Ce que fait Duplicator sur votre site
Duplicator emballe un site WordPress dans une « sauvegarde » composée de deux fichiers : une archive (base de données, médiathèque, thèmes, extensions et fichiers du cœur) et un programme d’installation, installer.php. Vous lancez la création dans Duplicator > Sauvegardes > Ajouter ; l’extension analyse d’abord le serveur, signale les problèmes et propose une correction quand elle en connaît une. Pour migrer, vous déposez les deux fichiers sur le nouvel hébergement, vous ouvrez l’installeur dans le navigateur et il recrée le site, adresses comprises, sans qu’il soit nécessaire d’installer WordPress au préalable.
Les sauvegardes restent par défaut dans le dossier wp-content/backups-dup-lite, avec une rétention des plus récentes. La version gratuite sait aussi restaurer une sauvegarde en un clic depuis le tableau de bord, chiffrer l’archive en AES-256 avec un mot de passe quand le serveur le permet, et envoyer les sauvegardes vers Duplicator Cloud, le stockage en ligne de l’éditeur, vendu à part à partir de 29 $ par an pour 2 Go.
Duplicator est édité par Snap Creek LLC, rachetée en janvier 2023 par Awesome Motive (WPForms, MonsterInsights). Duplicator Pro, une extension séparée, ajoute les sauvegardes planifiées, Dropbox, Google Drive, OneDrive, Amazon S3, FTP/SFTP et les stockages compatibles S3, l’import par glisser-déposer ou de serveur à serveur, les sites de préproduction et le multisite.
Pour quels sites Duplicator est un bon choix
Duplicator est d’abord un outil de migration et de clonage, qui sait aussi faire des sauvegardes manuelles :
- Changement d’hébergeur ou de domaine : l’installeur recrée le site sur un serveur vide et remplace les anciennes adresses.
- Gros sites sur hébergement mutualisé : le moteur découpe le travail en petites étapes et propose plusieurs formats d’archive (DupArchive, ZipArchive, zip du serveur) pour passer sous les délais d’exécution.
- Freelances qui livrent un site monté en local : une seule sauvegarde suffit pour mettre en ligne l’installation préparée.
- Copie de secours avant une grosse mise à jour, avec restauration en un clic si quelque chose casse.
Ce n’est pas le bon choix pour des sauvegardes automatiques gratuites vers votre propre stockage : la planification et les stockages tiers sont réservés à Pro, alors qu’UpdraftPlus les propose dans sa version gratuite. La version gratuite ne prend pas en charge les réseaux multisites.
Points forts et limites de Duplicator
Points forts
- Migration vers un serveur vide. L’installeur recrée le site sans installation préalable de WordPress.
- Pas de plafond de taille. Le moteur par étapes vient à bout de gros sites, même avec des délais serveur stricts.
- Chiffrement et restauration gratuits. Archive chiffrée en AES-256 et restauration en un clic dans la version gratuite.
- Un installeur protégé par défaut. Son nom contient un identifiant aléatoire, et un nettoyage automatique peut le supprimer.
Limites
- Pas de planification en gratuit. Chaque sauvegarde se lance à la main ; les sauvegardes planifiées demandent Pro.
- Un seul stockage externe, payant. En gratuit, hors du serveur, il n’y a que Duplicator Cloud, facturé à part.
- Migration manuelle en gratuit. Il faut envoyer archive et installeur par FTP ; l’import par glisser-déposer est réservé à Pro.
- Ni multisite ni préproduction. Les deux demandent la formule Pro de Duplicator Pro, 399 $ par an au tarif normal.
- Des fichiers sensibles sur le serveur. Archives et installeurs oubliés ont été au cœur de plusieurs failles passées.
Les réglages que nous recommandons pour Duplicator
Tous ces réglages existent dans la version gratuite actuelle. La traduction française de l’extension est incomplète : les libellés restés en anglais sont donnés entre guillemets, tels qu’ils s’affichent.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Mode de sécurité Duplicator > Sauvegardes > Ajouter, section Sécurité | « Archive encryption », avec un mot de passe long conservé hors du site | L’archive contient toute la base. « Installer password » protège seulement l’installeur, le contenu de l’archive reste lisible. |
| « Installer Settings » > Nom Duplicator > Réglages > Sauvegardes | [name]_[hash]_[date]_installer.php (valeur par défaut) | Un nom avec identifiant aléatoire est bien plus difficile à deviner que installer.php. |
| « Installer Cleanup » > Mode Même écran | « Auto Cleanup », toutes les 24 heures | Par défaut le nettoyage est désactivé ; un installeur oublié sur le site de destination est une porte ouverte. |
| « Max Backups » Duplicator > Stockage, stockage local par défaut | 3 à 5 selon l’espace disque (10 par défaut) | Chaque archive est une copie complète du site ; moins vous en gardez sur le serveur, moins il y a à protéger. |
| « Disable .htaccess File In Storage Directory » Duplicator > Réglages > Stockage | Désactivé (valeur par défaut) | À cocher seulement si le téléchargement des archives échoue, puis à décocher après le test. |
| « Enable settings encryption » Duplicator > Réglages > Général | Activé (valeur par défaut) | Mots de passe, données de stockage et licence sont alors chiffrés dans la base. |
| « Delete Installation Files » Duplicator > Outils > Général | Après chaque migration, sur le site de destination | Retire l’installeur et ses fichiers de travail sans attendre le nettoyage automatique. |
| Mises à jour automatiques Extensions > Extensions installées | Activées | Les failles passées de Duplicator ont été corrigées par des versions successives de l’extension. |
- Téléchargez au moins une sauvegarde hors du serveur et rangez-la selon la stratégie de sauvegarde 3-2-1.
- Ouvrez
/wp-content/backups-dup-lite/dans une fenêtre privée : aucune liste de fichiers ne doit s’afficher (voir notre guide des fichiers sensibles exposés). - Après une migration, appelez l’adresse de l’installeur sur le nouveau site : vous devez obtenir une erreur 404.
- Testez une restauration sur une copie locale ou de préproduction : une sauvegarde jamais restaurée reste une hypothèse.
La sécurité de Duplicator : l’installeur et les archives en ligne de mire
Les failles publiées de Duplicator tournent presque toutes autour des fichiers qu’il laisse sur le serveur :
- CVE-2018-25095, corrigée en 1.3.0 : un installeur laissé sur le site après usage pouvait servir à exécuter du code sur le serveur, sans compte.
- CVE-2020-11738, corrigée en 1.3.28 : traversée de répertoires qui permettait de télécharger des fichiers arbitraires du serveur (CVSS 7,5).
- CVE-2022-2551, corrigée en 1.4.7 : une fois l’installeur lancé, un visiteur sans compte pouvait obtenir l’adresse de la sauvegarde et la télécharger.
- CVE-2023-6114, corrigée en 1.5.7.1 : sur un serveur qui liste les dossiers, le dossier temporaire
backups-dup-lite/tmpexposait des fichiers contenant des données sensibles.
Le geste utile est double : activez les mises à jour automatiques (voir notre guide des mises à jour automatiques des extensions) et ne laissez ni installeur ni archive inutile sur un serveur en ligne. Duplicator n’ajoute rien de connu à vos pages publiques ; l’encadré ci-dessous indique ce que WP Masquerade couvre pour elle.
Ce que WP Masquerade masque pour Duplicator
Version gratuite Pris en charge par la version gratuite de WP Masquerade
Duplicator fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
Rien à retirer
Avec Pro
Rien de plus
Reste visible
Aucune trace connue
Questions fréquentes sur Duplicator
Duplicator gratuit suffit-il pour migrer un site ?
Oui : créez la sauvegarde, téléchargez l’archive et l’installeur, envoyez-les sur le nouvel hébergement, puis ouvrez l’installeur dans le navigateur. Prévoyez une base de données vide et ses identifiants. Pro évite seulement l’envoi manuel grâce à l’import par glisser-déposer ou de serveur à serveur.
Peut-on planifier des sauvegardes avec la version gratuite ?
Non, la planification est réservée à Duplicator Pro, dès la formule Basic ; les sauvegardes toutes les heures demandent la formule Plus. Pour des sauvegardes automatiques gratuites, UpdraftPlus est plus adapté.
Combien coûte Duplicator Pro ?
La page tarifs affiche la formule Basic à 99 $ par an pour 2 sites, avec une remise la première année (69,30 $ à la date de rédaction) ; les renouvellements se font au plein tarif. Plus (5 sites), Pro (20 sites) et Elite (100 sites) ajoutent notamment les stockages illimités, la préproduction et le multisite.
Duplicator ou All-in-One WP Migration ?
Les deux migrent un site entier. All-in-One WP Migration importe un seul fichier depuis un WordPress déjà installé, mais bute en gratuit sur la limite d’envoi de l’hébergeur ; Duplicator passe par FTP et un installeur, ce qui contourne cette limite.