Une sauvegarde n'existe réellement qu'une fois restaurée avec succès. Beaucoup d'exploitants découvrent au moment d'un incident que les copies automatiques de leur hébergeur ne remontaient qu'à vingt-quatre heures, qu'elles se trouvaient sur le même serveur que le site, ou que leur restauration était facturée. La règle couramment enseignée en sauvegarde informatique recommande trois copies des données, sur deux supports différents, dont une conservée hors du site. Appliquée à un site web, elle revient à cumuler la sauvegarde de l'hébergeur, une copie automatisée vers un stockage distant et un téléchargement local périodique.
Les éléments à sauvegarder
Un site dynamique se compose de deux ensembles indépendants : l'arborescence de fichiers et la base de données. Restaurer l'un sans l'autre produit un site incohérent, un contenu publié après la dernière copie de fichiers pointant vers des images absentes. Les deux sauvegardes doivent donc être datées ensemble. La configuration du serveur, les règles de redirection et les enregistrements DNS méritent une copie séparée, car ils ne figurent pas dans l'archive du site et leur reconstitution de mémoire prend souvent plus de temps que la restauration elle-même.
Fréquence et conservation
La fréquence se déduit de la quantité de travail qu'il serait acceptable de perdre. Un site dont le contenu ne bouge pas s'accommode d'une copie hebdomadaire ; une boutique qui enregistre des commandes a besoin d'une sauvegarde quotidienne au minimum, et d'une journalisation des transactions entre deux copies. La durée de conservation compte autant que la fréquence : une infection ou une corruption de données passe parfois inaperçue pendant plusieurs semaines, et une rétention de sept jours ne laisse alors aucune version saine à restaurer. Une conservation échelonnée, quotidienne sur un mois puis mensuelle sur un an, couvre ce cas.
Les mises à jour
La majorité des compromissions de sites exploitent une faille connue et corrigée dans une version postérieure à celle installée. Les extensions et les thèmes des systèmes de gestion de contenu constituent la porte d'entrée la plus fréquente, devant le cœur du logiciel lui-même. Les composants abandonnés par leur auteur sont les plus dangereux, puisque aucun correctif ne viendra, et leur remplacement ou leur suppression s'impose. Une mise à jour appliquée d'abord sur une copie de préproduction évite la panne en direct, les incompatibilités entre extensions étant la cause habituelle des régressions.
Le contrôle des accès
Chaque intervenant dispose d'un compte nominatif, avec les droits strictement nécessaires à sa tâche, et ce compte est supprimé à la fin de la mission. Le compte administrateur ne sert pas à rédiger les articles. L'authentification à deux facteurs, disponible sur la plupart des panneaux d'hébergement et des systèmes de gestion de contenu, neutralise la réutilisation d'un mot de passe compromis ailleurs. L'accès aux fichiers se fait par protocole chiffré, et les anciens accès non chiffrés, qui transmettent les identifiants en clair, sont désactivés lorsque l'hébergeur le permet.
Détecter et réagir
Les signes d'une compromission sont souvent indirects : apparition de pages inconnues dans les résultats de recherche, hausse brutale du trafic sortant, envoi de courriels non sollicités depuis le serveur, ou avertissement du navigateur. La première mesure consiste à isoler le site, la seconde à conserver une copie de l'état compromis avant toute remise en état, cette copie servant à identifier la faille. Restaurer une sauvegarde sans corriger la cause conduit à une réinfection rapide. La modification de tous les mots de passe, y compris ceux de la base de données, clôt l'intervention.