Maintenance site web : que doit couvrir un contrat (sécu, perf, contenu)

Les statistiques de vulnérabilités publiées et l'existence de plugins abandonnés par leurs auteurs sont des faits vérifiables, pas un simple discours commercial. Chaque version non corrigée agrandit la surface d'attaque pour des robots qui scannent Internet en continu. L'article relie ces CVE concrètes à des sites défacés ou détournés en relais de spam. Ce n'est pas une garantie qu'un site à jour ne sera jamais compromis, mais le risque augmente fortement quand on ignore les correctifs pendant des mois. La peur marketing serait de promettre zéro risque ; la prudence technique consiste à réduire la probabilité avec des mises à jour régulières testées.

Une copie chez l'hébergeur peut être corrompue ou indisponible le même jour qu'un incident majeur sur leur infrastructure. Il faut tester une restauration réelle au moins trimestriellement pour savoir si l'archive est exploitable. Ajoutez des copies hors site et un contact clairement désigné qui sait relancer le site quand tout le monde panique un vendredi soir. Sans procédure écrite, vous découvrez trop tard que la sauvegarde automatique s'était arrêtée silencieusement. La redondance et les tests valent mieux qu'un simple message rassurant sur le panneau d'administration.

Oui, car la maintenance n'est pas seulement patcher PHP : c'est aussi surveiller les Core Web Vitals, les erreurs d'exploration dans Search Console et la cohérence des balises canonical quand le contenu évolue. Un plugin ajouté sans contrôle peut dégrader le score mobile du jour au lendemain. Des images non optimisées après une campagne marketing peuvent faire chuter le classement sans changement apparent du texte. Inclure perf et SEO dans le contrat évite de traiter ces sujets comme des projets annuels séparés alors qu'ils devraient faire partie du fonctionnement courant.

Prévoyez un délai de réponse en heures ouvrées, le périmètre exact couvrant cœur, thème et liste de plugins, ainsi que les exclusions comme les grosses évolutions fonctionnelles. Ajoutez une procédure d'urgence pour site hors ligne ou piraté, avec escalade et contacts. Le tarif des hors-forfait doit être lisible pour éviter les discussions en pleine panne. Une clause de suspension des mises à jour si le client refuse deux fois de suite un correctif critique peut aussi protéger les deux parties. Noir sur blanc, tout le monde sait qui fait quoi avant l'incident.

Parfois, si une personne interne assume explicitement la veille des mises à jour, teste les sauvegardes et sait restaurer en urgence. Sans ce responsable désigné, même un site vitrine simple accumule une dette de sécurité car les bots ne distinguent pas la complexité du projet. Le contrat formalise l'engagement et évite l'effet personne ne savait que c'était son rôle. Si personne n'a le temps en interne, un petit forfait mensuel coûte moins cher qu'une intervention d'urgence non planifiée. La simplicité du site ne supprime pas l'exposition Internet.