On voit passer beaucoup de contrats de maintenance — ceux qu’on rédige, et ceux que nos clients
nous apportent quand ils quittent un prestataire. Et le constat est constant : les
mauvaises surprises ne viennent presque jamais du prix, elles viennent du périmètre. Un
contrat à 40 €/mois qui ne couvre ni la restauration après piratage ni le moindre correctif
peut coûter, l’année où ça tourne mal, plus cher qu’un contrat complet à 150 €. Voici la grille
de lecture que nous donnerions à un ami avant de signer — clause par clause, avec les formulations
qui doivent alerter.
1. Le périmètre : la clause qui fait 80 % des litiges
« Maintenance de votre site » ne veut rien dire contractuellement. Exigez la liste
explicite :
| Prestation | Question à poser | Piège classique |
|---|---|---|
| Mises à jour | Cœur + extensions + thème + PHP ? À quelle fréquence ? | « Mises à jour WordPress » qui n’inclut que le cœur — alors que 91 % des vulnérabilités viennent des extensions (Patchstack) |
| Corrections | Combien d’heures de correctifs incluses par mois ? | Zéro heure incluse : chaque bug est un devis |
| Petites évolutions | Changer un texte, une image, ajouter une page ? | Tout est « évolution » facturable, même remplacer un numéro de téléphone |
| Sécurité | Pare-feu, scan malware, durcissement ? | « Surveillance » qui n’est qu’une alerte e-mail sans action derrière |
| Hébergement | Inclus ou séparé ? Chez qui ? | Hébergement revendu sans que vous sachiez où sont vos données |
2. Les sauvegardes : trois questions, pas une
- →Fréquence et rétention : quotidienne pour un site actif, avec au moins 14-30 jours d’historique — une sauvegarde unique écrasée chaque nuit ne protège pas d’un piratage découvert au bout d’une semaine.
- →Externalisation : au moins une copie HORS du serveur du site (le principe de la méthode 3-2-1 qu’on a détaillée ici). Une sauvegarde sur le serveur qui brûle, c’est l’incendie OVH de 2021.
- →Test de restauration : une sauvegarde jamais testée est une hypothèse, pas une garantie. Demandez si des restaurations d’essai sont faites, et à quelle fréquence.
3. Les délais d’intervention : exigez un chiffre
« Dans les meilleurs délais » n’est pas un engagement. Un contrat sérieux
distingue : site totalement indisponible (engagement en heures),
dysfonctionnement majeur (ex. : formulaire ou paiement en panne — engagement
en heures ouvrées), demande courante (engagement en jours). Vérifiez aussi la
plage couverte : heures ouvrées seulement ? Et le week-end, quand
un piratage ne prévient pas ?
4. Le piratage : la clause qu’on lit toujours trop tard
C’est LA question à poser : « si mon site est piraté, que se passe-t-il et qui paie quoi ? ». Trois réponses possibles sur le marché : nettoyage inclus (rare en entrée de gamme), restauration de sauvegarde incluse mais nettoyage complet facturé à part (le plus courant — attention, restaurer sans nettoyer ne referme pas la faille), ou tout en sus. Aucune n’est scandaleuse — ce qui est scandaleux, c’est de le découvrir le jour J. Pour situer : l’ANSSI chiffre un incident entre 15 000 et 85 000 € pour une PME, tous coûts confondus.
5. La réversibilité : pensez au divorce le jour du mariage
- Restitution complète en fin de contrat : fichiers, base de données, accès admin, dernière sauvegarde — dans un format standard, sans « frais de restitution » dissuasifs.
- Préavis raisonnable : 1 à 3 mois. Méfiance sur les engagements de 24-36 mois avec reconduction tacite difficile à dénoncer.
- Documentation : ce qui a été fait sur le site (extensions ajoutées, code custom) doit être traçable — le prestataire suivant vous remerciera.
6. La propriété des accès : le point non négociable
Le nom de domaine et l’hébergement doivent être à votre nom (vous êtes titulaire
du compte), même si le prestataire les administre. Nous récupérons régulièrement des clients dont le
domaine appartient juridiquement à leur ancienne agence — le rapport de force en fin de contrat est
alors inversé, et la récupération peut prendre des semaines. Vérifiez aussi que vous conservez un
accès administrateur WordPress permanent : c’est votre site.
7. Le compte-rendu : la preuve que le travail est fait
La maintenance a un défaut structurel : quand tout va bien, elle est invisible. Le seul
antidote est le rapport régulier : mises à jour effectuées (avec versions),
sauvegardes réalisées et testées, incidents traités, temps passé sur les correctifs. Un prestataire
qui refuse le principe du rapport vous demande de le croire sur parole — pendant des années.
Et les prix du marché, pour situer
Sans entrer dans nos tarifs (chaque site est différent, on chiffre après audit) : le marché
français va d’environ 25-80 €/mois chez un freelance à
70-300 €/mois en agence pour un site vitrine, et
80-500 € et plus pour un e-commerce. En dessous de ~20 €/mois, vous
achetez presque toujours de l’automatisation sans humain derrière — c’est-à-dire exactement ce que
votre hébergeur fait déjà. Le détail des trois formules (hébergeur, freelance, agence) est dans
notre comparatif complet.
🔧 Vous voulez un contrat qui coche ces 7 cases — rapport mensuel compris ? EVICO prend en charge mises à jour, sauvegardes, sécurité et surveillance de votre site : découvrez notre maintenance WordPress — audit initial offert. Ou contactez-nous directement.
Sources : Patchstack, State of WordPress Security in 2026 (répartition des
vulnérabilités) ; ANSSI / CERT-FR (coût d’un incident PME : 15-85 k€) ;
fourchettes tarifaires : relevés du marché français de la maintenance WordPress 2025-2026 ;
grille contractuelle : pratique EVICO et contrats analysés lors des reprises de sites.
