Module 8 · 8.3
Français
Staging : tester en toute sécurité
Module 8: Sauvegardes, site de préproduction (staging) et mises à jour PHP · Temps de lecture : 9 minutes
Objectif pédagogique : À l'issue de cette leçon, vous saurez créer un site de préproduction (staging), le protéger et reporter vos modifications en toute sécurité vers votre site réel.
Notions clés : staging, production, clonage, sous-domaine, noindex, mot de passe sur le répertoire, e-mail désactivé, prestataire de paiement en mode test, synchronisation, écrasement de la base de données, environnement de développement local
Qu'est-ce que le staging
Un environnement de staging (ou site de test) est une copie de votre site réel, sur sa propre adresse, où vous testez des modifications. Votre site réel est alors appelé production. Sur le staging, vous avez le droit de vous tromper : un nouveau thème, une mise à jour importante, une mise à niveau de PHP (leçon 8.4), une nouvelle extension. Ce n'est qu'une fois que cela fonctionne que vous l'appliquez en production.
Vous utilisez le staging pour les modifications à risque : versions majeures de WordPress ou d'une extension de boutique en ligne, changement de thème, mise à niveau de PHP, nettoyage des extensions (leçon 5.4), refonte. Pour une modification de texte ou une petite mise à jour d'extension, ce n'est pas nécessaire.
Les différentes façons de créer un staging
| Méthode | Comment | Pour qui |
|---|---|---|
| Fonction de clonage de votre installeur | Avec Installatron, « Kopieer » avec « Create a staging site », avec Softaculous « Create Staging », avec le WP Toolkit « Clone » | La solution la plus simple si votre site a été créé avec un installeur |
| Staging de votre hébergeur | Avec un hébergement WordPress géré, souvent en un clic | Si votre hébergeur le propose |
| Une extension de staging | Une extension crée une copie dans un sous-répertoire ou sur un sous-domaine | Si vous n'avez ni installeur ni fonction de votre hébergeur |
| À la main | Restaurer une sauvegarde à côté du site (leçon 8.2) et ajuster les adresses | Instructif, et toujours possible |
| En local sur votre propre ordinateur | Un logiciel de développement WordPress local ou un environnement Docker | Pour les développeurs et les modifications plus importantes |
Un staging sur un sous-domaine (staging.example.com) est généralement préférable à un sous-répertoire (example.com/staging) : il se comporte davantage comme votre site réel, et les cookies ainsi que les règles du fichier .htaccess ne se mélangent pas. Créez d'abord le sous-domaine, avec un certificat.
Protection : trois choses à régler immédiatement
Une copie de votre site est un site à part entière avec tout votre contenu, et parfois toutes les données de vos clients. Réglez donc immédiatement les points suivants :
1. Tenir les moteurs de recherche à l'écart
Sans protection, Google peut trouver et indexer votre staging. Vous vous retrouvez alors avec du contenu dupliqué, et les internautes atterrissent sur votre site de test. Faites au moins l'une de ces deux actions, de préférence les deux :
- Un mot de passe sur l'ensemble du staging (authentification basique via votre panneau d'hébergement, un « répertoire protégé »). Ainsi, personne ne voit le site sans mot de passe, pas même les moteurs de recherche. C'est la solution la plus solide.
- Décourager les moteurs de recherche dans Réglages > Lecture (leçon 2.4). Cela place un
noindexsur chaque page. Les moteurs de recherche le respectent généralement, mais c'est une demande, pas un verrou.
Attention à l'inverse : si vous synchronisez ensuite le staging vers la production, ne reportez surtout pas la case noindex. Un site de production qui disparaît de Google après une synchronisation « réussie » est un classique. L'exercice de cette leçon vérifie les deux cas.
2. Pas d'e-mails vers de vraies personnes
La copie d'une boutique en ligne ou d'un site d'adhérents peut envoyer des e-mails : confirmations, rappels, newsletters, liens de mot de passe. Vos clients recevraient alors des e-mails déroutants provenant de votre site de test. Désactivez l'envoi d'e-mails sur le staging ou redirigez-le vers votre propre adresse (avec une extension d'interception d'e-mails, ou en désactivant l'extension SMTP sur le staging, leçon 9.1). Désactivez également les tâches planifiées qui envoient des e-mails.
3. Paiements et connexions en mode test
Une boutique en ligne sur le staging doit fonctionner avec le mode test du prestataire de paiement, pas avec de vrais paiements. Les autres connexions (comptabilité, stock, CRM) doivent être désactivées ou pointées vers un environnement de test, sinon elles traiteraient des commandes de test comme de vraies commandes.
Si vous travaillez avec de vraies données clients sur le staging, le RGPD s'applique de la même façon (leçon 9.3) : ne pas les conserver plus longtemps que nécessaire, et supprimer le staging une fois terminé.
Retour en production : le piège de la base de données
L'étape la plus délicate est le report de vos modifications vers la production. Les installeurs et les extensions de staging disposent d'une fonction pour cela (chez Installatron « Synch », ailleurs « Push to live »). Le risque :
- Vous créez un staging le lundi. Du mardi au jeudi, vous testez un nouveau thème.
- Pendant ce temps, vingt commandes, trois nouveaux articles et cinquante commentaires s'ajoutent en production.
- Le vendredi, vous synchronisez la base de données du staging vers la production. La base de données du staging est celle du lundi : les commandes, articles et commentaires du mardi au vendredi ont disparu.
C'est pourquoi :
- Faites d'abord une sauvegarde de la production (leçon 8.1), juste avant la synchronisation.
- Ne synchronisez que ce qui est nécessaire. Mettre à jour un thème ou une extension est une question de fichiers ; la base de données n'a alors souvent pas besoin d'être reportée. De nombreuses fonctions de synchronisation vous permettent de choisir : seulement les fichiers, ou seulement certaines tables.
- Pour une boutique en ligne ou un site très fréquenté : il est préférable de refaire la modification directement en production (les mêmes étapes que sur le staging, maintenant que vous savez qu'elles fonctionnent) plutôt que de transférer la base de données. Ou planifiez un moment calme avec un court arrêt de la boutique.
- Vérifiez ensuite la production : la liste de contrôle de la leçon 8.2, et la case noindex.
Le staging est un lieu pour apprendre ce qui se passe. La modification elle-même, vous la refaites le plus prudemment possible directement en production.
Faire le ménage
Un staging qui reste en place pendant des mois devient un site oublié : non mis à jour, avec d'anciennes extensions et de vraies données. Exactement le point faible décrit dans la leçon 7.1. Supprimez le staging une fois terminé, ou entretenez-le comme un site à part entière (mises à jour, mot de passe). Un clone occupe aussi autant d'espace que l'original et possède sa propre base de données.
Résumé
- Le staging est une copie de votre site sur sa propre adresse pour tester des modifications à risque.
- Créez-le avec votre installeur, votre hébergeur, une extension ou à la main, de préférence sur un sous-domaine avec certificat.
- Protégez-le immédiatement : mot de passe et/ou noindex, pas d'e-mails vers de vraies personnes, paiements en mode test.
- Ne synchronisez pas en sens inverse sans réfléchir : la base de données du staging écrase ce qui s'est ajouté en production. Faites d'abord une sauvegarde, ne reportez que ce qui est nécessaire, ou refaites la modification.
- Supprimez le staging une fois terminé, et ne reportez pas la case noindex vers la production.
Quiz
Exercice
Exercice A8.3 : Votre site de préproduction (staging) est-il protégé ? Indiquez l'adresse de votre staging (un sous-domaine de votre propre domaine, par exemple issu de l'exercice D8.2) et celle de votre site réel. Prouvez avec le code de l'exercice que le domaine vous appartient. Le programme vérifie sur le staging : répond-il en https, et est-il protégé (une demande de mot de passe, ou un noindex dans le HTML ou dans l'en-tête X-Robots-Tag) ? Le lien REST (wp-json) pointe-t-il vers le staging lui-même et non vers votre site réel ? Et sur votre site réel : n'y a-t-il pas de noindex ?
Pour aller plus loin
Ces articles décrivent les étapes dans les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est similaire.