Contrat de maintenance d'un site : ce qu'il couvre vraiment

Un chiffre suffit à reclasser le sujet : en 2025, le cœur de WordPress a compté six vulnérabilités, toutes de faible priorité, quand l’ensemble de son écosystème en comptait 11 334.

Les 99,9 % restants viennent d’ailleurs : 91 % des extensions et 9 % des thèmes. Ces données sont publiées par Patchstack dans son rapport annuel de février 2026, avec une méthodologie explicite. L’éditeur vend une solution de sécurité, ce qui invite à la prudence sur ses conclusions commerciales, mais ses chiffres reposent sur une activité de coordination de divulgation documentée.

La conséquence pratique est immédiate. Un contrat qui promet « les mises à jour de WordPress » couvre une part négligeable du risque réel. Et c’est très exactement ce que promettent la plupart des contrats de maintenance vendus aux PME.

Ce que le mot « maintenance » recouvre

Quatre familles se cachent derrière un seul mot, et un devis qui ne dit pas laquelle il couvre est un devis à faire préciser.

La maintenance corrective répare ce qui est cassé. Le cahier des clauses applicable aux marchés publics informatiques la définit à son article 38.1 comme les mesures consistant à corriger les anomalies. C’est le socle, et c’est souvent tout ce qui est réellement inclus.

La maintenance évolutive fait évoluer les fonctions. Le même texte la définit comme les mesures visant à faire évoluer une ou plusieurs applications pour intégrer de nouvelles fonctions, ou pour prendre en compte de nouvelles dispositions législatives ou réglementaires. Ce dernier point mérite attention : une évolution imposée par un changement de loi relève de l’évolutif, donc généralement d’un budget séparé.

La maintenance préventive agit avant la panne : mises à jour, surveillance, tests, sauvegardes vérifiées.

La maintenance adaptative suit les évolutions de l’environnement technique : nouvelle version du langage, changement d’hébergement, évolution des navigateurs.

Ces définitions ne sont pas obligatoires pour un contrat privé, mais elles ont l’avantage d’exister et d’être publiques. Les citer dans une discussion avec un prestataire déplace immédiatement la conversation du terrain commercial vers le terrain du périmètre.

Mettre à jour ne suffit pas, et c’est mesuré

Voici la donnée qui complique le discours habituel, et qui mérite d’être lue dans les deux sens.

Selon le rapport de Sucuri sur les sites compromis, établi à partir de 39 594 sites nettoyés, 39,1 % des gestionnaires de contenu infectés étaient obsolètes au moment de l’infection.

Lisez la symétrie : la majorité des sites piratés étaient à jour. La mise à jour élimine les failles connues et publiées. Elle ne protège pas contre un mot de passe faible, un compte d’ancien prestataire resté actif, une extension légitime mais mal configurée, ou une faille pas encore corrigée par son éditeur.

Un contrat de maintenance qui se limite aux mises à jour vend donc une protection réelle mais partielle, et il faut le savoir avant de conclure qu’on est couvert. Trois éléments comptent autant que la mise à jour.

La gestion des comptes. Combien de comptes administrateurs existent sur votre site, à qui appartiennent-ils, et depuis quand n’ont-ils pas servi ? C’est la vérification la plus rentable et la moins faite. Les anciens prestataires, les stagiaires partis, l’agence précédente : leurs accès survivent longtemps.

La réduction de la surface. Chaque extension installée est une porte. Une extension qui n’est plus mise à jour par son éditeur depuis deux ans est une porte sans serrure. La question à poser n’est pas seulement « mettez-vous à jour », mais « combien d’extensions puis-je supprimer ».

La surveillance. Savoir qu’un site est compromis n’a rien d’automatique. Beaucoup de propriétaires l’apprennent par une alerte de moteur de recherche, un signalement de client, ou une chute de trafic, c’est-à-dire tard.

Le socle technique vieillit tout seul

C’est la partie invisible, et celle qui produit les mauvaises surprises les plus coûteuses.

PHP, le langage qui fait tourner la majorité des sites, suit un calendrier de support public : deux ans de support actif, puis deux ans de correctifs de sécurité seulement, soit quatre ans par version. Passé ce délai, plus aucune faille n’est corrigée.

Au moment où nous écrivons, la page officielle des versions supportées donne la situation suivante : seules les versions 8.4 et 8.5 bénéficient d’un support actif. La version 8.3 ne reçoit plus que des correctifs de sécurité, jusqu’à fin 2027. Et la version 8.2 cesse d’être corrigée le 31 décembre 2026, c’est-à-dire dans quelques mois.

Ce calendrier a une vertu : il est public et daté. Vous pouvez demander aujourd’hui à votre prestataire sur quelle version tourne votre site, et vérifier vous-même où elle se situe. Une réponse évasive à cette question est en soi une information.

La même logique s’applique aux autres composants : la base de données, le serveur web, les bibliothèques utilisées par le site. Un site qui n’a pas été touché depuis quatre ans ne fonctionne pas moins bien qu’avant. Il repose simplement sur des fondations que plus personne ne répare.

Un point pratique souvent négligé : la montée de version n’est pas sans risque. Passer d’une version majeure à la suivante peut casser une extension ancienne ou un développement sur mesure. C’est précisément le travail que couvre la maintenance adaptative, et c’est pourquoi elle doit figurer au contrat plutôt que d’apparaître comme un devis surprise le jour où l’hébergeur impose la migration.

Ce que promet un pourcentage de disponibilité

Les engagements de disponibilité impressionnent parce qu’ils s’écrivent avec beaucoup de neuf. Traduits en durée, ils deviennent plus lisibles.

Ces durées sont de simples conversions arithmétiques, que vous pouvez refaire vous-même. Elles montrent l’écart réel entre deux engagements qui se ressemblent à l’écrit : entre 99 % et 99,9 %, il y a un facteur dix.

Trois questions comptent autant que le chiffre annoncé.

Que mesure-t-on ? La disponibilité du serveur n’est pas celle du site. Un serveur qui répond alors que le site affiche une erreur est compté disponible par beaucoup d’outils.

Qui mesure ? Un engagement vérifié par le prestataire lui-même, sans relevé accessible au client, n’est pas vérifiable.

Que se passe-t-il en cas de dépassement ? Sans pénalité ni compensation prévue, un engagement de disponibilité est une déclaration d’intention. Ce n’est pas nécessairement grave pour un site vitrine, mais autant le savoir.

Pour une PME B2B dont le site est une vitrine et un point d’entrée commercial, la disponibilité est rarement le sujet le plus important. Le délai de rétablissement l’est davantage : combien de temps entre le signalement d’une panne et sa correction, et selon quels horaires. Un contrat qui garantit 99,9 % mais dont personne ne répond avant lundi matin ne vaut pas mieux qu’un contrat plus modeste avec une astreinte réelle.

Les sauvegardes, et la question que personne ne pose

L’ANSSI publie un guide sur les fondamentaux de la sauvegarde qui recommande explicitement la règle dite trois-deux-un : trois copies distinctes des données dont celle de production, sur deux supports différents, avec une copie hors ligne. La CNIL reprend cette règle comme état de l’art.

La copie hors ligne mérite un mot, car c’est le point que les offres de maintenance couvrent le moins. Une sauvegarde stockée sur le même serveur que le site, ou dans le même compte d’hébergement, disparaît avec lui : en cas de compromission, l’attaquant y a accès, et en cas de défaillance de l’hébergeur, elle est indisponible en même temps que la production.

Mais la vraie question est ailleurs, et elle tient en une phrase : une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde, c’est une hypothèse.

Demandez donc la date du dernier test de restauration effectif, pas la fréquence des sauvegardes. La différence entre les deux réponses vous dira presque tout sur le sérieux de la prestation. Trois défaillances classiques ne se découvrent qu’à ce moment : la sauvegarde ne contient pas la base de données, elle est corrompue depuis des mois sans alerte, ou personne ne sait combien de temps prend la restauration.

Ce que vous devez détenir, quoi qu’il arrive

Cette question est indépendante de la qualité de votre relation avec votre prestataire. Elle règle ce qui se passe s’il cesse son activité, devient injoignable, ou si vous décidez de partir.

Dans les marchés publics, l’exigence porte un nom, la réversibilité, et elle fait l’objet d’un article dédié du cahier des clauses applicable, qui impose au titulaire sortant de donner accès aux matériels et logiciels et de garantir la sécurité des données lors du transfert. Rien n’oblige un contrat privé à s’aligner, mais rien n’interdit de s’en inspirer.

Cinq éléments doivent être à vous, vérifiables aujourd’hui.

Le nom de domaine, enregistré au nom de votre société et non à celui du prestataire ou d’un salarié. C’est le point le plus critique : sans lui, vous ne possédez pas votre adresse.

Le compte d’hébergement, ou à défaut un accès administrateur documenté et la certitude de pouvoir récupérer les fichiers.

Un compte administrateur du site à votre nom, que vous n’utilisez pas au quotidien mais dont vous détenez les identifiants.

Le code source, s’il existe des développements sur mesure, avec l’accès au dépôt où il est versionné.

Une copie de la sauvegarde ailleurs que chez le prestataire, ce qui rejoint la règle précédente.

Un point contractuel mérite d’être posé au moment de la signature plutôt qu’au moment du départ : la propriété de ce qui a été produit. Payer ne rend pas propriétaire des développements sur mesure sans clause de cession écrite, comme nous le détaillons dans ce qu’un prestataire lit dans un cahier des charges.

Ce que le contrat ne dit jamais

Trois zones grises reviennent, et elles se règlent en trois questions.

Le temps inclus, et son décompte. Beaucoup de contrats incluent un forfait d’heures. Rarement précisé : ce qui se décompte, si les heures non utilisées se reportent, et à quel tarif passent les heures supplémentaires. Une intervention de trente minutes facturée à l’heure entamée change le calcul.

Ce qui relève de la garantie et ce qui relève de la maintenance. Un défaut présent dès la livraison n’est pas un besoin de maintenance, c’est une non-conformité. Le cahier des clauses des marchés publics prévoit à ce titre une garantie minimale d’un an, pendant laquelle le titulaire remet en état à ses frais. Sans clause équivalente, la frontière se négocie au cas par cas, généralement en votre défaveur.

Le contenu. Modifier un texte, changer une photo, ajouter une page : est-ce inclus ? Beaucoup de litiges viennent de là, parce que le client considère ces demandes comme mineures et le prestataire comme hors périmètre. Les deux ont raison selon le contrat qu’ils ont en tête.

Ajoutons un rappel utile. Un site qui collecte des données par formulaire entre dans le champ de l’obligation de sécurité du règlement européen, qui impose des mesures techniques appropriées au risque. La négligence a un coût documenté : la CNIL a par exemple sanctionné une association de 75 000 euros après qu’une simple modification d’adresse dans le navigateur ait permis d’accéder aux pièces d’identité et bulletins de salaire de milliers de candidats. La maintenance n’est donc pas seulement une question de confort, elle participe d’une obligation.

Les trois façons de facturer, et ce qu’elles changent

Le modèle de facturation n’est pas un détail administratif : il détermine les incitations des deux parties, donc ce qui sera réellement fait.

Le forfait mensuel. Le plus répandu. Son avantage est la prévisibilité et le fait que le prestataire a intérêt à ce que le site tourne bien, puisque chaque incident lui coûte du temps sans revenu supplémentaire. Son risque est symétrique : un forfait trop bas pousse à en faire le minimum, et vous ne le verrez pas, puisque l’absence d’incident ressemble à l’absence de travail.

L’intervention à la demande. Vous payez ce que vous consommez. C’est honnête pour un site simple et peu modifié, mais l’incitation s’inverse : le prestataire est rémunéré quand quelque chose ne va pas, jamais pour l’avoir évité. Surtout, la prévention disparaît, puisque personne ne paie pour une mise à jour qui n’a rien cassé.

Le forfait d’heures. Un volume acheté d’avance, consommé au fil des besoins. C’est le modèle le plus souple et le plus source de litiges, pour trois raisons qui doivent être écrites : ce qui se décompte exactement, si les heures non consommées se reportent, et l’unité de décompte, une intervention de dix minutes facturée à l’heure entamée ne coûtant pas le même prix.

Une combinaison fréquente fonctionne bien : un forfait mensuel réduit qui couvre la surveillance, les mises à jour et les sauvegardes vérifiées, plus un tarif horaire annoncé pour les demandes d’évolution. Vous payez la prévention en récurrent et l’évolution à l’usage, ce qui aligne à peu près les intérêts.

Si le prestataire disparaît

Le cas est plus fréquent qu’on ne le croit, surtout avec les indépendants et les très petites structures : cessation d’activité, changement de métier, maladie, ou simplement un prestataire qui cesse de répondre.

Anticiper coûte une heure aujourd’hui et évite plusieurs semaines de blocage. Trois questions à régler.

Où sont les accès ? Reprenez la liste des cinq éléments ci-dessus et vérifiez que vous les détenez, réellement, en vous connectant. Un identifiant noté dans un fichier n’est pas un accès tant qu’il n’a pas été testé.

Qui pourrait reprendre ? Un site construit sur des technologies courantes se reprend par n’importe quel professionnel. Un site bâti sur un socle propriétaire, un outil développé sur mesure ou une version très ancienne se reprend difficilement, et parfois pas du tout. Cette question se pose au moment de choisir la technologie, sujet que nous traitons dans quelle techno pour votre site B2B.

Que se passe-t-il pour le domaine ? C’est le point le plus dangereux. Un nom de domaine enregistré au nom du prestataire, dont l’échéance de renouvellement tombe pendant qu’il est injoignable, peut être perdu. Sa récupération est ensuite longue, incertaine et parfois impossible si un tiers l’a repris entre-temps.

Un dernier conseil, moins technique. Demandez à votre prestataire, une fois par an, un compte rendu écrit de ce qui a été fait. Pas pour le contrôler, mais parce que ce document est ce qui permettra à son successeur de comprendre l’existant. Dans une relation qui se passe bien, personne n’y pense ; c’est précisément pour cela qu’il faut le prévoir au contrat.

Six vérifications que vous pouvez faire vous-même

Aucune ne demande de compétence technique, et toutes se font en une petite heure. Leur intérêt n’est pas de remplacer un prestataire, mais de savoir de quoi vous parlez quand vous discutez avec lui.

Le certificat de sécurité. Cliquez sur le cadenas dans la barre d’adresse et regardez sa date d’expiration. Un certificat expiré affiche un avertissement qui fait fuir tout visiteur, et cela arrive plus souvent qu’on ne l’imagine, souvent le week-end.

La version du langage. Elle se lit dans l’interface de votre hébergeur, généralement en deux clics. Comparez-la au calendrier ci-dessus. Si vous ne trouvez pas, posez la question par écrit à votre prestataire : la rapidité de la réponse est déjà un indicateur.

Les comptes administrateurs. Demandez la liste complète, avec la date de dernière connexion de chacun. Cherchez les noms que vous ne reconnaissez pas, les anciens prestataires, les personnes parties. C’est la vérification la plus rentable du lot.

Le nombre d’extensions, et leur état. Demandez combien sont installées, combien sont actives, et lesquelles n’ont pas reçu de mise à jour de leur éditeur depuis plus d’un an. Une extension abandonnée par son auteur ne sera jamais corrigée, quelle que soit la diligence de votre prestataire.

La dernière restauration testée. Pas la dernière sauvegarde : la dernière restauration réellement effectuée, avec sa date et sa durée.

Les alertes de sécurité des moteurs de recherche. Si vous avez accès à la console de votre site chez Google, elle signale les problèmes de sécurité détectés. C’est souvent par là qu’un propriétaire apprend qu’il héberge des pages qui ne sont pas les siennes.

Comment reconnaître un site qui n’est plus maintenu

Un site abandonné ne s’arrête pas, il se dégrade discrètement. Quatre signes se repèrent de l’extérieur, et ils valent aussi pour évaluer un prestataire avant de travailler avec lui : regardez les sites qu’il a livrés il y a trois ans.

Le mélange de contenus sécurisés et non sécurisés. Le cadenas disparaît sur certaines pages, généralement parce qu’une image ou un script est encore appelé sans chiffrement.

Des pages qui n’ont rien à faire là. Des adresses en apparence légitimes qui renvoient vers des contenus sans rapport, souvent dans une autre langue. C’est la signature la plus fréquente d’un site compromis servant à héberger des pages parasites.

Des formulaires qui ne mènent nulle part. Le message part, personne ne le reçoit, et personne ne s’en aperçoit puisque l’expéditeur voit une confirmation. Le test se fait en une minute, et le résultat surprend régulièrement.

Des dates figées. Une page d’actualités dont la dernière entrée date de trois ans, un pied de page qui affiche encore une année révolue. Ce n’est pas un problème technique, mais c’est ce que voit un prospect qui se demande si l’entreprise est encore en activité.

Comment lire un devis

Quatre questions suffisent à faire apparaître l’écart entre deux offres au même prix.

Que couvrez-vous exactement, et qu’est-ce qui est exclu ? La liste des exclusions est plus informative que celle des inclusions.

Les extensions sont-elles couvertes, et lesquelles ? Compte tenu de la répartition réelle des vulnérabilités, une réponse floue sur ce point vide le contrat de sa substance.

Quel est le délai d’intervention garanti, sur quelle plage horaire, et que se passe-t-il s’il n’est pas tenu ?

Que me remettez-vous si nous arrêtons demain ? La réponse à cette question, posée avant la signature, prédit assez bien la fin de la relation.

Une dernière remarque sur le prix, sans montant. Un contrat de maintenance très bon marché n’est pas suspect en soi : il couvre simplement un périmètre étroit, ce qui peut suffire à un site vitrine simple. Ce qui est problématique, c’est un contrat bon marché vendu comme une couverture complète. La clarté du périmètre importe davantage que son étendue, parce qu’elle vous permet de savoir ce que vous devez traiter par ailleurs.

Ce point n’a d’effet que replacé dans le parcours complet, du premier contact au rendez-vous, que décrit tunnel de conversion B2B.

En bref

• Le cœur du CMS n’est pas le risque. Six vulnérabilités dans le cœur de WordPress en 2025, contre 91 % dans les extensions et 9 % dans les thèmes, sur 11 334 au total.
• Mettre à jour ne suffit pas. Moins de 40 % des sites infectés étaient obsolètes, ce qui signifie que la majorité des sites piratés étaient à jour.
• Le socle technique a un calendrier public. PHP offre deux ans de support actif puis deux ans de sécurité seule ; la version 8.2 cesse d’être corrigée fin 2026. Vous pouvez vérifier votre version aujourd’hui.
• Un engagement à 99,9 % autorise près de neuf heures d’indisponibilité par an. À 99 %, plus de trois jours et demi. Le délai de rétablissement compte souvent davantage que le pourcentage.
• Une sauvegarde jamais restaurée est une hypothèse. Demandez la date du dernier test, pas la fréquence des sauvegardes. Et vérifiez qu’une copie existe hors du compte d’hébergement.
• Cinq éléments doivent être à vous : le domaine, l’hébergement, un compte administrateur, le code, et une copie de la sauvegarde. Cette question se règle à la signature, pas au départ.
• Les définitions existent et sont publiques. Corrective, évolutive, préventive, adaptative : les citer déplace la discussion du terrain commercial vers celui du périmètre.

Si vous avez un contrat en cours et que vous ne savez pas dire ce qu’il couvre, c’est le bon moment pour le relire, avant son échéance. Parlons de votre projet, ou découvrez notre approche de la création de site web B2B.