Sauvegarde WordPress : le guide pour protéger et restaurer votre site

Sauvegarder WordPress consiste à copier les fichiers et la base de données du site, puis à stocker ces copies hors du serveur d'origine, via un plugin dédié, l'outil de l'hébergeur ou une manipulation manuelle.

WordPress équipe 43,5 % des sites web mondiaux selon W3Techs (2026), ce qui en fait la cible favorite des attaques automatisées.

NEXUS SYNERGY, agence WordPress qui opère des sauvegardes quotidiennes pour ses clients sous maintenance, vous explique comment protéger votre site et le restaurer sans panique.

Une sauvegarde WordPress complète copie les deux moitiés de votre site : les fichiers (thème, extensions, images) et la base de données (articles, réglages, commandes). Elle se stocke hors du serveur d'origine, pour pouvoir tout remettre en ligne après un piratage, une mise à jour ratée ou une panne d'hébergement.

Chez NEXUS SYNERGY, agence WordPress, la moitié de nos projets sont des refontes ou des reprises de sites existants, et la première chose que nous vérifions en arrivant, c'est l'existence d'une copie exploitable. Ce guide détaille les méthodes de sauvegarde, la règle 3-2-1, la bonne fréquence selon votre site et la marche à suivre pour restaurer le tout en conditions réelles.

Pourquoi la sauvegarde WordPress est-elle si importante ?

Une sauvegarde WordPress fiable est la seule protection qui fonctionne encore une fois que le pare-feu, les mises à jour et les mots de passe ont échoué. Elle transforme un sinistre total en simple interruption de quelques heures, parce qu'elle rend chaque incident réversible.

Et les incidents ne manquent pas. WordPress propulse 43,5 % des sites web mondiaux d'après W3Techs (2026), donc les robots malveillants scannent ses failles en continu. Patchstack estime par ailleurs que plus de 9 vulnérabilités sur 10 recensées dans l'écosystème proviennent des extensions, pas du cœur de WordPress. Même un site parfaitement tenu reste exposé aux aléas physiques : l'incendie du datacenter OVHcloud de Strasbourg, en mars 2021, avait rendu indisponibles environ 3,6 millions de sites du jour au lendemain.

• Piratage : injection de code, defacement ou rançongiciel qui chiffre vos fichiers
• Mise à jour ratée : un conflit d'extension ou de thème qui affiche une page blanche
• Erreur humaine : une page supprimée, une mauvaise manipulation dans la base de données
• Incident hébergeur : panne matérielle, incendie, compte suspendu

Or, sur les sites que nous reprenons en maintenance, la sauvegarde externalisée manque bien plus souvent qu'on ne l'imagine. Le réflexe arrive en général après le premier crash. Autant le prendre avant.

Que contient une sauvegarde WordPress complète ?

Une sauvegarde WordPress complète associe toujours les fichiers du site et sa base de données, car l'un sans l'autre ne permet aucune restauration. C'est le point que la plupart des tutoriels survolent, alors qu'il explique une bonne partie des restaurations impossibles.

Les fichiers regroupent le cœur de WordPress, votre thème, vos extensions et surtout le dossier des médias. La base de données MySQL contient, quant à elle, tout le reste : contenus, comptes utilisateurs, réglages, et les commandes si vous tournez sous WooCommerce.

• wp-content : thèmes, extensions et médias envoyés, la partie la plus difficile à reconstruire
• wp-config.php : le fichier de connexion à la base de données, propre à votre serveur
• .htaccess : les règles de réécriture d'URL et de sécurité
• Base de données : articles, pages, commentaires, réglages et transactions

Le cœur de WordPress, lui, se retélécharge en trente secondes depuis wordpress.org. Si vous devez prioriser, protégez wp-content et la base : c'est là que vit tout ce qui est irremplaçable.

Quelle méthode choisir pour sauvegarder votre site WordPress ?

Trois approches permettent de sauvegarder un site WordPress : le plugin dédié, l'outil de l'hébergeur et la copie manuelle par FTP et phpMyAdmin. Une quatrième option, la maintenance externalisée, délègue l'ensemble à un prestataire qui surveille et teste les copies.

Chacune a son terrain de jeu, et le tableau suivant les compare sur les critères qui comptent vraiment au moment de restaurer.

Notre lecture de ce comparatif est assez tranchée. Le plugin couvre bien les sites vitrines dont le contenu bouge peu, à condition d'envoyer les copies vers un stockage distant. La sauvegarde de l'hébergeur reste un excellent filet, mais un filet seulement : sa rétention courte et sa restauration parfois laborieuse la disqualifient comme protection unique. Quant à la méthode manuelle, elle sert surtout à comprendre ce qui se passe sous le capot. Dès que le site génère du chiffre d'affaires, la maintenance WordPress externalisée devient l'option rationnelle, parce qu'une sauvegarde quotidienne vérifiée par un humain coûte moins cher qu'une seule journée de boutique hors ligne.

Quel plugin de sauvegarde WordPress choisir en 2026 ?

UpdraftPlus domine la catégorie avec plus de 3 millions d'installations actives, et cette popularité est méritée : planification, envoi vers le cloud et restauration intégrée, le tout dans la version gratuite. C'est donc notre recommandation par défaut pour un site autogéré.

D'autres extensions tiennent la comparaison, chacune avec une spécialité. Voici celles que nous croisons le plus souvent sur les sites de nos clients :

• UpdraftPlus : le standard polyvalent, envoi vers Google Drive, Dropbox ou Amazon S3 dès la version gratuite
• WPvivid : sauvegarde, migration et clonage en staging dans un seul outil, interface claire
• BackWPup : très complet sur la planification et les formats d'export, réglages plus techniques
• Duplicator : pensé pour la migration et le clonage, pratique pour créer un environnement de test

En pratique, le choix du plugin de sauvegarde WordPress compte moins que sa configuration. Trois réglages font la différence : une planification alignée sur votre rythme de publication, un envoi automatique vers un stockage distant, et l'inclusion explicite de la base de données et de wp-content dans chaque copie. Un plugin de sauvegarde installé puis oublié donne une fausse impression de sécurité, ce qui est pire que pas de plugin du tout.

La règle 3-2-1 : le principe qui sauve les sites

La règle 3-2-1 impose de conserver 3 copies de vos données, sur 2 supports différents, dont 1 en dehors de votre serveur. Ce standard, recommandé notamment par le dispositif gouvernemental Cybermalveillance, vient du monde de la photographie professionnelle et s'applique parfaitement à WordPress.

Pourquoi cette redondance ? Parce que chaque copie couvre la défaillance d'une autre. Si votre serveur brûle, la copie cloud survit. Si votre compte cloud est compromis, la copie locale reste. Concrètement, pour un site WordPress, cela ressemble à ceci :

• Copie 1 : la sauvegarde automatique de l'hébergeur, sur son infrastructure
• Copie 2 : l'archive du plugin envoyée vers un cloud tiers, Google Drive ou Amazon S3 par exemple
• Copie 3 : un export téléchargé chaque mois sur votre ordinateur ou un disque externe

L'erreur classique consiste à laisser le plugin écrire ses archives dans un dossier du serveur, puis à s'arrêter là. Or, le jour où le serveur tombe ou se fait chiffrer par un rançongiciel, les sauvegardes disparaissent avec le site qu'elles étaient censées protéger. Hors site, ou rien.

À quelle fréquence sauvegarder son site WordPress ?

Un site e-commerce se sauvegarde au minimum une fois par jour, un site vitrine une fois par semaine, et tout site avant chaque mise à jour. La bonne question à se poser : combien de contenu, ou de commandes, puis-je me permettre de perdre ?

Cette perte maximale acceptable dicte tout le reste. Un blog qui publie deux articles par mois peut tolérer une copie hebdomadaire. Une boutique WooCommerce qui encaisse des commandes chaque heure ne peut pas, et certaines justifient même une sauvegarde de la base toutes les heures.

• Site vitrine peu actif : sauvegarde complète hebdomadaire
• Blog ou site éditorial : base de données quotidienne, fichiers hebdomadaires
• E-commerce et sites à formulaires : sauvegarde quotidienne au minimum, base horaire si le volume le justifie
• Avant chaque mise à jour : une copie complète, systématiquement, quel que soit le site

Complète ou incrémentale ? La sauvegarde complète recopie l'intégralité du site WordPress à chaque passage, alors que l'incrémentale n'enregistre que ce qui a changé depuis la veille. Sur un site volumineux, la seconde allège fortement la charge serveur et l'espace de stockage, donc les plugins premium la proposent presque tous. Notre pratique : une sauvegarde complète par semaine, des incrémentales quotidiennes entre les deux.

Pensez aussi à la rétention. Conserver 30 jours de copies glissantes, plus une archive mensuelle sur 6 à 12 mois, permet de remonter avant un piratage découvert tardivement. C'est le rythme que nous appliquons chez NEXUS SYNERGY dans nos forfaits de maintenance, avec des sauvegardes quotidiennes incluses dès 150 €/mois.

Comment restaurer une sauvegarde WordPress ?

La restauration d'une sauvegarde WordPress suit toujours la même logique : remettre en place les fichiers, réimporter la base de données, puis vérifier que les deux se reconnectent. La difficulté, en revanche, varie énormément selon la méthode utilisée pour créer la copie.

Avec un plugin comme UpdraftPlus, l'opération se résume à un bouton « Restaurer » dans l'administration, en sélectionnant les éléments à remettre en place. Chez un hébergeur, tout passe par le panel, cPanel ou équivalent, avec parfois un ticket au support et un délai de quelques heures. La restauration manuelle, elle, demande de la méthode :

• Étape 1 : téléverser les fichiers du site par FTP ou SFTP en écrasant les fichiers corrompus
• Étape 2 : importer le fichier SQL de la base via phpMyAdmin, après avoir vidé les tables existantes
• Étape 3 : vérifier les identifiants de connexion dans wp-config.php
• Étape 4 : tester les pages clés, la connexion à l'admin et le tunnel de commande

Un conseil que peu de guides donnent : testez une restauration complète au moins une fois par an, sur un environnement de staging, chronomètre en main. Vous découvrirez votre vrai délai de remise en ligne un jour calme, plutôt qu'un dimanche soir de crise.

Quelles erreurs rendent vos sauvegardes inutilisables ?

Une sauvegarde qui n'a jamais été restaurée en conditions réelles n'est pas une sauvegarde, c'est une hypothèse. La plupart des drames que nous voyons passer ne viennent pas d'une absence totale de copie, mais d'une copie inexploitable au moment critique.

Lors des refontes de sites WordPress que nous menons, l'audit de l'existant révèle presque toujours l'un de ces pièges :

• Tout sur le même serveur : les archives vivent à côté du site et meurent avec lui
• Jamais testée : l'archive existe, mais elle est corrompue ou incomplète depuis des mois
• Base sans fichiers : l'export SQL est là, les médias et le thème ont disparu
• Une seule copie écrasée : impossible de remonter avant un piratage détecté trois semaines plus tard
• Exclusions mal réglées : le dossier uploads écarté pour « alléger » les archives
• Confiance aveugle en l'hébergeur : personne n'a lu la rétention réelle du contrat, souvent 7 jours

La bonne nouvelle, c'est que chaque point se corrige en moins d'une heure. Le plus rentable reste le test de restauration : il révèle d'un coup tous les autres problèmes, parce qu'une archive incomplète ou mal stockée échoue immédiatement à l'exercice.

Questions fréquemment posées sur la sauvegarde WordPress

Comment sauvegarder un site WordPress gratuitement ?

Oui, c'est possible sans dépenser un euro : la version gratuite d'UpdraftPlus planifie des sauvegardes complètes et les envoie vers Google Drive ou Dropbox. Installez l'extension, connectez un stockage distant, puis définissez une fréquence adaptée à votre rythme de publication. Complétez avec un export manuel mensuel téléchargé sur votre ordinateur pour respecter la règle 3-2-1. Cela dit, les limites du gratuit apparaissent sur les gros sites : pas de sauvegarde incrémentale, pas de restauration prioritaire, et personne pour vérifier que les archives sont saines. Pour un blog ou un site vitrine, cela suffit largement. Pour un site qui génère du revenu, le temps passé et le risque résiduel justifient vite une solution supervisée.

La sauvegarde automatique de mon hébergeur suffit-elle ?

Non, elle ne suffit pas comme protection unique. Vos archives et votre site vivent alors chez le même prestataire, sur la même infrastructure : une panne majeure, un compte suspendu ou un incendie emporte les deux en même temps. La rétention pose aussi problème, car la plupart des offres mutualisées conservent 7 à 30 jours de copies, ce qui est court quand un piratage se découvre des semaines après l'intrusion. Enfin, la restauration dépend du panel ou du support, avec des délais que vous ne maîtrisez pas. Gardez la sauvegarde hébergeur comme filet complémentaire, et ajoutez au moins une copie indépendante envoyée vers un cloud tiers.

Où stocker ses sauvegardes WordPress en sécurité ?

Hors du serveur qui héberge le site, c'est la seule règle non négociable. Les destinations les plus fiables sont les stockages cloud, Google Drive, Dropbox ou Amazon S3, alimentés automatiquement par votre plugin de sauvegarde. Ajoutez une copie froide, c'est-à-dire un export téléchargé sur un disque externe ou un NAS, déconnecté du réseau entre deux sauvegardes : un rançongiciel ne peut pas chiffrer un disque débranché. Protégez le compte cloud avec un mot de passe unique et une double authentification, parce qu'une archive WordPress contient des données sensibles, dont les identifiants de la base. La combinaison serveur, cloud et copie locale valide la règle 3-2-1 sans effort particulier.

Combien de temps faut-il conserver ses sauvegardes ?

Trente jours de copies glissantes constituent le minimum sérieux, complétés par une archive mensuelle conservée 6 à 12 mois. Cette profondeur d'historique n'est pas un luxe : beaucoup de piratages s'installent discrètement et ne se découvrent que des semaines plus tard, quand Google signale le site ou qu'un client remonte une anomalie. Si votre rétention se limite à 7 jours, toutes vos copies contiennent déjà le code malveillant au moment où vous le détectez. Adaptez ensuite la durée à votre activité : un e-commerce soumis à des obligations comptables gagnera à conserver des exports de base de données plus longtemps, tandis qu'un site vitrine peut rester sur ce schéma standard.

Faut-il sauvegarder WordPress avant chaque mise à jour ?

Oui, systématiquement, sans exception. Une mise à jour de WordPress, d'un thème ou d'une extension peut provoquer un conflit qui casse l'affichage ou rend l'administration inaccessible, et c'est la première cause de restauration que nous observons chez NEXUS SYNERGY. La copie prend cinq minutes avec un plugin, la nuit de débogage sans copie en prend beaucoup plus. Le bon réflexe : sauvegarde complète, mise à jour des extensions une par une, vérification des pages clés entre chaque, puis mise à jour du cœur. Sur les sites que nous gérons en maintenance, chaque mise à jour est précédée d'une sauvegarde fraîche et suivie d'un contrôle, ce qui rend l'opération réversible en quelques minutes.

Combien coûte une sauvegarde WordPress externalisée ?

Chez NEXUS SYNERGY, les sauvegardes quotidiennes sont incluses dans les forfaits de maintenance WordPress dès 150 €/mois, avec les mises à jour, le monitoring, les correctifs de sécurité et le support. Ce budget couvre donc bien plus que la copie elle-même : quelqu'un vérifie que les archives sont saines, teste les restaurations et intervient immédiatement en cas d'incident. En face, les solutions autonomes coûtent de 0 à environ 80 €/an pour un plugin premium, plus votre temps de surveillance. Le calcul se fait vite pour un site marchand : une seule journée d'indisponibilité coûte souvent plus cher qu'une année de maintenance complète. Pour un petit blog, le plugin gratuit bien configuré reste un choix raisonnable.

Votre site mérite mieux qu'une sauvegarde « probablement OK quelque part chez l'hébergeur ». Mettez en place la règle 3-2-1 dès cette semaine, testez une restauration, et si vous préférez déléguer l'ensemble à une équipe qui le fait chaque jour, contactez NEXUS SYNERGY : le premier audit technique de votre site est offert, et nous vous répondons sous 24 h ouvrées.