Sauvegarde de site web : protéger correctement site, base de données et e-mails
Bien planifier la sauvegarde de votre site web : règle 3-2-1, éléments à sauvegarder, fréquence, copie externe hors ligne et test de la restauration.
Une bonne sauvegarde de site web couvre les fichiers, la base de données, les e-mails et les enregistrements DNS, s’exécute automatiquement au moins une fois par jour, conserve plusieurs versions et comprend au moins une copie hors de votre compte d’hébergement. Et elle ne vaut que par la dernière restauration réussie : testez-la régulièrement. Les sauvegardes de votre hébergeur sont une bonne base, mais ne remplacent pas votre propre stratégie. Voici comment la construire, étape par étape.
La règle 3-2-1 expliquée simplement
L’Office fédéral de la cybersécurité (OFCS) recommande la méthode 3-2-1 comme base d’une sauvegarde fiable. Pour un site web, cela signifie :
- 3 copies : l’original sur le serveur web et deux sauvegardes.
- 2 supports ou systèmes différents : p. ex. le système de sauvegarde de l’hébergeur et un support à vous.
- 1 copie dans un autre lieu : hors du compte d’hébergement, p. ex. sur un NAS au bureau, un disque dur externe ou un stockage cloud séparé.
Certains spécialistes étendent la règle à 3-2-1-1-0 : une copie supplémentaire hors ligne ou immuable, et zéro erreur lors du contrôle de la restauration. C’est un bon objectif pour les petites entreprises et les associations, mais la simple règle 3-2-1 protège déjà contre les pannes les plus courantes.
Que doit contenir une sauvegarde de site web ?
Beaucoup ne sauvegardent que les fichiers et oublient la base de données, ou l’inverse. Sans les deux, un site dynamique ne peut pas être restauré.
| Élément | Contenu | Comment sauvegarder |
|---|---|---|
| Fichiers | Fichiers du CMS, thèmes, plugins, images et documents téléversés, .htaccess, fichiers de configuration | Sauvegarde serveur, téléchargement par SFTP, plugin |
| Base de données | Contenus, utilisateurs, commandes, réglages (MySQL/MariaDB) | Sauvegarde serveur, export avec phpMyAdmin, plugin |
| E-mails | Boîtes e-mail, dossiers, filtres, redirections | Sauvegarde serveur ou copie via IMAP |
| Zone DNS | Enregistrements A, MX et TXT, y compris SPF, DKIM et DMARC | Exporter la zone ou documenter les enregistrements |
| Accès et réglages | Version PHP, tâches cron, redirections, identifiants de services externes | Documentation dans un gestionnaire de mots de passe |
Conseil: En général, il n’est pas nécessaire de sauvegarder les certificats SSL : les certificats gratuits sont réémis automatiquement après une restauration. Pour les certificats achetés, conservez la clé privée et le certificat en lieu sûr.
À quelle fréquence sauvegarder et combien de temps conserver ?
La fréquence dépend de la quantité de données que vous pouvez vous permettre de perdre dans le pire des cas. La durée de conservation, du délai avec lequel vous remarquez un problème. Un code malveillant sur un site passe souvent inaperçu pendant des semaines : seules les sauvegardes antérieures à l’attaque vous aident alors.
| Type de site | Fréquence | Conservation recommandée |
|---|---|---|
| Site vitrine, rarement modifié | chaque semaine et avant chaque modification | plusieurs semaines, plus des états mensuels |
| Site d’entreprise ou blog WordPress | chaque jour | états quotidiens pendant 1 à 2 semaines, plus hebdomadaires et mensuels |
| Boutique en ligne | chaque jour, base de données plusieurs fois par jour | comme ci-dessus, plus des états mensuels sur plusieurs mois |
| Boîtes e-mail | chaque jour | au moins aussi longtemps que les sauvegardes du site |
Une sauvegarde n’est pas une archive : si vous devez conserver des documents commerciaux comme des factures (le Code des obligations prévoit en général dix ans pour les livres comptables et les pièces justificatives), ils relèvent d’une solution d’archivage distincte. Les données personnelles contenues dans les sauvegardes sont en outre soumises à la loi sur la protection des données. Ceci est une information générale et non un conseil juridique.
La copie externe : hors site et hors ligne
Si toutes les sauvegardes se trouvent chez le même hébergeur, elles disparaissent aussi en cas de compte bloqué, de résiliation ou d’accès compromis. Voici comment créer une copie indépendante :
- Téléchargez régulièrement une sauvegarde complète depuis le panneau de contrôle, p. ex. une fois par mois et avant des modifications importantes.
- Stockez-la sur un NAS, un disque dur externe ou un stockage cloud séparé, et non chez l’hébergeur du site.
- Chiffrez le fichier, car il contient des mots de passe, des données clients et des e-mails.
- Déconnectez les supports externes de l’ordinateur après la sauvegarde, comme le recommande l’OFCS. Ainsi, un rançongiciel ne peut pas chiffrer la copie.
- Utilisez pour le stockage cloud des identifiants distincts avec authentification à deux facteurs.
Inutile de faire le téléchargement à la main : dans cPanel, vous pouvez aussi indiquer un serveur distant via FTP ou SCP comme destination de la sauvegarde complète. Si vous exploitez votre propre serveur ou un NAS avec SSH, la copie peut y être envoyée régulièrement. Vérifiez ensuite que les fichiers arrivent bien et sont complets ; sinon, une tâche de sauvegarde qui échoue en silence depuis des mois ne se remarque qu’en cas d’urgence.
Sauvegardes dans cPanel et JetBackup
Avec un hébergement cPanel, il existe généralement deux voies. La fonction de sauvegarde de cPanel crée une sauvegarde complète du compte sous forme d’archive à télécharger, ainsi que des sauvegardes partielles du répertoire personnel, de bases de données individuelles et des redirections et filtres e-mail. Vous ne pouvez pas restaurer vous-même une sauvegarde complète du compte dans cPanel : il faut passer par l’hébergeur. Les sauvegardes partielles, en revanche, se restaurent vous-même.
De nombreux hébergeurs utilisent en plus JetBackup. Vous y voyez les sauvegardes automatiques par date et restaurez de façon ciblée des fichiers, bases de données, boîtes e-mail, zones DNS ou tâches cron, sans remettre tout le compte en arrière. Les éléments disponibles et le nombre de jours sont fixés par l’hébergeur : vérifiez-le dans votre compte.
WordPress : plugin ou sauvegarde serveur ?
Il existe de nombreux plugins de sauvegarde pour WordPress qui sauvegardent fichiers et base de données et envoient automatiquement les archives vers un stockage cloud. C’est pratique, mais limité, car le plugin s’exécute à l’intérieur du site qu’il est censé protéger.
| Critère | Plugin de sauvegarde | Sauvegarde serveur |
|---|---|---|
| Fonctionne indépendamment de WordPress | non | oui |
| Sauvegarde e-mails et DNS | non | généralement oui (e-mails), DNS selon l’hébergeur |
| Destination hors de l’hébergement | simple (stockage cloud, SFTP) | généralement chez l’hébergeur, téléchargement possible |
| Charge sur le site | tourne sur le même compte | tourne en arrière-plan au niveau du serveur |
| Restauration d’un site piraté | incertaine si WordPress lui-même est touché | possible indépendamment du CMS |
La meilleure solution est une combinaison : la sauvegarde serveur de l’hébergeur couvre la sauvegarde quotidienne, un plugin ou un téléchargement manuel régulier place une copie hors de l’hébergement. Avant chaque mise à jour de WordPress, du thème ou des plugins, faites en plus une sauvegarde manuelle.
Rançongiciels et sites piratés
Un rançongiciel (ransomware) chiffre les données et exige une rançon ; pour les sites web, le code malveillant injecté et les contenus supprimés sont plus fréquents. Dans les deux cas :
- Au moins une copie doit être hors d’atteinte des attaquants : hors ligne ou avec des identifiants séparés.
- Conservez des états plus anciens, car le moment de l’attaque est souvent incertain.
- Après une attaque, ne vous contentez pas de restaurer : corrigez d’abord la faille (mises à jour, changement des mots de passe), sinon le site sera vite réinfecté.
- Signalez les incidents à l’OFCS, où vous trouverez aussi des conseils sur la marche à suivre.
Tester la restauration
L’OFCS conseille de s’exercer à restaurer des sauvegardes avant d’en dépendre en cas d’urgence. Voici comment procéder :
- Choisissez une sauvegarde et restaurez-la dans un environnement de test, p. ex. un sous-domaine comme test.votre-entreprise.ch.
- Vérifiez la page d’accueil, les sous-pages, les images, les formulaires, la connexion et, pour une boutique, le processus de commande.
- Contrôlez que la base de données correspond aux fichiers (même état).
- Mesurez la durée de la restauration et notez les étapes.
- Supprimez ensuite l’environnement de test ou protégez-le par un mot de passe.
Conseil: Un test tous les six mois est un bon rythme pour les petits sites. Testez aussi après chaque changement d’hébergeur, d’outil de sauvegarde ou de plugin.
Liste de contrôle pour la sauvegarde de votre site
- Fichiers, base de données, e-mails et zone DNS sont couverts.
- Sauvegarde automatique au moins quotidienne, plus manuelle avant les mises à jour.
- Plusieurs versions sur des semaines et des mois.
- Au moins une copie chiffrée hors du compte d’hébergement, dont une hors ligne.
- Restauration testée et documentée.
Chez HostOn, l’hébergement web et l’hébergement WordPress incluent des sauvegardes JetBackup quotidiennes des fichiers, des bases de données et des e-mails, que vous restaurez vous-même dans cPanel, gratuitement. La copie hors de l’hébergement reste votre affaire : téléchargez régulièrement une sauvegarde.
Voir l’hébergement web avec sauvegardes
Questions fréquentes sur le sujet
Au moins aussi souvent que le contenu change. Pour la plupart des sites d’entreprise, une sauvegarde automatique quotidienne est judicieuse ; pour les boutiques en ligne avec des commandes en continu, sauvegardez plutôt la base de données plusieurs fois par jour. Ajoutez une sauvegarde manuelle avant chaque mise à jour.
C’est une bonne base, mais pas une stratégie complète. Les sauvegardes se trouvent chez le même hébergeur et sont écrasées après un délai fixe. Une copie supplémentaire hors du compte d’hébergement vous protège aussi en cas de compte bloqué, de changement d’hébergeur ou de piratage découvert tardivement.
Vous conservez trois copies de vos données (l’original et deux sauvegardes) sur deux supports différents, dont une copie dans un autre lieu. L’Office fédéral de la cybersécurité (OFCS) recommande cette méthode comme base d’une sauvegarde fiable.
Si vos boîtes e-mail sont chez votre hébergeur, elles sont généralement comprises dans une sauvegarde complète du serveur. Un plugin de sauvegarde WordPress, en revanche, ne sauvegarde pas les e-mails. Vérifiez donc que votre solution couvre bien les boîtes e-mail.
Restaurez la sauvegarde dans un environnement séparé, p. ex. un sous-domaine ou une installation locale, et vérifiez que les pages, les images, les formulaires et la connexion fonctionnent. Notez la durée de la restauration.
Seulement si les attaquants ne peuvent pas les atteindre. Au moins une copie doit être conservée hors ligne ou avec des identifiants séparés, pour ne pas être chiffrée ou supprimée elle aussi lors d’une attaque.
