3.4Sécurité & sauvegardes
L'essentiel en 30 secondes
- La règle absolue : des sauvegardes automatiques, stockées hors du serveur et testées — elles sauvent le site en cas de piratage, panne ou erreur.
- Socle : pas de compte « admin », mots de passe forts, 2FA, mises à jour à jour et une extension de sécurité (Wordfence).
- Mises à jour et extensions abandonnées sont la première porte d'entrée : un site à jour est nettement plus sûr.
Mini-cas filé — protéger le travail de Hassan
Le site de l'atelier contient des photos, des textes et bientôt une boutique. Samir explique à Hassan qu'une panne ou une attaque peut tout effacer en quelques minutes. Il met en place des sauvegardes automatiques chez un service externe, active la double authentification et vérifie les mises à jour. Il insiste : une sauvegarde jamais testée n'est pas une protection.
Suite du cas 3.3 — le site est rapide, il doit aussi être résilient.
1. Le socle de sécurité
WordPress est le CMS le plus utilisé, donc le plus ciblé : robots qui testent des mots de passe, failles d'extensions non mises à jour, formulaires abusés. Quelques mesures bloquent l'immense majorité des attaques : mots de passe forts, aucun compte nommé « admin », double authentification (2FA), mises à jour régulières et une extension de sécurité comme Wordfence.
Samir vérifie aussi la liste des utilisateurs et supprime les comptes inutiles. Il limite les tentatives de connexion, surveille les fichiers modifiés et applique le principe du moindre privilège. La sécurité n'est pas un produit miracle : c'est une hygiène régulière.
2. Sauvegarder et restaurer
La sauvegarde complète contient les fichiers et la base de données. Elle doit être automatique, fréquente et stockée hors du serveur (Google Drive, Dropbox, service dédié) : une copie sur le même serveur disparaît avec lui. UpdraftPlus est l'extension de référence pour automatiser ces copies.
Le point que l'on oublie : tester la restauration. Samir lance une sauvegarde manuelle, puis vérifie qu'il sait la restaurer sur un environnement de test. Il documente la procédure pour que Hassan ou un autre prestataire puisse agir en cas d'urgence.
🔎 Exemple concret — Protéger l'atelier (cas Samir)
1. UpdraftPlus : sauvegarde quotidienne, fichiers + base.
2. Destination : Google Drive dédié à l'atelier.
3. Test : restauration sur un site de test.
4. 2FA sur tous les comptes administrateurs.
5. Wordfence : pare-feu + limitation des connexions.
→ Procédure écrite remise à Hassan.Résultat : un site restaurable et un client rassuré.
Leçon : la sauvegarde testée est la vraie assurance.
Vocabulaire de la section
- Sauvegarde (backup)
- Copie complète des fichiers et de la base, pour restaurer le site après un incident.
Exemple simple : une sauvegarde quotidienne de l'atelier.
Ce que ce n'est pas : ne copier que les fichiers et oublier la base.
Réflexe : fichiers + base = sauvegarde complète.
- UpdraftPlus
- Extension de sauvegarde populaire qui automatise les copies et les stocke hors serveur.
Exemple simple : sauvegardes envoyées vers Google Drive.
Ce que ce n'est pas : stocker la copie sur le même serveur.
Réflexe : hors serveur = survit à la panne.
- Extension de sécurité
- Pare-feu et détection d'intrusion : Wordfence, Sucuri, Solid Security.
Exemple simple : Wordfence bloque les tentatives de connexion répétées.
Ce que ce n'est pas : croire qu'un plugin remplace les mises à jour.
Réflexe : sécurité = plusieurs couches.
- 2FA
- Double authentification : un second facteur au-delà du mot de passe.
Exemple simple : code temporaire à la connexion administrateur.
Ce que ce n'est pas : partager un compte admin sans 2FA.
Réflexe : 2FA sur tous les admins.
- Surface d'attaque
- Ensemble des points exposés : comptes faibles, extensions obsolètes, formulaires.
Exemple simple : désinstaller les extensions inutiles réduit la surface.
Ce que ce n'est pas : laisser des comptes inactifs avec accès admin.
Réflexe : moins d'exposition = moins de risques.
En pratique — Mettre en place le socle de sécurité
- Installez UpdraftPlus, planifiez une sauvegarde automatique et stockez-la hors serveur.
- Lancez une sauvegarde manuelle et testez la restauration sur un site de test.
- Vérifiez les comptes : aucun « admin », mots de passe forts, 2FA activée.
- Installez une extension de sécurité et vérifiez que cœur, thème et extensions sont à jour.
Script prêt à dire — rassurer sur la sécurité (30 s)
« Votre site est sauvegardé automatiquement chaque jour, et la copie est conservée en dehors du serveur. Si un problème survient, on restaure en quelques minutes. J'ai aussi sécurisé les connexions et vérifié que tout est à jour. »
Ne pas promettre l'invulnérabilité ; promettre une capacité de restauration et une hygiène de sécurité.
Modèle copier-coller — plan de sauvegarde
FRÉQUENCE : _______________ (fichiers + base)
DESTINATION HORS SERVEUR : _______________
DERNIER TEST DE RESTAURATION : _______________
COMPTES ADMIN (2FA) : _______________
EXTENSION DE SÉCURITÉ : _______________
MISES À JOUR : à jour / à faire
PROCÉDURE ÉCRITE REMISE AU CLIENT : oui / nonVitrine
Sauvegarde quotidienne et conservation sur plusieurs semaines.
Boutique
Sauvegarde plus fréquente : commandes et clients évoluent chaque jour.
Site à fort trafic
Sauvegardes incrémentales et stockage redondant.
Client autonome
Procédure simplifiée et alerte en cas d'échec de sauvegarde.
✓ Bonnes pratiques
- Sauvegarder automatiquement hors du serveur avant tout.
- Tester la restauration au moins une fois.
- Activer 2FA et maintenir les mises à jour.
✗ Pièges fréquents
- Stocker la sauvegarde sur le même serveur.
- Ne jamais tester la restauration.
- Laisser des comptes « admin » ou inactifs.
Points clés à retenir
- La sauvegarde automatique hors serveur est la mesure qui sauve tout.
- Une sauvegarde non testée n'est pas une protection.
- 2FA, mots de passe forts et mises à jour forment le socle.
- Les extensions obsolètes sont la première porte d'entrée.
Défi 48h — appliquez demain
Planifiez une sauvegarde automatique hors serveur, lancez-en une manuellement et restaurez-la sur un site de test. Activez la 2FA sur votre compte administrateur. 30 minutes.
- Je mets en place une sauvegarde automatique hors serveur.
- Je sais tester une restauration.
- J'applique le socle de sécurité : 2FA, mises à jour, moindre privilège.
Questions fréquentes
À quelle fréquence sauvegarder ?
Pour une vitrine, une sauvegarde quotidienne est un bon équilibre. Pour une boutique ou un site qui publie beaucoup, plusieurs sauvegardes par jour peuvent se justifier. L'important est de conserver plusieurs versions et de tester la restauration.
Une sauvegarde d'hébergeur suffit-elle ?
Pas nécessairement : elle peut être limitée, de courte durée ou payante à la restauration. On garde sa propre sauvegarde hors serveur, dont on maîtrise la fréquence et la conservation.
Que faire en cas de piratage ?
Restaurer une sauvegarde saine, changer tous les mots de passe, mettre à jour et analyser les fichiers, puis identifier la faille avant de remettre le site en ligne. La procédure doit être écrite à l'avance.
Quelle politique de sauvegarde Samir doit-il mettre en place pour l'atelier ?