ou qu’elle a été personnalisée pour votre activité.
1. Le cœur de WordPress (core)
Le cœur de WordPress regroupe les dossiers wp-admin et wp-includes, ainsi que les fichiers racine du logiciel. Ces fichiers pilotent le fonctionnement technique de votre site : l’affichage de l’interface d’administration, la gestion des utilisateurs, le moteur de publication des contenus.
Vous n’avez normalement pas besoin de sauvegarder ce cœur en détail, puisqu’il reste identique sur des millions de sites WordPress et se retélécharge en un clic depuis le site officiel du logiciel. Une exception mérite votre attention : si vous ou votre développeur avez modifié directement des fichiers du cœur pour un besoin spécifique, une pratique déconseillée en temps normal, ces modifications disparaissent lors d’une réinstallation standard. Dans ce cas précis, gardez une copie de ces fichiers modifiés avant toute mise à jour majeure.
2. Thèmes et extensions (plugins)
Votre thème détermine l’apparence de votre site, tandis que vos extensions ajoutent des fonctionnalités précises : formulaire de contact, système de cache, sécurité, boutique en ligne. Ces deux catégories d’éléments méritent une attention particulière au moment de sauvegarder votre site. Un thème ou une extension téléchargé gratuitement depuis le répertoire officiel de WordPress se réinstalle facilement, puisque le fichier original reste disponible en ligne à tout moment. La situation change radicalement pour un thème premium acheté sur une marketplace, ou pour une extension personnalisée développée sur mesure pour votre activité. Vous ne retrouverez nulle part ailleurs le code source de ces éléments s’ils disparaissent de votre serveur.
Prenez aussi en compte les réglages internes de chaque extension. Un plugin de formulaire de contact stocke la configuration de vos champs directement dans la base de données, mais certaines extensions complexes, comme les outils de cache ou de sécurité, conservent des fichiers de configuration propres qu’une sauvegarde de la seule base de données ne couvre jamais.
3. Le dossier uploads (médias)
Le dossier uploads héberge chaque image, PDF, vidéo ou document que vous avez ajouté à votre site depuis sa création. Sur un site actif depuis plusieurs années, ce dossier atteint souvent plusieurs gigaoctets, largement plus volumineux que l’ensemble des fichiers techniques du site réunis.
Cette taille pose justement un problème récurrent. De nombreuses solutions de sauvegarde automatique appliquent un quota de stockage limité par défaut, et s’arrêtent silencieusement une fois ce quota atteint. Vous pensez alors disposer d’une sauvegarde complète, alors que seule une partie de vos médias a réellement été copiée. Vérifiez régulièrement le poids réel de votre dossier uploads et comparez-le à la taille des sauvegardes générées par votre outil. Un écart important entre les deux signale un problème de configuration à corriger avant qu’un incident ne révèle l’absence de vos images les plus anciennes.
La base de données WordPress : le composant le plus critique
La base de données de votre site WordPress conserve l’essentiel de votre travail éditorial : vos articles, vos pages, les commentaires laissés par vos visiteurs, les réglages de votre site, les comptes de vos utilisateurs et administrateurs, ainsi que les métadonnées qui structurent votre référencement naturel, comme vos balises title et vos meta descriptions. Votre site peut survivre à la perte de son thème ou de ses extensions. Un thème se retélécharge, une extension se réinstalle. La perte de votre base de données, en revanche, signifie généralement la perte définitive de votre contenu, sauf si vous disposez d’une sauvegarde récente.
De nombreux propriétaires de site commettent la même erreur. Ils copient régulièrement leurs fichiers par FTP, un protocole de transfert de fichiers entre votre ordinateur et votre serveur, mais oublient d’inclure la base de données dans cette routine. Cette erreur reste la plus fréquente et la plus coûteuse, puisqu’elle donne une fausse impression de sécurité : vous croyez votre site protégé, alors que son contenu réel ne l’est pas. La base de données évolue en permanence, à chaque nouvel article publié, chaque commentaire validé, chaque commande passée sur une boutique en ligne. Sa fréquence de sauvegarde doit donc suivre le rythme d’activité de votre site, un point que nous détaillons plus loin dans cet article.
Les éléments techniques qu’on oublie de sauvegarder
Au-delà des fichiers et de la base de données, certains fichiers techniques passent régulièrement sous le radar des sauvegardes automatiques, alors qu’ils conditionnent le bon fonctionnement de votre site après une restauration.
Le fichier wp-config.php contient les identifiants de connexion à votre base de données ainsi que les clés de sécurité qui protègent les sessions de connexion de vos utilisateurs. Sans ce fichier, WordPress ne sait tout simplement pas comment se connecter à sa propre base de données, même si celle-ci reste intacte sur votre serveur.
Le fichier .htaccess joue un rôle tout aussi déterminant. Ce fichier de configuration serveur gère les règles de réécriture d’URL, ces règles techniques qui transforment une adresse brute en une URL lisible, et vos redirections, ces règles qui renvoient automatiquement une ancienne page vers une nouvelle adresse. Perdez ce fichier, et vos redirections mises en place patiemment au fil des années disparaissent d’un coup, avec pour conséquence des pages d’erreur 404 sur des liens auparavant fonctionnels.
Ajoutez à cette liste vos réglages de permaliens, la structure de vos URL définie dans votre back-office. Ces réglages restent stockés dans la base de données, mais dépendent directement du fichier .htaccess pour s’appliquer correctement sur le serveur.
Un site restauré sans ces trois éléments garde son contenu et son design intacts, mais perd une partie de son référencement naturel du jour au lendemain. Intégrez systématiquement ces fichiers à votre routine de sauvegarde, en complément des fichiers et de la base de données déjà évoqués.
Sauvegarder ses données WordPress : une obligation légale, pas juste une bonne pratique
Sauvegarder votre site WordPress ne relève pas uniquement d’un réflexe de prudence technique. Le Règlement général sur la protection des données, le RGPD, ce règlement européen qui encadre le traitement des données personnelles de vos visiteurs, impose une obligation concrète en matière de sauvegarde. L’article 32 de ce règlement demande aux responsables de traitement, c’est-à-dire vous si vous collectez des données via un formulaire de contact ou un compte client, de mettre en place des mesures techniques garantissant la capacité de rétablir la disponibilité des données personnelles dans des délais appropriés en cas d’incident.
Beaucoup de propriétaires de site pensent que le RGPD se limite à la bannière de cookies affichée à l’arrivée sur leur site. Cette vision reste incomplète. La sauvegarde de vos données constitue elle-même un point de conformité, au même titre que le recueil du consentement de vos visiteurs.
Cette obligation prend tout son sens sur un site marchand ou doté d’un formulaire de contact. Ces sites collectent des données personnelles : noms, adresses email, adresses postales, parfois des coordonnées bancaires partielles. En cas de contrôle par la Commission nationale de l’informatique et des libertés, la CNIL, l’autorité française chargée de veiller au respect du RGPD, l’absence de preuve d’une politique de sauvegarde active vous expose à un risque de non-conformité, indépendamment de tout incident de sécurité constaté. Documentez donc votre routine de sauvegarde : fréquence, durée de conservation, lieu de stockage. Cette documentation vous protège juridiquement autant qu’elle protège techniquement votre site.
Le cas particulier de WooCommerce : pourquoi une sauvegarde quotidienne peut coûter cher
WooCommerce, l’extension la plus utilisée pour transformer un site WordPress en boutique en ligne, change complètement la donne en matière de fréquence de sauvegarde. Sur un blog classique, une sauvegarde quotidienne de la base de données suffit largement à couvrir l’activité du site.
Sur une boutique en ligne, chaque commande passée génère une écriture dans la base de données. Imaginez une boutique qui reçoit 40 commandes par jour, réparties entre 8 heures et 22 heures. Si un incident survient à 21 heures et que votre dernière sauvegarde remonte à minuit, vous perdez potentiellement l’intégralité des commandes de la journée, avec les informations clients et les paiements associés. Ces commandes perdues ne se limitent pas à une perte financière directe : elles génèrent aussi des litiges avec des clients qui ont payé pour une commande que votre système ne reconnaît plus.
L’ampleur financière d’une interruption varie fortement selon la taille de l’entreprise. Le cabinet d’analyse Gartner évalue le coût moyen d’une minute d’indisponibilité à 5 600 dollars, tous secteurs et toutes tailles d’entreprise confondus. Ce chiffre concerne des organisations bien plus grandes qu’une boutique WordPress artisanale, mais il illustre une réalité que vous pouvez transposer à votre échelle : chaque minute sans système de commande fonctionnel a un coût réel, proportionnel à votre chiffre d’affaires horaire.
Une sauvegarde quotidienne classique ne protège donc pas suffisamment une activité e-commerce active. Optez plutôt pour une sauvegarde incrémentale, une méthode qui ne copie que les données modifiées depuis la dernière sauvegarde, appliquée plusieurs fois par jour, voire en temps quasi réel sur les tables liées aux commandes. Cette approche limite la fenêtre de perte de données à quelques minutes plutôt qu’à une journée entière.
À quelle fréquence sauvegarder chaque élément de son site ?
La fréquence idéale de votre sauvegarde WordPress dépend directement de la nature de chaque élément de votre site, plus que d’une règle unique appliquée à l’ensemble. Un site qui publie un article par mois n’a pas les mêmes besoins qu’une boutique en ligne qui enregistre des commandes en continu.
Le tableau suivant résume les recommandations générales selon le type de contenu :
| Élément | Fréquence recommandée |
|---|---|
| Fichiers du cœur WordPress | À chaque mise à jour majeure |
| Thèmes et extensions | À chaque modification ou mise à jour |
| Dossier uploads (médias) | Hebdomadaire |
| Base de données (blog actif) | Quotidienne |
| Base de données (site e-commerce) | Plusieurs fois par jour |
Cette répartition reste une base de travail, pas une règle figée. La question mérite d’ailleurs un traitement plus approfondi, puisque plusieurs facteurs entrent en jeu, comme le volume de trafic, le nombre de contributeurs sur votre site ou la criticité de vos données pour votre activité. Nous avons détaillé chacun de ces facteurs dans un article dédié, À quelle fréquence faut-il sauvegarder son site WordPress ?, qui vous aide à calibrer précisément votre routine selon votre situation.
Automatisez cette fréquence dès que possible. Une sauvegarde automatique programmée élimine le risque d’oubli humain, la première cause de perte de données évitable sur un site WordPress.
Où stocker ses sauvegardes en toute sécurité ?
Une sauvegarde stockée au mauvais endroit ne vous protège de rien. Beaucoup de propriétaires de site conservent leurs sauvegardes sur le même serveur que leur site, une pratique qui annule une grande partie de l’intérêt de la sauvegarde elle-même.
Un piratage ou une panne serveur touche généralement l’ensemble des fichiers hébergés au même endroit. Si votre sauvegarde partage ce serveur avec votre site actif, l’incident emporte les deux simultanément, et vous vous retrouvez sans aucune copie exploitable au moment précis où vous en avez le plus besoin. Suivez plutôt la règle du 3-2-1, une méthode reconnue en matière de protection de données. Conservez 3 copies de vos données, réparties sur 2 supports de stockage différents, dont 1 copie physiquement située en dehors de votre serveur d’hébergement principal.
En pratique, cela signifie combiner par exemple une copie locale sur votre ordinateur, une copie sur un espace de stockage cloud distinct de votre hébergeur, et éventuellement une copie chez votre hébergeur lui-même en dernier recours. Chiffrez systématiquement vos sauvegardes qui contiennent des données personnelles de vos visiteurs, pour rester cohérent avec les obligations de sécurité évoquées plus haut dans cet article. Cette organisation demande un peu de rigueur au départ, mais elle vous garantit qu’un incident isolé sur un support ne compromet jamais l’ensemble de vos données.
