Les points essentiels pour choisir ou auditer un contrat de maintenance.
- Selon Cybermalveillance.gouv.fr, une grande majorité des attaques exploite des failles déjà corrigées mais non appliquées.
- Le contrat doit détailler le périmètre des mises à jour : CMS, extensions, thème, serveur.
- Exigez des sauvegardes selon la règle 3-2-1 recommandée par l'ANSSI et la CNIL, avec tests de restauration.
- Vérifiez la supervision, les délais par niveau de gravité et le rapport mensuel.
- La réversibilité (accès, sauvegarde complète, documentation) doit être écrite.
- Formules TAWSA à partir de 49 € HT/mois, préavis de 30 jours.
01 — Les risquesSite internet non maintenu : ce qui se passe réellement
Un site internet n'est pas un document imprimé que l'on livre une fois pour toutes. C'est un logiciel, composé d'un système de gestion de contenu (CMS) comme WordPress, Joomla ou Drupal, d'extensions, d'un thème, d'un serveur et d'une base de données. Chacun de ces éléments reçoit régulièrement des correctifs de sécurité. Lorsque personne ne les applique, le site devient progressivement vulnérable, sans que rien ne change en apparence.
Le dispositif national Cybermalveillance.gouv.fr rappelle qu'une grande majorité des attaques repose sur l'exploitation de failles de sécurité, alors que les correctifs existent mais ne sont pas toujours appliqués à temps. Il souligne aussi que les extensions peuvent ouvrir une brèche lorsqu'elles sont obsolètes, non mises à jour ou insuffisamment sécurisées. La documentation officielle de WordPress ajoute un point important : une fois une faille corrigée, les informations permettant de l'exploiter sont presque toujours publiques, ce qui rend les anciennes versions d'autant plus exposées.
Les conséquences citées par Cybermalveillance.gouv.fr sont concrètes : défiguration du site, déni de service, vol de données personnelles ou bancaires des internautes, atteinte à l'image et pertes directes de revenus. Pour une TPE ou une PME dont le site génère des contacts ou des ventes, ce n'est pas un risque théorique.
Un site qui s'affiche correctement n'est pas pour autant à jour. Les failles exploitées ne se voient pas en surface : seul un inventaire des versions installées permet de savoir où vous en êtes.
02 — Mises à jourMaintenance site internet : le socle des mises à jour
Le premier engagement d'un contrat de maintenance de site web, c'est l'application des mises à jour. L'ANSSI, dans sa fiche « Mise en œuvre sécurisée d'un CMS », recommande de limiter au strict nécessaire les extensions et les thèmes, et de n'utiliser que des composants activement maintenus. Cybermalveillance.gouv.fr conseille d'appliquer les mises à jour de sécurité dès leur disponibilité, sur le CMS, la base de données, les modules et les extensions.
Un bon contrat précise :
- le périmètre : cœur du CMS, extensions, thème, et selon les cas version de PHP et système du serveur ;
- la fréquence : correctifs de sécurité appliqués rapidement, mises à jour fonctionnelles regroupées et planifiées ;
- la méthode : sauvegarde avant chaque intervention, test sur une copie du site quand la mise à jour est importante, retour arrière prévu en cas d'incident ;
- le ménage : suppression des extensions inutilisées et remplacement de celles qui ne sont plus maintenues ;
- les limites : ce qui se passe si une extension payante n'est plus compatible, ou si une mise à jour majeure demande une refonte.
03 — SauvegardesContrat de maintenance site web : exiger une vraie politique de sauvegarde
Une sauvegarde que personne n'a jamais restaurée n'est qu'une hypothèse. Les recommandations officielles convergent sur la règle dite « 3-2-1 ». Dans son guide « Sauvegarde des systèmes d'information : les fondamentaux », l'ANSSI recommande trois copies distinctes des données (les données en production et deux sauvegardes), stockées sur des supports différents, dont une hors ligne. La CNIL, dans sa fiche « Sécurité : sauvegarder », présente cette règle comme l'état de l'art et recommande de stocker au moins une sauvegarde sur un site géographiquement distinct du site d'exploitation.
Les deux organismes insistent sur un point souvent négligé : tester régulièrement la restauration. Cybermalveillance.gouv.fr explique dans sa fiche sur les sauvegardes qu'une sauvegarde restée connectée lors d'une infection peut être endommagée par le même programme malveillant, d'où l'intérêt de la déconnecter.
Pour un site internet, l'ANSSI précise qu'il faut sauvegarder à la fois le contenu et la configuration du CMS, par exemple l'export de la base de données et les fichiers de configuration. Dans votre contrat, vérifiez la fréquence des sauvegardes, leur durée de conservation, leur lieu de stockage, et la fréquence des tests de restauration.
04 — Supervision et sécuritéMaintenance site internet : surveiller plutôt que constater
Sans supervision, on découvre une panne lorsqu'un client la signale. Un contrat sérieux prévoit une surveillance continue de la disponibilité du site, de la validité du certificat HTTPS et de l'espace disque, avec alerte du prestataire en cas d'anomalie.
Côté sécurité, les recommandations publiques donnent une base claire. Cybermalveillance.gouv.fr conseille d'activer la double authentification lorsque c'est possible, de privilégier des comptes individuels plutôt que des comptes génériques, en particulier pour les administrateurs, et de surveiller l'activité du site : publications, connexions à l'administration, dépôts de fichiers. L'ANSSI recommande l'authentification multifacteur pour les administrateurs du site, la désactivation de l'utilisateur par défaut du CMS, ainsi que la collecte et l'analyse des journaux du CMS avec alerte.
Ces mesures ne relèvent pas de la cybersécurité avancée : ce sont des fondamentaux. Si votre activité exige davantage (audit, tests d'intrusion, durcissement serveur), cela relève d'une prestation de cybersécurité à part entière. Pour aller plus loin sur ce sujet, consultez notre article sur la sécurisation d'un site internet.
05 — Clauses de serviceContrat de maintenance site web : délais, réversibilité et rapport
Les délais d'intervention
Le contrat doit distinguer les niveaux de gravité : site inaccessible ou piraté, fonction importante en panne (formulaire, paiement), simple demande de modification. Pour chacun, il indique un délai de prise en charge, les jours et heures couverts, et le canal de signalement. Méfiez-vous des formulations vagues comme « dans les meilleurs délais » : elles ne permettent aucune vérification.
La réversibilité
Vous devez pouvoir changer de prestataire sans perdre votre site. Le contrat doit prévoir la remise des accès (hébergement, nom de domaine, administration du CMS), d'une sauvegarde complète et de la documentation. Le nom de domaine et l'hébergement devraient idéalement être enregistrés à votre nom. Si le prestataire traite des données personnelles pour votre compte, l'article 28 du RGPD impose en outre qu'en fin de prestation il supprime les données ou vous les renvoie, selon votre choix.
Le rapport mensuel
Le rapport est la preuve que le travail a été fait. Il liste les mises à jour appliquées, les sauvegardes réalisées et testées, les incidents détectés et traités, la disponibilité constatée, et les recommandations pour la période suivante. Sans rapport, vous payez un abonnement sans savoir ce qu'il couvre.
La durée et le préavis
Vérifiez la durée d'engagement, les conditions de résiliation et le préavis. Un engagement long sans possibilité de sortie vous rend dépendant du prestataire, même si la qualité de service baisse.
06 — Infogérance du parcInfogérance PME : au-delà du site internet
Le site n'est qu'une partie de votre informatique. L'infogérance consiste à confier à un prestataire tout ou partie de la gestion du parc : postes de travail, messagerie, comptes utilisateurs, sauvegardes, réseau. Pour une PME sans service informatique interne, c'est souvent la manière la plus simple d'obtenir un niveau de sécurité correct.
Le guide d'hygiène informatique de l'ANSSI propose 42 mesures qui forment un socle minimum de sécurité. Un contrat d'infogérance sérieux devrait s'en inspirer et couvrir au minimum :
- les postes de travail : inventaire, mises à jour du système et des logiciels, antivirus, chiffrement des portables ;
- la messagerie : gestion des comptes, double authentification, filtrage des messages indésirables ;
- les comptes et accès : création et suppression à l'arrivée et au départ des collaborateurs, comptes nominatifs, droits limités au nécessaire ;
- les sauvegardes : postes, serveurs et services en ligne, selon la règle 3-2-1, avec tests de restauration ;
- l'assistance utilisateurs : un canal clair et des délais de réponse définis.
Les sauvegardes des outils en ligne (messagerie, stockage partagé) ne vont pas de soi. Vérifiez ce que l'éditeur conserve réellement et pendant combien de temps, et si une copie indépendante doit être ajoutée au contrat.
07 — Comparer les offresPrix maintenance site : comparer à périmètre égal
Deux offres au même prix peuvent couvrir des services très différents, et une offre moins chère peut exclure ce qui compte le plus. Pour comparer, ramenez chaque proposition à la même grille.
| Critère | Question à poser | Réponse insuffisante |
|---|---|---|
| Mises à jour | Quels composants, à quelle fréquence, avec quelle sauvegarde préalable ? | « Mises à jour régulières » sans détail |
| Sauvegardes | Combien de copies, où, conservées combien de temps, testées quand ? | Sauvegarde sur le même serveur que le site |
| Supervision | Qu'est-ce qui est surveillé, et qui est alerté ? | Aucune surveillance automatique |
| Sécurité | Double authentification, comptes nominatifs, journaux ? | Un compte administrateur partagé |
| Délais | Quel délai de prise en charge selon la gravité ? | « Dans les meilleurs délais » |
| Réversibilité | Que récupérez-vous en partant, et sous quel délai ? | Rien de prévu au contrat |
| Rapport | Un rapport périodique est-il fourni ? | Pas de compte rendu |
Pour information, voici nos formules de maintenance et d'infogérance, détaillées sur la page du service :
| Formule TAWSA | Tarif mensuel |
|---|---|
| Site Web | à partir de 49 € HT/mois |
| Entreprise | à partir de 149 € HT/mois |
| Infogérance | à partir de 390 € HT/mois |
Nos contrats sont résiliables avec un préavis de 30 jours. Si vous comparez plusieurs offres, utilisez la grille ci-dessus avec la nôtre comme avec les autres. Une maintenance régulière contribue aussi à la santé technique du site, un sujet que nous abordons dans notre article sur l'optimisation SEO régulière.
08 — ChecklistContrat de maintenance site internet : les clauses à vérifier
Avant de signer, ou pour auditer le contrat que vous avez déjà, passez en revue les points suivants.
- Le périmètre des mises à jour est-il détaillé (CMS, extensions, thème, serveur) ?
- Une sauvegarde est-elle réalisée avant chaque mise à jour importante ?
- Les sauvegardes respectent-elles la règle 3-2-1, avec au moins une copie hors ligne ou hors site ?
- La fréquence des tests de restauration est-elle écrite ?
- La disponibilité du site et le certificat HTTPS sont-ils surveillés automatiquement ?
- Les comptes administrateurs sont-ils nominatifs et protégés par une double authentification ?
- Les délais de prise en charge sont-ils définis par niveau de gravité ?
- Le nom de domaine et l'hébergement sont-ils à votre nom ?
- La réversibilité est-elle prévue : accès, sauvegarde complète, documentation ?
- Un rapport périodique est-il fourni, et que contient-il ?
- Un contrat de sous-traitance conforme à l'article 28 du RGPD est-il signé si des données personnelles sont traitées ?
- La durée d'engagement et le préavis de résiliation sont-ils raisonnables ?
Si plusieurs réponses sont négatives ou floues, il est temps de revoir votre contrat. Nous pouvons faire ce point avec vous : prenez rendez-vous ou adressez-nous une demande de devis. Si votre site repose sur une application développée pour vous, lisez aussi notre article application sur mesure ou SaaS.
FAQ — Questions fréquentesContrat de maintenance de site internet : vos questions
Un site vitrine a-t-il vraiment besoin de maintenance ?
Oui, dès lors qu'il repose sur un CMS ou des extensions. Ces composants reçoivent des correctifs de sécurité et, une fois une faille corrigée, les moyens de l'exploiter sont généralement publics. Un site vitrine peut être défiguré ou servir de relais à des attaques, même sans paiement en ligne.
Qu'est-ce que la règle de sauvegarde 3-2-1 ?
C'est la règle recommandée par l'ANSSI et la CNIL : trois copies des données, dont les données en production, sur deux supports différents, dont une copie hors ligne. La CNIL recommande aussi de conserver au moins une sauvegarde sur un site géographiquement distinct, et de tester régulièrement la restauration.
Quelle différence entre maintenance de site et infogérance ?
La maintenance de site couvre le site internet : mises à jour, sauvegardes, supervision et corrections. L'infogérance s'étend au reste de l'informatique de l'entreprise : postes de travail, messagerie, comptes utilisateurs, sauvegardes et assistance aux utilisateurs.
Combien coûte la maintenance d'un site internet ?
Les tarifs varient fortement selon le périmètre couvert, d'où l'importance de comparer les offres sur la même grille. Chez TAWSA, les formules démarrent à 49 € HT par mois pour un site, 149 € HT pour la formule Entreprise et 390 € HT pour l'infogérance, avec un préavis de 30 jours.
Que se passe-t-il si je change de prestataire ?
Si le contrat prévoit la réversibilité, le prestataire vous remet les accès, une sauvegarde complète et la documentation. Sans clause écrite, la transition peut être difficile. Veillez aussi à ce que le nom de domaine et l'hébergement soient enregistrés à votre nom.
- Cybermalveillance.gouv.fr Comment sécuriser son site Internet ? — Exploitation de failles non corrigées dans une grande majorité des attaques, mises à jour, extensions, sauvegardes, double authentification, surveillance de l'activité.
- ANSSI Les essentiels : mise en œuvre sécurisée d'un CMS (v1.1) — Dix bonnes pratiques : extensions limitées et maintenues, authentification multifacteur, sauvegarde du contenu et de la configuration, journalisation.
- WordPress Hardening WordPress — Mise à jour du cœur et des extensions, publicité des failles corrigées, sauvegardes régulières incluant la base de données.
- ANSSI Sauvegarde des systèmes d'information : les fondamentaux (ANSSI-BP-100) — Recommandation de la règle 3-2-1 avec une copie hors ligne, tests réguliers des sauvegardes et procédure de restauration.
- CNIL Sécurité : sauvegarder — Règle 3-2-1 présentée comme l'état de l'art, sauvegarde sur un site géographiquement distinct, tests de restauration.
- Cybermalveillance.gouv.fr Pourquoi et comment bien gérer ses sauvegardes ? — Copie dans un lieu distinct, déconnexion du support face aux rançongiciels, vérification de la restauration.
- ANSSI Guide d'hygiène informatique — 42 mesures formant un socle minimum de sécurité pour le système d'information d'une organisation.
- CNIL RGPD, article 28 : le sous-traitant — Contrat obligatoire avec le sous-traitant et suppression ou renvoi des données en fin de prestation.