6.3Bonnes pratiques & pièges
L'essentiel en 30 secondes
- Sauvegarder, tester, documenter : trois réflexes qui évitent la majorité des incidents graves.
- Le moindre privilège : chacun son compte, ses droits et ses accès — jamais un administrateur partagé pour tout le monde.
- La simplicité durable : peu d'extensions, un thème enfant, des mises à jour suivies et des sauvegardes réellement testées.
Fil Samir — les réflexes qui ont tenu
Après plusieurs années sur les sites de l'atelier, Samir a retenu quelques réflexes simples : sauvegarder avant d'agir, tester sur une copie, documenter les accès et refuser les raccourcis non maîtrisés. Les pièges, eux, reviennent toujours par les mêmes chemins : la précipitation et les modifications non documentées.
Une bonne pratique n'est pas une règle pour faire joli : chacune évite une panne ou une perte de temps connue.
Ce qui fait la différence
Deux sites peuvent avoir le même design et un destin très différent. Ce qui les sépare tient à des choix discrets : une sauvegarde testée, un thème enfant, des droits propres, des mises à jour suivies. Ces choix ne se voient pas à la démonstration — ils se voient six mois plus tard.
Penser propriété et transmission
Le client doit être propriétaire de son nom de domaine, de son hébergement et de ses accès. Un site dont le prestataire garde tous les comptes est un site prison. Samir documente les accès et prévoit la passation dès le départ.
La sécurité n'est pas un plugin
Une extension de sécurité aide, mais elle ne remplace ni les mises à jour, ni les mots de passe solides, ni la limitation des comptes administrateurs, ni les sauvegardes. La sécurité est une hygiène, pas un bouton à activer.
Les bons réflexes
- Sauvegarder avant toute mise à jour ou modification sensible.
- Tester sur une préproduction ou une copie quand c'est possible.
- Créer un compte par utilisateur avec le juste niveau de droits.
- Documenter les accès, les extensions et les procédures de maintenance.
Les pièges à éviter
- Modifier directement le thème parent ou le cœur de WordPress.
- Empiler les extensions sans vérifier leur utilité et leur maintenance.
- Laisser un compte administrateur partagé ou un mot de passe faible.
- Croire qu'une sauvegarde existe sans jamais avoir testé sa restauration.
Script prêt à dire — défendre les sauvegardes (25 s)
« Avant chaque intervention, je fais une sauvegarde et je vérifie qu'elle est restaurable. C'est ce qui nous permet de corriger sans risque de perdre vos contenus ou vos commandes. »
À garder pour justifier le temps de sauvegarde auprès d'un client pressé.
Script prêt à dire — refuser un raccourci (20 s)
« Je préfère passer par un thème enfant plutôt que modifier le thème directement : sinon la prochaine mise à jour efface tout. C'est un peu plus long maintenant, mais durable. »
Expliquer le coût du raccourci, pas seulement la règle.
Modèle copier-coller — checklist de sécurité de base
1. Mises à jour suivies (cœur, thèmes, extensions)
2. Un compte par utilisateur, droits minimaux
3. Mots de passe solides + 2FA pour les admins
4. Sauvegarde automatique + restauration testée
5. HTTPS actif et certificat valide
6. Extensions inutilisées supprimées
7. Accès documentés et transmis au clientModèle copier-coller — fiche de passation
DOMAINE / HÉBERGEMENT : _______________
ACCÈS ADMIN : _______________
THÈME + THÈME ENFANT : _______________
EXTENSIONS UTILES : _______________
SAUVEGARDES : _______________
CONTACT MAINTENANCE : _______________
PROCÉDURE DE MISE À JOUR : _______________TPE / petit budget
Sauvegarde automatique, mises à jour de sécurité et thème enfant : le socle minimal.
Association
Comptes nominatifs et droits adaptés aux bénévoles, avec une procédure de départ.
Boutique
Sauvegardes avant chaque mise à jour critique et test de commande après.
Agence
Checklist de livraison, documentation et maintenance contractualisée.
Défi 48h — appliquez demain
Auditez un site : comptes, droits, sauvegarde testée, thème enfant et extensions inutiles. Corrigez un point et notez les autres. 25 minutes.
- J'applique les réflexes de sauvegarde et de test.
- Je donne le juste niveau de droits.
- Je documente les accès et les procédures.
Quelle pratique protège le plus durablement un site WordPress ?
Les bonnes pratiques se mesurent dans la durée : un site repris six mois plus tard doit rester compréhensible, sauvegardé et maintenable.