Si une faille grave sort ce soir, votre prestataire de maintenance saura-t-il dire avant demain quels sites sont touchés ? Nous avons dû répondre à cette question le 21 octobre 2026, quand le CERT-FR, le centre gouvernemental de veille et d’alerte en cybersécurité, a signalé deux failles graves dans PHP, le langage qui fait tourner WordPress. Le soir même, nous savions quels sites de notre parc étaient exposés. L’une des deux failles était neutralisée sur nos serveurs, et nos clients en maintenance avaient reçu un message. Le lendemain matin, nous avions vérifié que le correctif complet était installé sur tous nos serveurs.
Pour nous, un contrat de maintenance se juge sur ce genre de soirée. Nous travaillons sur WordPress depuis 2012 et nous suivons aujourd’hui une cinquantaine de sites. Voici ce que nous exigerions à votre place, ce que la maintenance ne couvre pas, et ce que vous devez demander avant de signer.
Maintenance et évolutions : à séparer noir sur blanc
Un contrat de maintenance réunit souvent deux choses. La maintenance préventive garde le site à jour, sauvegardé et surveillé. Les évolutions lui apportent ce que vous ne pouvez pas faire vous-même : une nouvelle fonctionnalité, un outil à brancher. Chez nous, la première est un socle toujours inclus. Les secondes se prennent sur un crédit d’heures annuel, la TMA (tierce maintenance applicative).
Si votre contrat mélange les deux, demandez où s’arrête l’une et où commence l’autre, et faites-le écrire.
Ce qu’un contrat de maintenance doit couvrir
Des mises à jour qui laissent une trace. WordPress, le thème et les extensions publient régulièrement des correctifs. Sur notre parc, une campagne de mises à jour passe chaque nuit, sept jours sur sept. Elle passe par notre outil de supervision, celui qui produit aussi le rapport mensuel envoyé à chaque client : toute mise à jour posée y figure. Nous y tenons : une mise à jour faite à la main sans laisser de trace, vous ne pouvez pas la vérifier. Demandez à voir un exemple de rapport avant de signer.
Des sauvegardes qu’on peut remettre en place. Presque tous les sites que nous maintenons sont sauvegardés chaque soir. Un nombre de sauvegardes ne vous dit rien : demandez qui sait les restaurer. L’outil doit pouvoir réécrire les fichiers du site, ce qui demande parfois d’autoriser ses adresses chez l’hébergeur. Exigez que ce soit vérifié dès la mise en place.
Une surveillance qui alerte. Le minimum est un monitoring 24/7 avec alerte en cas d’indisponibilité. Nous ajoutons un contrôle chaque matin : la liste des extensions de chaque site est comparée à celle de la veille. Une extension ajoutée, retirée ou désactivée est signalée. En plus de notre outil de supervision, un agent IA suit les failles signalées sur les extensions de nos sites.
Une réponse aux alertes de sécurité. Le 21 octobre, nous avons relevé la version de PHP de chaque site, sur chacun de nos serveurs. Notre hébergeur avait neutralisé l’une des deux failles en fin d’après-midi. Un message est parti à 18 h 56 à tous nos clients en maintenance. Le lendemain matin, nous avons contrôlé chaque serveur. Nous nous sommes d’ailleurs trompés au premier relevé : le correctif ne change pas le numéro de version de PHP. Notre contrôle ne lisait que ce numéro, et concluait donc qu’il manquait. C’est la date de compilation qui fait foi. Demandez à votre prestataire comment il s’assure qu’un correctif est bien en place.
Des licences à jour. Une extension payante ne reçoit en général ses mises à jour que si sa licence est active. Quand une mise à jour reste sans effet deux fois de suite, notre campagne la classe comme bloquée et la signale. C’est presque toujours une licence expirée. Faites écrire dans le contrat qui détient les licences et qui les renouvelle.
Ce que la maintenance ne couvre pas
Les évolutions du site. Ajouter une fonctionnalité ou brancher un outil : ce sont des heures de TMA. Le reste, vous pouvez le faire vous-même : sur un site WordPress bien construit, vous êtes autonome sur vos pages, vos contenus et une bonne partie des réglages. Rien ne vous empêche pour autant de nous le confier sur vos heures, et certains de nos clients le préfèrent. Chez nous, ces heures sont valables un an, et nous faisons le point régulièrement pour qu’elles servent.
Un serveur auquel le prestataire n’a pas accès. Pendant l’alerte PHP, nous avons vérifié tous les sites hébergés sur nos serveurs. Pour les quelques sites hébergés par leur propriétaire ou par un autre prestataire, la version de PHP dépend de cet hébergeur. Nous ne pouvions ni la lire ni la corriger nous-mêmes. Si votre site n’est pas hébergé par votre prestataire de maintenance, faites écrire dans le contrat qui surveille le serveur.
L’absence totale de panne. Nous ne vous la promettrons pas, et voici ce qui nous est arrivé. Le 10 octobre 2026, la mise à jour nocturne d’une extension de sécurité a abîmé un fichier de configuration du serveur sur un site du parc. Le site a répondu en erreur jusqu’à la fin de la matinée. Notre campagne avait détecté l’échec, mais elle l’a rangé dans son compte rendu du matin au lieu de déclencher une alerte. Le retour arrière automatique ne pouvait rien : il ne restaure que les fichiers de l’extension. Même sur un parc surveillé, une panne peut nous échapper.
Méfiez-vous donc d’un contrat qui promet zéro panne. Demandez plutôt comment une panne est détectée et qui remet le site en état.
Les questions à poser avant de signer
Posez-les telles quelles, et demandez les réponses par écrit.
- Qui pose les mises à jour, à quelle fréquence, et où sont-elles consignées ?
- À quelle fréquence le site est-il sauvegardé, et la restauration a-t-elle déjà été testée ?
- Que se passe-t-il quand une mise à jour échoue, et qui est prévenu ?
- Qui détient et renouvelle les licences des extensions payantes ?
- Qui surveille le serveur, si le site n’est pas hébergé par le prestataire ?
- Qu’est-ce qui relève de la maintenance, et qu’est-ce qui se compte en heures ?
Et pour votre site ?
Notre page Maintenance WordPress décrit le socle inclus et nos formules de crédit d’heures. Si votre site a été créé par une autre agence, nous commençons par un audit WordPress, pour savoir dans quel état il est et ce que nous pouvons prendre en charge.