Fichiers de sauvegarde exposés : protéger votre site contre les robots qui les cherchent

En consultant les journaux de votre serveur, vous voyez passer des centaines de requêtes vers des adresses comme /backup.zip ou /site.sql ? Ce ne sont pas des visiteurs égarés, mais des robots qui cherchent vos fichiers de sauvegarde. Un seul fichier oublié à la racine du site peut leur livrer votre base de données, vos identifiants et les données de vos clients.

Voici pourquoi ces scans de robots se multiplient, ce qu’ils cherchent exactement et 6 conseils concrets pour protéger vos fichiers de sauvegarde.

Pourquoi des robots cherchent vos fichiers de sauvegarde

Lors d’une migration, d’une mise à jour ou d’une intervention urgente, il est fréquent de créer une archive complète du site ou un export de la base de données… et de l’oublier sur le serveur. Les pirates le savent. Plutôt que de chercher une faille complexe, leurs robots testent automatiquement des milliers de noms de fichiers courants sur des millions de sites.

Ces scans de robots ne coûtent presque rien à l’attaquant. Il suffit qu’un site sur mille laisse traîner une sauvegarde accessible pour que l’opération soit rentable.

Ce que les scans de robots essaient de trouver

Les robots testent des chemins prévisibles. Voici des exemples typiques de requêtes que l’on retrouve dans les journaux d’un serveur :

GET /backup.zip
GET /www.zip
GET /site.tar.gz
GET /dump.sql
GET /database.sql.gz
GET /wp-config.php.bak
GET /wp-config.php.old
GET /.env
GET /.git/config

Ils visent principalement trois familles de fichiers de sauvegarde :

• les archives complètes du site (.zip, .tar.gz, .rar) qui contiennent tout le code et souvent la configuration ;
• les exports de base de données (.sql, .sql.gz) avec les comptes utilisateurs et les données clients ;
• les copies de fichiers de configuration (.bak, .old, .save, fichiers temporaires d’éditeurs) qui contiennent les mots de passe d’accès à la base.

Les risques d’un fichier de sauvegarde accessible

• Vol des identifiants : le fichier de configuration révèle l’accès à la base de données, parfois des clés d’API.
• Fuite de données personnelles : un export SQL contient les comptes, adresses et commandes de vos clients, avec des obligations de notification au titre du RGPD.
• Prise de contrôle du site : avec le code et les identifiants, l’attaquant prépare une intrusion ciblée.
• Atteinte à votre réputation : une fuite de données est difficile à faire oublier auprès de vos clients.

6 conseils pour protéger vos fichiers de sauvegarde

1. Stocker les sauvegardes hors de la racine web

C’est la règle la plus importante. Vos fichiers de sauvegarde ne doivent jamais se trouver dans un dossier accessible depuis un navigateur. Placez-les au-dessus du dossier public du site, et surtout copiez-les hors du serveur : stockage externe, cloud ou autre datacenter. Une sauvegarde stockée sur le même serveur disparaît avec lui en cas de panne ou de piratage.

2. Bloquer l’accès aux extensions sensibles

Sur un serveur Apache, ajoutez une règle dans le fichier .htaccess pour refuser l’accès aux extensions de sauvegarde :

<FilesMatch "\.(zip|tar|gz|tgz|rar|sql|bak|old|save|swp|log)$">
    Require all denied
</FilesMatch>

Sur Nginx, l’équivalent est :

location ~* \.(zip|tar|gz|tgz|rar|sql|bak|old|save|swp|log)$ {
    deny all;
}

Attention : si votre site propose des fichiers ZIP en téléchargement à vos clients, adaptez la règle pour ne pas les bloquer.

3. Supprimer les archives après chaque intervention

Après une migration ou une mise à jour, vérifiez qu’aucune archive, aucun export SQL et aucune copie de fichier de configuration ne reste sur le serveur. Faites-en une étape obligatoire de votre procédure, et demandez-la explicitement à vos prestataires.

4. Protéger les dossiers .git et les fichiers .env

Un dossier .git accessible permet de reconstituer tout le code source du site, et un fichier .env contient souvent tous les secrets de l’application. Bloquez l’accès aux fichiers et dossiers qui commencent par un point, et ne déployez jamais ces éléments dans le dossier public.

5. Filtrer les scans de robots avec un pare-feu

Un pare-feu applicatif (WAF) reconnaît les scans de robots et bloque les adresses IP qui enchaînent les requêtes vers des fichiers inexistants. Sur un serveur dédié, un outil comme Fail2ban peut bannir automatiquement les adresses qui génèrent trop d’erreurs 404 en peu de temps.

6. Surveiller les journaux du serveur

Des rafales d’erreurs 404 sur des noms de fichiers de sauvegarde sont le signe que votre site est scanné. Une surveillance régulière des journaux, ou une alerte automatique, vous permet de réagir avant qu’un fichier oublié ne soit trouvé.

Robots.txt : une fausse bonne idée

Ajouter vos dossiers de sauvegarde dans le fichier robots.txt ne les protège pas, au contraire. Ce fichier est public et les robots malveillants ne respectent pas ses consignes. Lister un dossier sensible dans robots.txt revient à indiquer aux attaquants où chercher.

Vérifier si votre site expose des fichiers de sauvegarde

Faites le test vous-même : essayez d’ouvrir dans votre navigateur quelques adresses comme votresite.com/backup.zip ou votresite.com/.env. Vous devez obtenir une erreur 403 ou 404, jamais un téléchargement. Vérifiez aussi avec votre hébergeur ou votre prestataire la liste des fichiers présents à la racine du site.

Notre accompagnement pour sécuriser vos sauvegardes

Des sauvegardes fiables doivent être automatiques, stockées hors du serveur, testées et invisibles depuis le web. Nous expliquons comment les surveiller dans notre article sur le monitoring et les sauvegardes de site web, et notre service de protection de site web prend en charge pare-feu, mises à jour et sauvegardes. Pour une vue d’ensemble, consultez aussi nos conseils pour protéger un site web contre les hacks et les recommandations de l’OWASP sur les failles web les plus courantes.

FAQ : fichiers de sauvegarde et scans de robots

Où stocker les fichiers de sauvegarde d’un site web ?

Hors du dossier public du site, et idéalement hors du serveur : stockage externe, cloud ou second datacenter. Gardez plusieurs copies à des dates différentes.

Les scans de robots sont-ils dangereux s’ils ne trouvent rien ?

Ils consomment des ressources et polluent vos journaux, mais le vrai risque est qu’ils trouvent un fichier oublié. Un pare-feu réduit leur impact.

Un mot de passe sur l’archive ZIP suffit-il ?

Non. Un mot de passe ralentit l’attaquant mais ne remplace pas la règle de base : aucune sauvegarde ne doit être accessible depuis le web.