La maintenance d’un site web regroupe quatre familles de tâches récurrentes : la sécurité (mises à jour et correctifs), les sauvegardes, la performance et le contenu. Sur un devis, elle se vend soit au forfait, souvent présenté comme « illimité », soit à la carte, au temps passé : le bon choix dépend de ce que le contrat définit par écrit, pas du mot « maintenance ». Voici ce qu’elle doit couvrir, ce qui arrive quand elle manque, et comment lire chaque ligne d’un devis avant de signer.
Pourquoi la maintenance n’est pas optionnelle
La maintenance d’un site web, personne n’aime y penser. C’est invisible, c’est récurrent, c’est une charge mentale, et c’est aussi un budget. C’est pourtant elle qui décide si ton site reste un outil commercial ou devient un risque.
La maintenance d’un site web désigne l’ensemble des opérations récurrentes qui le gardent sûr, rapide et à jour. L’ANSSI en fait une règle de base : la mesure 34 de son guide d’hygiène informatique, qui en compte 42, demande d’appliquer les correctifs de sécurité sur l’ensemble des composants dans le mois qui suit leur publication par l’éditeur (source : ANSSI, Guide d’hygiène informatique, 2017).
La raison est simple. Selon Cybermalveillance.gouv.fr, une grande majorité d’attaques de sites Internet est rendue possible par l’exploitation de failles de sécurité (source : Cybermalveillance.gouv.fr, Comment sécuriser son site Internet ?). Et WordPress le dit lui-même : ses anciennes versions ne reçoivent plus de mises à jour de sécurité (source : WordPress, Hardening WordPress). Quand un correctif est publié, la faille qu’il corrige devient publique : tant qu’il n’est pas appliqué, ton site est exposé.
Les 4 familles de tâches qui composent une vraie maintenance
1. La sécurité
C’est le socle non négociable. Concrètement :
- mises à jour du CMS (WordPress), des extensions, des thèmes, ou des dépendances pour les sites sur mesure ;
- application des correctifs de sécurité dès leur publication, et au plus tard dans le mois comme le demande l’ANSSI ;
- renouvellement des certificats SSL ;
- surveillance de l’activité du site et des tentatives d’intrusion dans les journaux ;
- suppression des extensions inutilisées, comme le recommande la documentation de WordPress.
Cybermalveillance.gouv.fr liste 10 bonnes pratiques pour sécuriser un site, dont l’installation des mises à jour du CMS et des extensions dès qu’elles sont disponibles (source : Cybermalveillance.gouv.fr).
Attention à une idée reçue : les mises à jour automatiques de WordPress ne font pas tout. Introduites avec la version 3.7, elles ne couvrent par défaut, sur un site existant, que les versions mineures du cœur (les installations créées depuis WordPress 5.6 reçoivent aussi les versions majeures). Les extensions et les thèmes, eux, ne se mettent à jour seuls que dans des cas particuliers (source : WordPress, Upgrading WordPress). Quelqu’un doit donc s’en charger, et tester le site après chaque passage. La méthode est détaillée dans notre guide pour mettre à jour WordPress sans rien casser.
2. Les sauvegardes
Une sauvegarde non testée n’est pas une sauvegarde. Le minimum sérieux :
- des sauvegardes automatiques et régulières du site, de sa configuration et de sa base de données, comme le recommande Cybermalveillance.gouv.fr ;
- une fréquence et une durée de conservation écrites noir sur blanc dans le contrat ;
- des copies externalisées (pas seulement chez l’hébergeur, sinon le jour où il tombe tout part avec), stockées sur des équipements déconnectés comme le recommande l’ANSSI (source : ANSSI, Guide d’hygiène informatique) ;
- des tests de restauration : la mesure 37 du même guide demande des procédures de test de restauration et, au niveau renforcé, au moins un exercice de restauration par an.
3. La performance
Un site rapide à la livraison ne le reste pas tout seul. Il faut surveiller en continu :
- Les Core Web Vitals désignent les trois indicateurs d’expérience utilisateur mesurés par Google, dont les seuils jugés bons sont 2,5 secondes pour le LCP, 200 millisecondes pour l’INP et 0,1 pour le CLS (source : Google Search Central, page mise à jour le 10 décembre 2025) ;
- l’optimisation des images au fil des ajouts de contenu ;
- le nettoyage de la base de données ;
- le suivi du temps de réponse du serveur.
4. Le contenu
Mise à jour des textes, ajout de nouveaux projets, correction des erreurs, adaptation aux évolutions de ton activité. Cela inclut les pages légales : la CNIL demande d’informer les visiteurs sur l’usage de leurs données par une page « vie privée » accessible, compréhensible et tenue à jour (source : CNIL, RGPD en pratique : communiquer en ligne). Sans cette couche, ton site cesse de refléter ce que tu fais vraiment.
Ce qui se passe quand tu ignores la maintenance
Quatre scénarios reviennent, et aucun ne prévient.
Scénario 1 : le site se fait pirater. Injection de spam, redirection vers des sites douteux, défiguration de la page d’accueil. Il faut alors corriger les failles et changer tous les mots de passe avant de remettre le site en ligne (source : Cybermalveillance.gouv.fr, Défiguration de site Internet, que faire ?). Si des données personnelles sont touchées avec un risque pour les personnes, la violation doit être notifiée à la CNIL dans les meilleurs délais, avec une notification initiale dans les 72 heures si possible (source : CNIL, Notifier une violation de données personnelles). La marche à suivre complète est dans notre article site WordPress piraté : détecter, nettoyer, sécuriser.
Scénario 2 : le site devient lent. Les Core Web Vitals se dégradent. Or Google indique que ces indicateurs, avec d’autres aspects de l’expérience de page, correspondent à ce que ses systèmes de classement cherchent à récompenser (source : Google Search Central). L’effet se voit aussi sur les ventes : dans un test A/B publié sur web.dev, la version d’une page Vodafone dont le LCP était meilleur de 31 % a généré 8 % de ventes en plus (source : web.dev, étude de cas Vodafone, 2021).
Scénario 3 : incompatibilité technique. L’hébergeur fait évoluer PHP, une extension obsolète ne suit pas, le site renvoie une erreur 500 et il faut tout reprendre. Rester sur une vieille version n’est pas une solution : WordPress recommande PHP 8.3 ou plus, et prévient que les versions arrivées en fin de vie, comme PHP 7.4, peuvent exposer le site à des failles (source : WordPress, Requirements).
Scénario 4 : le contenu devient daté. Anciennes offres, prix obsolètes, mentions légales et page vie privée qui ne correspondent plus aux traitements réels (source : CNIL). Le site cesse de jouer son rôle commercial.
Forfait « illimité » ou à la carte : les deux façons de facturer la maintenance
Il existe deux grands modèles, et un même devis peut mélanger les deux.
Le modèle à la carte (régie)
La régie désigne une facturation au temps réellement passé. Le TJM (taux journalier moyen) désigne le prix d’une journée de travail d’un intervenant. Dans ce modèle, chaque demande (changer une photo, ajouter une section, corriger un bug) est facturée à l’heure ou à la demi-journée.
Tu ne paies que ce que tu demandes. En contrepartie, la facture suit ton volume de demandes, et les mises à jour de sécurité, si elles ne sont pas prévues au contrat, ne sont faites que lorsque tu les commandes.
Pour savoir ce que ce modèle te coûte vraiment, fais le calcul avec les chiffres de ton propre devis :
Coût annuel à la carte = demandes par mois × temps facturé par demande × taux horaire × 12, plus l’hébergement et les interventions de sécurité facturées à part.
Compare ce total au forfait mensuel multiplié par 12, puis refais-le sur 3 ans : c’est l’horizon qui permet de mesurer le vrai coût d’un site par abonnement.
Le forfait (maintenance incluse)
Tu paies un montant fixe chaque mois, et les modifications « courantes » sont absorbées sans facture supplémentaire. Le budget est prévisible, le prestataire n’a aucun intérêt à faire durer une intervention puisqu’il n’est pas payé au temps, et les mises à jour de sécurité sont faites parce qu’elles figurent au contrat.
Mais « illimité » ne veut rien dire tant que le contrat ne le définit pas. Vérifie trois points :
- ce qu’est une « modification courante » (changer un texte : oui ; créer une nouvelle fonctionnalité : en général non) ;
- s’il existe un volume d’heures inclus, et ce qui se passe au-delà ;
- à qui appartient le site si tu résilies : code, nom de domaine, contenus.
Ce dernier point distingue un vrai abonnement de service d’une location déguisée. Posséder le code suppose une cession écrite des droits patrimoniaux, qui liste les droits cédés et précise leur étendue, leur durée et le territoire couvert (source : Service Public Entreprendre, Contrat de cession de droits d’auteur).
| Critère | À la carte (régie) | Forfait (maintenance incluse) |
|---|---|---|
| Budget | Variable, suit le nombre de demandes | Fixe chaque mois |
| Mises à jour de sécurité | Faites si elles sont commandées ou prévues au contrat | Incluses si le contrat les cite |
| Point à vérifier | Taux horaire ou TJM écrit au contrat | Définition de « modification courante » et volume inclus |
| Profil adapté | Site qui change rarement | Site qui évolue tous les mois |
Comment lire un devis de maintenance, ligne par ligne
Isole les trois postes
Tout devis contient, écrits ou en creux, trois postes : la création ou la refonte (le montant discuté en rendez-vous), l’hébergement, et la maintenance avec les modifications, le poste le plus variable. Avant d’aller plus loin, isole chacun des trois dans ton devis : ce sont les deux derniers qui se paient chaque mois, donc qui pèsent sur la durée.
La ligne hébergement
Pose deux questions. Qu’est-ce qui est inclus exactement (sauvegardes, SSL, CDN, mises à jour du serveur) ? Le compte d’hébergement est-il à ton nom ou à celui de l’agence ? S’il est au nom de l’agence, tu loues ton infrastructure : le jour où tu changes de prestataire, tu repars de zéro sur la partie technique. C’est l’un des 7 accès à exiger de ton agence web avant de signer.
Pour situer le montant, compare-le au prix public d’un hébergement mutualisé. Le 9 octobre 2026, OVHcloud affiche son offre Perso à 5,99 € HT par mois au tarif de renouvellement, après une première année à 2,99 € HT par mois (source : OVHcloud, hébergement web). Un écart avec ton devis n’est pas forcément abusif : il doit correspondre à des services écrits (gestion du serveur, sauvegardes, supervision, support). Vérifie aussi que le prix affiché n’est pas un tarif promotionnel de première année.
La ligne maintenance
C’est le terme le plus élastique du secteur. Selon le prestataire, il recouvre des réalités très différentes :
| Ce qui est écrit au devis | Ce que ça couvre en général | La question à poser |
|---|---|---|
| Maintenance technique | Mises à jour du CMS, des extensions et de PHP | Les correctifs de sécurité et les tests après mise à jour sont-ils inclus ? |
| Maintenance corrective | La correction des bugs, pas les évolutions | Quel délai d’intervention ? |
| Maintenance évolutive | Modifications de contenu, nouvelles pages, ajustements | Combien de demandes ou d’heures par mois ? |
| Maintenance « illimitée » | Ce que le contrat en dit, ni plus ni moins | Quelle définition écrite, quel plafond éventuel ? |
Demande systématiquement si « changer une photo », « modifier un prix » ou « ajouter une section » est inclus. Si la réponse est « ça dépend », tu es en facturation à la carte, même si le mot « maintenance » figure au contrat.
L’ANSSI donne deux repères pour juger un contrat. Sa mesure 35 recommande d’inclure dans les contrats avec les prestataires des clauses qui garantissent le suivi des correctifs de sécurité et la gestion des obsolescences. Sa mesure 3 conseille d’exiger du prestataire la réversibilité du contrat, la sauvegarde et la restitution des données dans un format ouvert normalisé, et le maintien à niveau de la sécurité dans le temps (source : ANSSI, Guide d’hygiène informatique).
Ce qui fait varier le coût selon le type de site
Il n’existe pas de grille officielle des prix de maintenance : chaque montant dépend du périmètre couvert. Ce qui le fait bouger, c’est le nombre de composants à surveiller et ce qu’une panne coûte à ton activité.
| Type de site | Ce que la maintenance doit couvrir en plus | À vérifier sur le devis |
|---|---|---|
| Site vitrine simple (WordPress) | Cœur, thème et extensions, compatibilité PHP | Nombre d’extensions suivies, tests après mise à jour |
| Site vitrine premium ou custom (Astro, Next…) | Dépendances du projet, hébergement et déploiement | Mise à jour des dépendances, accès au dépôt de code |
| E-commerce | Paiement, commandes, données clients | Test du tunnel d’achat après chaque mise à jour, sauvegarde de la base des commandes |
| Plateforme métier full custom | Comptes utilisateurs, services tiers connectés, supervision | Délai d’intervention garanti par écrit |
Les modifications de contenu sont parfois incluses, parfois facturées en plus, selon l’offre. Compare donc les devis à périmètre égal, ligne par ligne, et jamais total contre total.
Les 5 questions à poser avant de signer
Quelle que soit la formule, ces questions doivent trouver une réponse écrite, dans le contrat ou dans un avenant :
- Que se passe-t-il si je résilie ? Je reçois quoi, sous quel format, sous quel délai ?
- Qui détient le nom de domaine ? Chez quel bureau d’enregistrement, à quel nom ? Pour une extension générique comme le .com, un transfert vers un autre bureau d’enregistrement exige un code d’autorisation ; si le titulaire ne peut pas le générer lui-même, le bureau actuel doit le lui fournir dans les 5 jours calendaires suivant sa demande (source : ICANN, FAQ des titulaires de noms de domaine).
- Les mises à jour du CMS et des extensions sont-elles incluses ? Ou facturées en régie ?
- Qu’est-ce qui déclenche une facturation hors forfait ? Demande 3 exemples concrets.
- Combien de temps pour une modification standard ? Changer un texte, une image, un prix.
Un prestataire sérieux répond à ces cinq questions sans hésiter. Une réponse vague sur la propriété du code ou du domaine est un signal à ne pas ignorer.
Les erreurs et pièges classiques à éviter
Erreur 1 : prendre la maintenance la moins chère sans lire ce qu’elle couvre. Un tarif très bas laisse deux possibilités : aucune mise à jour, ou des mises à jour automatiques non testées qui peuvent casser le site.
Erreur 2 : faire la maintenance toi-même. Tant qu’il n’y a pas de bug, ça va. Le jour où il y en a un, tu y passes des journées au lieu de travailler.
Erreur 3 : changer de prestataire tous les ans pour économiser. Chaque transition coûte du temps, chaque nouveau prestataire doit reprendre le site en main, et l’économie disparaît vite.
Le « illimité » avec astérisque. Certains contrats annoncent des modifications illimitées, puis les limitent en petits caractères au texte seul, hors mise en page et hors développement. Lis la définition contractuelle mot à mot.
La maintenance liée à l’hébergement. Un abonnement attractif peut conditionner la maintenance à l’hébergement chez le prestataire : si tu changes d’hébergeur, la maintenance s’arrête aussi. Ce lien peut être légitime, mais il doit être écrit dès le devis.
Le taux horaire absent du contrat. Si le contrat dit « modifications facturées en régie » sans préciser le taux, il peut changer à chaque facture. Exige un taux horaire ou un TJM fixé au contrat, révisable seulement à la reconduction.
La refonte « offerte » contre un engagement long. Une création gratuite ou remisée en échange d’un engagement de plusieurs années peut être intéressante, à condition que la clause de résiliation anticipée ne te fasse pas rembourser la remise. Calcule le coût total de sortie avant de signer.
La maintenance « technique » sans la sécurité. Un seul logiciel non à jour peut suffire à ouvrir une brèche (source : Cybermalveillance.gouv.fr, Les mises à jour). Si ton contrat ne couvre que la disponibilité du serveur, sans les mises à jour du site lui-même, tu n’es pas couvert sur la partie la plus risquée.
L’approche Peechy
On propose les deux modèles, avec une grille publique sur notre page prix d’un site web :
- Maintenance incluse dans l’abonnement mensuel, de 150 à 500 € HT par mois : maintenance et modifications illimitées incluses, engagement initial de 24 mois, puis liberté totale avec une option de rachat du site.
- Maintenance facturée à part : pour un site acheté en une fois, ou créé par un autre prestataire que tu veux nous confier ; les modifications passent alors par devis.
On peut aussi auditer ton site existant pour évaluer précisément ce dont il a besoin avant de te proposer quoi que ce soit.
Pour aller plus loin
- Pour comprendre les enjeux performance qui se jouent dans la maintenance, lis notre article sur les Core Web Vitals.
- Pour la conformité légale qui doit être tenue à jour, regarde notre article sur le RGPD.
- Pour le détail de ce que couvre un contrat et la façon dont c’est facturé, voir notre page maintenance de site web.
Questions fréquentes sur la maintenance d’un site web
Que doit couvrir un contrat de maintenance de site web au minimum ?
Quatre choses : les mises à jour et correctifs de sécurité (CMS, extensions, serveur) ; des sauvegardes externalisées et testées ; le suivi de la performance ; un cadre clair pour les modifications de contenu. Chaque point doit être écrit, avec ses limites. L’ANSSI recommande en plus des clauses sur le suivi des correctifs, la gestion des obsolescences et la réversibilité du contrat.
Forfait illimité ou maintenance à la carte : lequel coûte le moins cher ?
Cela dépend de ton volume de demandes. Multiplie le nombre de demandes par mois par le temps facturé et par le taux horaire, ajoute l’hébergement et la sécurité, puis compare au forfait sur 12 mois et sur 3 ans. Un site qui change rarement peut revenir moins cher à la carte, à condition que les mises à jour de sécurité soient prévues quelque part.
Les mises à jour automatiques de WordPress suffisent-elles ?
Non. Par défaut, sur un site existant, elles ne couvrent que les versions mineures du cœur de WordPress. Les extensions et les thèmes ne se mettent à jour seuls que dans des cas particuliers. Et rien ne remplace un contrôle du site après chaque mise à jour.
À quelle fréquence faut-il appliquer les correctifs de sécurité ?
Dès qu’ils sont disponibles, selon Cybermalveillance.gouv.fr, et au plus tard dans le mois qui suit leur publication par l’éditeur, selon la mesure 34 du guide d’hygiène informatique de l’ANSSI.
Que deviennent mon site et mon nom de domaine si je résilie la maintenance ?
Tout dépend du contrat, d’où l’intérêt de le lire avant de signer. Vérifie que le nom de domaine est à ton nom, que tu récupères le code et les contenus dans un format exploitable, et que la cession des droits sur le code est écrite, avec son étendue, sa durée et son territoire.
Ce problème, Peechy s'en occupe
Plutôt que de tout gérer seul, confiez votre site à une agence qui s'occupe de tout, hébergement, sécurité, maintenance et corrections. Encore plus simple en abonnement : on règle les soucis avant même que vous les remarquiez.
Confier mon site à Peechy