Un site web n'est pas un document imprimé. Le CMS qui le fait tourner, les extensions, le langage du serveur et les navigateurs évoluent tous les mois. Un contrat de maintenance site web est l'engagement d'un prestataire à suivre ces évolutions pour vous : mises à jour, sauvegardes, surveillance, dépannage et, selon les formules, suivi technique du référencement.
Cet article décrit ce qu'un tel contrat couvre réellement, ce qu'il ne couvre pas, et les critères pour lire une offre avant de signer. Les chiffres cités sont datés et sourcés.
Ce que couvre un contrat de maintenance
Les offres du marché regroupent quatre volets, rarement tous présents au même niveau. Le tableau ci-dessous sert de grille de lecture.
| Volet | Contenu habituel | Question à poser |
|---|---|---|
| Mises à jour | Cœur du CMS, extensions, thème, version PHP | Sous quel délai après un correctif de sécurité ? Test sur une copie avant production ? |
| Sauvegardes | Fichiers et base de données, stockage hors serveur, rétention | À quelle fréquence, où, et quand la restauration a-t-elle été testée ? |
| Sécurité et surveillance | Pare-feu applicatif, limitation des connexions, double authentification, contrôle de disponibilité | Qui reçoit les alertes, la nuit et le week-end ? |
| Dépannage et suivi | Incidents, petites évolutions, rapport périodique, parfois suivi technique SEO | Quel délai selon la gravité, et qu'est-ce qui est facturé en plus ? |
La maintenance n'est pas la refonte. Si votre site repose sur un thème abandonné ou une structure obsolète, aucun contrat mensuel ne le remettra à niveau : une refonte WordPress précède alors la maintenance.
Pourquoi un site WordPress ne peut pas rester figé
WordPress publie une version majeure tous les quatre mois environ, d'après le cycle de publication documenté par le projet (make.wordpress.org). Entre deux, des versions correctives s'ajoutent. L'archive officielle (wordpress.org/download/releases, consultée le 10 septembre 2026) montre le rythme : WordPress 7.0, sorti le 20 mai 2026, a reçu quatre versions correctives avant la 7.1 du 19 août 2026, et la branche 6.9 en a reçu sept depuis décembre 2025.
Selon les statistiques de WordPress.org (wordpress.org/about/stats, relevé du 10 septembre 2026, calculé sur les sites qui contactent les serveurs de mise à jour), 53,1 % des sites tournent sur la version 7.1, 14,9 % sur la 7.0, et environ 32 % sur une version antérieure à 7.0. La politique officielle est claire : seule la dernière version est prise en charge ; les correctifs de sécurité sont reportés sur les anciennes branches « à titre de courtoisie » (wordpress.org/about/security).
Le langage du serveur suit la même logique. PHP.net indique que la branche 8.2 ne reçoit plus que des correctifs de sécurité jusqu'au 31 décembre 2026, la 8.3 jusqu'au 31 décembre 2027, et que les branches 8.4 et 8.5 sont en support actif (php.net, septembre 2026). Or, selon les mêmes statistiques WordPress.org, 17 % des sites utilisent encore PHP 7.4 et environ 38 % une version de PHP sans aucun correctif (8.1 ou antérieure). Un contrat sérieux inclut la migration PHP, avec test préalable, car un changement de branche peut casser une extension ancienne.
Le risque vient surtout des extensions
Le cœur de WordPress est peu concerné par les failles. Le rapport State of WordPress Security in 2026 de Patchstack (patchstack.com, périmètre : vulnérabilités publiées dans l'écosystème WordPress en 2025) recense 11 334 nouvelles vulnérabilités en 2025, en hausse de 42 % sur 2024. 91 % concernent des extensions, 9 % des thèmes, et seulement 6 le cœur de WordPress, à faible priorité. Deux chiffres intéressent directement un contrat de maintenance : 46 % des vulnérabilités n'avaient pas reçu de correctif de l'éditeur au moment de leur publication, et 17 % présentaient un risque élevé d'exploitation automatisée à grande échelle.
En pratique, mettre à jour ne suffit pas quand aucun correctif n'existe. Le prestataire doit aussi surveiller les avis de sécurité, retirer ou remplacer une extension abandonnée, et disposer d'un pare-feu applicatif capable de bloquer un schéma d'attaque connu avant le correctif. C'est la différence entre cliquer sur « Mettre à jour » une fois par mois et une maintenance.
Le contexte national va dans le même sens. Dans son Panorama de la cybermenace 2025 (ANSSI, mars 2026, périmètre : incidents portés à la connaissance de l'agence), les PME, TPE et ETI représentent 48 % des victimes d'attaques par rançongiciel recensées, contre 37 % en 2024. Le même document cite des compromissions de sites internet « via une compromission de compte administrateur et l'exploitation de vulnérabilités », menant à des défigurations. Cybermalveillance.gouv.fr indique dans son rapport d'activité 2025 (publié le 26 mars 2026, périmètre : demandes d'assistance reçues par la plateforme) que le piratage de compte en ligne est la première menace touchant les professionnels, en hausse de 45 %. Un compte administrateur WordPress sans double authentification en fait partie.
Sauvegardes : les trois questions qui comptent
Beaucoup de sites disposent d'une sauvegarde. Peu ont vérifié qu'elle se restaure. Trois points à exiger :
- Où sont les copies ? Une sauvegarde stockée sur le même serveur que le site disparaît avec lui. La règle « 3-2-1 » (trois copies, deux supports, une copie hors site) reste une bonne référence.
- Quelle perte de données acceptez-vous ? Un site vitrine peu modifié tolère une sauvegarde hebdomadaire. Une boutique qui enregistre des commandes chaque jour a besoin d'une sauvegarde quotidienne.
- En combien de temps le site revient-il ? Le contrat doit préciser un délai de restauration et le tester au moins une fois par an. Une restauration jamais testée est une hypothèse, pas une garantie.
L'hébergement pèse sur ces trois réponses : certains hébergeurs incluent des sauvegardes journalières externalisées, d'autres non. Les critères sont détaillés dans comment choisir un hébergeur web.
Dépannage : lire les délais d'intervention
Les offres présentent des délais par niveau de gravité. Ce qui compte, c'est la définition de chaque niveau et le calendrier (jours ouvrés ou 7 jours sur 7).
| Niveau | Situation | Délai de prise en charge courant |
|---|---|---|
| Critique | Site inaccessible, paiement bloqué, site compromis | Quelques heures, week-end compris si le contrat le prévoit |
| Majeur | Fonction cassée (formulaire, panier, connexion) avec contournement | Sous un jour ouvré |
| Mineur | Correction visuelle, conseil, petite évolution | Quelques jours ouvrés, planifié |
Vérifiez aussi ce qui sort du périmètre. Le nettoyage d'un site compromis avant la signature, une compromission liée à un mot de passe partagé par le client, ou une évolution fonctionnelle sont souvent facturés au temps passé ; cela doit être écrit. Si votre site présente déjà des signes de piratage, la remise en état est un chantier distinct, décrit sur la page site WordPress piraté.
Ce que j'ai observé sur les sites suivis
Le volet « suivi technique » est le plus sous-estimé, parce que ses effets sont lents et invisibles. Un exemple que j'ai traité : un site qui avait généré 7 730 pages, dont 392 seulement indexées par Google au moment du diagnostic. Le site n'était pas en panne, il était ignoré. Le travail a consisté à identifier les pages sans contenu réel, à fusionner les doublons et à supprimer l'inutile. Six mois plus tard, un peu plus de 2 100 pages étaient indexées. Rien de cela ne relève du dépannage, tout relève d'un suivi régulier : crawl mensuel et contrôle de l'indexation.
Autre cas : un vendeur de costumes dont les visiteurs cherchaient « quelle cravate avec un costume bleu ». Ces questions ont donné des contenus courts reliés aux fiches produits. Ce volet éditorial n'est pas de la maintenance au sens strict ; certains contrats l'intègrent, d'autres non.
Lire le contrat avant de signer
Au-delà des prestations, quelques clauses déterminent votre autonomie.
- Propriété des accès. Nom de domaine, hébergement et compte administrateur restent à votre nom. Le prestataire dispose d'accès, il n'en est pas propriétaire.
- Réversibilité. En fin de contrat, vous récupérez une sauvegarde complète, la documentation et la liste des accès.
- Durée et préavis. Un engagement de douze mois est courant ; un préavis d'un mois est raisonnable. Vérifiez les conditions de changement de formule.
- Périmètre exact. Heures incluses, extensions payantes et licences prises en charge ou non, ce qui bascule au temps passé.
- Rapport. Un compte rendu périodique (mises à jour réalisées, incidents, sauvegardes vérifiées) prouve que le travail est fait. Sans rapport, vous payez une promesse.
- Assurance. Demandez l'attestation de responsabilité civile professionnelle et ce qu'elle couvre.
Une formule qui « garantit » l'absence de piratage ou un classement Google doit vous alerter : un prestataire s'engage sur des actions et des délais, pas sur l'absence d'incident ni sur un moteur de recherche.
Combien coûte une maintenance et comment décider
Le prix dépend de trois variables : la fréquence des sauvegardes et des contrôles, l'étendue du dépannage (jours ouvrés ou 7 jours sur 7), et la présence d'un suivi éditorial et SEO. Dans les formules que j'ai pratiquées, l'écart entre une offre pour site vitrine et une offre pour boutique avec suivi SEO va de un à trois. Comparer deux devis n'a de sens qu'à périmètre égal.
Pour décider, partez de ce que coûte une journée d'indisponibilité et du temps que vous pouvez consacrer vous-même aux mises à jour. Un site vitrine simple peut être suivi en interne si quelqu'un s'en charge réellement chaque mois. Une boutique, un site qui génère des demandes de devis ou un site que personne ne surveille depuis un an relèvent d'un contrat. Entre les deux, un audit technique ponctuel mesure l'état réel du site avant de choisir.
Questions fréquentes
Que comprend un contrat de maintenance de site web ?
Il regroupe généralement les mises à jour du CMS, des extensions et de la version PHP, des sauvegardes externalisées, une surveillance de sécurité et de disponibilité, et un dépannage avec des délais définis par niveau de gravité. Certaines formules ajoutent un suivi technique du référencement et des contenus. Le périmètre exact varie d'un prestataire à l'autre et doit être écrit dans le contrat.
À quelle fréquence faut-il mettre à jour un site WordPress ?
WordPress publie une version majeure tous les quatre mois environ et des versions correctives entre deux, parfois plusieurs par mois. Les correctifs de sécurité des extensions sortent en continu. Un contrôle au moins mensuel, avec application rapide des correctifs de sécurité, est un minimum ; les versions majeures se testent sur une copie du site avant mise en production.
Puis-je assurer la maintenance de mon site moi-même ?
Oui pour un site vitrine simple, à condition de le faire réellement chaque mois : mises à jour, vérification des sauvegardes, contrôle des accès. Le risque n'est pas technique, il est organisationnel : le site que personne ne regarde pendant un an. Pour une boutique ou un site qui génère des contacts, un contrat apporte des délais d'intervention et une responsabilité claire.
Une sauvegarde hebdomadaire suffit-elle ?
Pour un site vitrine peu modifié, une sauvegarde hebdomadaire stockée hors du serveur est acceptable. Pour une boutique ou un site avec des inscriptions quotidiennes, une sauvegarde quotidienne est nécessaire. Dans tous les cas, ce qui compte est la restauration : elle doit avoir été testée et son délai doit être précisé dans le contrat.
Que se passe-t-il si mon site est piraté malgré le contrat ?
Un contrat sérieux prévoit le nettoyage et la restauration du site depuis une sauvegarde saine, sans facturation supplémentaire si l'incident survient dans le périmètre suivi. Les exclusions habituelles concernent une compromission antérieure au contrat ou un mot de passe divulgué côté client. Aucun prestataire ne peut garantir l'absence totale d'incident.
Quelle durée d'engagement est raisonnable ?
Un engagement de douze mois est courant, car la maintenance produit ses effets sur la durée. Un préavis d'un mois et une clause de réversibilité, avec remise des sauvegardes, des accès et de la documentation, protègent le client. Vérifiez que le nom de domaine, l'hébergement et le compte administrateur restent à votre nom.