Sauvegardes WordPress à Toulouse : le jour où un client a perdu 3 ans de contenu en 10 minutes

Le jour où un commerçant toulousain a perdu 3 ans de site en 10 minutes

Un client qui tient une boutique de déco dans le quartier Saint-Cyprien m’a appelé un mardi matin, la voix un peu blanche. Son site WordPress affichait une page blanche. Pas de message d’erreur clair, juste du vide là où il y a trois jours encore il y avait ses produits, ses articles de blog et sa page contact.

Cause identifiée en une demi-heure : un plugin de widgets installé deux semaines plus tôt, jamais mis à jour depuis, qui contenait une faille connue depuis des mois. Un script automatisé l’avait trouvée, injecté du code malveillant, et avait fini par casser le site en tentant d’y ajouter des liens de spam.

La bonne nouvelle : il avait une sauvegarde. La mauvaise : elle datait de huit mois. Entre les deux, il avait ajouté vingt produits, écrit douze articles de blog et changé ses horaires trois fois. Tout ça, reperdu.

Pourquoi ce scénario revient si souvent chez les TPE toulousaines

Ce n’est pas un cas isolé. Sur les sites que je reprends en maintenance à Toulouse, je retrouve presque toujours la même combinaison de négligences, jamais par mauvaise volonté, juste parce que personne n’a pris le temps d’expliquer les enjeux au moment de la création du site.

Les plugins qu’on installe et qu’on oublie

Un plugin ajouté pour un besoin ponctuel (un formulaire, un pop-up, une galerie photo) reste souvent en place des années après, jamais mis à jour, alors qu’il devient la porte d’entrée la plus simple pour une attaque automatisée. Les robots qui scannent le web ne ciblent pas votre site en particulier : ils testent des milliers de sites WordPress à la recherche de la faille connue la plus facile à exploiter.

Le mot de passe admin inchangé depuis la création

« admin » plus un mot de passe simple, parfois le même que pour quinze autres comptes. C’est le detail bête qui fait tomber un site en deux minutes quand ce mot de passe a fuité ailleurs, sur un autre service qui a lui-même été piraté.

Les sauvegardes qui existent… sur le papier

Beaucoup d’hébergeurs annoncent des sauvegardes automatiques. Dans les faits, elles sont parfois espacées de plusieurs semaines, stockées sur le même serveur que le site (donc perdues si le serveur est compromis), ou jamais testées pour vérifier qu’elles se restaurent correctement. Une sauvegarde qu’on n’a jamais essayé de restaurer n’est pas une vraie sauvegarde, c’est un pari.

Ce qui protège réellement un site WordPress

Pas besoin d’un budget de grande entreprise. Quelques réflexes simples, appliqués régulièrement, évitent la quasi-totalité des incidents que je vois chez mes clients toulousains.

• Mettre à jour WordPress, le thème et tous les plugins dès qu’une mise à jour sort, pas six mois plus tard
• Désinstaller (pas juste désactiver) les plugins qui ne servent plus à rien
• Activer une double authentification sur le compte administrateur
• Mettre en place des sauvegardes automatiques stockées ailleurs que sur le serveur du site (un cloud externe)
• Restaurer une sauvegarde au moins une fois pour vérifier qu’elle fonctionne vraiment
• Limiter les tentatives de connexion pour bloquer les robots qui essaient des mots de passe en boucle

Pour mon client de Saint-Cyprien, j’ai pu reconstruire le site à partir de la sauvegarde de huit mois, puis réinjecter à la main une partie du contenu récent qu’il avait heureusement gardé dans ses mails et sur son téléphone. Deux jours de travail, pour lui comme pour moi, pour réparer ce qu’une sauvegarde récente aurait réglé en vingt minutes.

La maintenance, ce n’est pas un luxe, c’est une assurance

Je vois souvent cette ligne de budget sautée en premier lors de la création d’un site : « la maintenance, on verra plus tard, pour l’instant il faut juste que le site soit en ligne ». C’est compréhensible, le budget est serré. Mais c’est aussi le calcul le plus risqué, parce que le coût d’un piratage (temps perdu, image écornée, parfois perte de référencement si Google détecte le site comme compromis) dépasse largement celui d’une surveillance régulière.

Une TPE qui vend en ligne, ou qui reçoit des demandes de devis via son site, ne peut pas se permettre une page blanche pendant plusieurs jours. Le temps de diagnostiquer, nettoyer et restaurer, c’est souvent une semaine de visibilité et de ventes qui s’envole.

Ce que je recommande concrètement

Pour un site WordPress d’une TPE toulousaine, la base raisonnable tient en trois points : des mises à jour suivies chaque mois, une sauvegarde externe automatique et testée, et une surveillance basique des tentatives d’intrusion. Ce n’est ni compliqué ni coûteux une fois que c’est en place. C’est juste souvent absent, parce que personne n’en a parlé au bon moment.

Si votre site tourne depuis plus d’un an sans que personne n’ait vérifié ses plugins ou testé une restauration de sauvegarde, c’est probablement le moment d’y jeter un œil, avant qu’un mardi matin vous appreniez la même chose que mon client de Saint-Cyprien.

Un doute sur l’état de sécurité de votre site WordPress ? Un diagnostic rapide permet souvent de repérer les failles les plus évidentes avant qu’elles ne deviennent un problème.