Un lundi matin, le formulaire de contact ne fonctionne plus. Personne ne sait depuis quand. Le prestataire qui a créé le site a changé d'activité, les accès sont dans un e-mail de 2022, et l'extension qui gérait le formulaire n'a pas été mise à jour depuis deux ans. Ce scénario est banal, et il coûte cher : des demandes perdues, puis une intervention en urgence facturée bien plus qu'une année de suivi. Pour un site vitrine de PME, une maintenance sérieuse coûte en général 50 à 100 € par mois. Ce montant doit couvrir les mises à jour, les sauvegardes testées, la surveillance de la sécurité et un temps de support défini. S'il en manque un, vous payez un abonnement, et votre site n'est pas vraiment suivi.
La maintenance est le poste le plus souvent oublié dans les budgets que nous voyons passer. Elle n'apparaît pas dans le devis de création, ou en une ligne vague en bas de page. Or un site vieillit comme n'importe quel logiciel, au même titre qu'un poste de travail ou un téléphone.
Pourquoi un site non suivi devient un risque
Un site WordPress repose sur plusieurs couches qui évoluent chacune à son rythme : le cœur de WordPress, le thème, les extensions, la version de PHP installée chez l'hébergeur. WordPress publie ses versions sur une page officielle qui le dit sans détour : seule la dernière version de la série en cours est considérée comme sûre. Au 2 novembre 2026, il s'agit de la 7.1.4, publiée le 28 octobre. Les prérequis officiels recommandent par ailleurs PHP 8.3 ou plus récent.
Un site resté deux ans sans intervention accumule donc des failles connues et publiées, que des robots cherchent automatiquement. Le dispositif national Cybermalveillance.gouv.fr le rappelle : les mises à jour corrigent des failles exploitables, et il suffit d'un seul logiciel non à jour pour ouvrir une brèche. Sur un site, ce logiciel est souvent une petite extension installée pour un besoin ponctuel puis oubliée.
Le piratage n'est d'ailleurs pas le seul danger. Une mise à jour faite sans précaution peut casser une mise en page, un formulaire, un module de paiement. C'est pour cela que la maintenance demande du métier, et pas seulement un bouton « tout mettre à jour ».
Le contenu d'un contrat qui tient la route
Pour un site vitrine, nous considérons que le socle d'une maintenance tient dans le tableau ci-dessous. Il sert de grille pour relire un devis, le vôtre ou celui d'un autre prestataire.
| Poste | Ce qu'il faut lire dans le contrat |
|---|---|
| Mises à jour | Cœur, thème et extensions, avec une fréquence écrite (par exemple chaque mois) et un contrôle du site après chaque passage |
| Sauvegardes | Automatiques, stockées hors de l'hébergement du site, avec une durée de conservation et au moins un test de restauration par an |
| Sécurité | Surveillance des failles connues, pare-feu ou filtrage, procédure écrite en cas de piratage |
| Disponibilité | Alerte en cas de site inaccessible et délai d'intervention annoncé |
| Certificat HTTPS, nom de domaine, PHP | Renouvellements suivis et montée de version de PHP anticipée |
| Support | Un nombre d'heures ou de demandes inclus par mois, et le tarif au-delà |
| Rapport | Un compte rendu périodique : ce qui a été fait, ce qui a posé problème |
| Réversibilité | Remise des accès, des sauvegardes et du code à la fin du contrat |
La dernière ligne est celle que l'on vérifie le moins. Elle conditionne pourtant tout le reste. Chez nous, le client conserve son site et son code : il peut changer de prestataire du jour au lendemain. Un bon prestataire vous rend libre.
Ce que 50 à 100 € par mois ne couvrent pas
Le forfait de maintenance couvre l'entretien. Il ne couvre pas, sauf mention contraire, les évolutions : une nouvelle page, une nouvelle fonctionnalité, une refonte de la page d'accueil, la rédaction de contenus. Ces demandes se chiffrent à part, et c'est sain : sinon, le prestataire rogne sur l'entretien pour absorber les évolutions.
Il faut aussi compter les coûts récurrents qui ne sont pas de la maintenance au sens strict : hébergement, nom de domaine, licences d'extensions payantes. Dans notre article sur le coût d'un site internet de PME, nous estimons l'ensemble de ces frais récurrents à 600 à 1 500 € par an pour un site vitrine. Un e-commerce, avec ses paiements, ses stocks et ses connexions à l'ERP, demande un suivi plus serré et un budget plus élevé.
Méfiez-vous enfin des contrats à 15 ou 20 € par mois qui promettent « tout illimité ». Ils reposent en général sur des mises à jour automatiques sans contrôle et sur un support que personne ne décroche. Le moins cher coûte souvent plus cher, et c'est particulièrement vrai ici.
Faire soi-même ou confier : un arbitrage honnête
Une PME qui a quelqu'un d'à l'aise en interne peut assurer une partie du suivi : publier des contenus, vérifier le formulaire chaque semaine, surveiller les alertes. Ce que nous déconseillons, c'est de lancer seul les mises à jour d'extensions sur un site en production, sans sauvegarde testée ni environnement de test. C'est la cause de panne la plus facile à éviter.
L'inverse existe aussi : un site qui ne peut être modifié qu'en passant par l'agence. Nous appelons cela une dépendance, et nous le voyons trop souvent. Le bon partage laisse vos équipes autonomes sur les contenus et confie au prestataire la partie technique, avec un contrat clair. Mon Prochain Voyage, par exemple, fait partie des clients dont nous avons créé le site et dont nous assurons la maintenance.
Choisir l'outil compte aussi. Un site construit sur une plateforme fermée transfère une partie de la maintenance à l'éditeur, en échange d'une dépendance plus forte. Nous comparons ces options dans notre article WordPress, Wix ou Webflow.
Par où commencer si votre site n'est plus suivi
Commencez par récupérer les accès : hébergement, nom de domaine, administration du site, outils de mesure. Faites ensuite une sauvegarde complète avant toute intervention, puis un état des lieux des versions et des extensions. Il arrive que cet examen conclue qu'une refonte coûtera moins cher que la remise à niveau d'un site trop ancien ; il arrive aussi, plus souvent qu'on ne le croit, qu'une journée de remise en ordre suffise.
Si vous ne savez plus qui détient quoi, le bilan digital offert de 45 minutes sert précisément à faire ce point, avant de décider d'un contrat de suivi de site et de référencement ou d'une autre solution.
Questions fréquentes
Les mises à jour automatiques de WordPress suffisent-elles ?
Elles sont utiles pour les correctifs de sécurité mineurs, que WordPress applique par défaut. Pour les versions majeures, le thème et les extensions, une mise à jour automatique sans contrôle peut casser une page sans que personne ne s'en aperçoive. L'automatisme a donc besoin d'une sauvegarde préalable et d'une vérification après coup.
Que faire si mon site est piraté ?
Changez d'abord tous les mots de passe (administration, hébergement, FTP, base de données), puis restaurez une sauvegarde antérieure à l'attaque si elle existe. Signalez l'incident à votre hébergeur. La plateforme Cybermalveillance.gouv.fr propose un diagnostic en ligne et une mise en relation avec des prestataires référencés.
Un contrat de maintenance doit-il avoir une durée minimale ?
Rien ne l'impose. Un engagement d'un an est courant et se justifie par la mise en place initiale (accès, sauvegardes, surveillance). Méfiez-vous en revanche des engagements de trois ou quatre ans sans possibilité de sortie, surtout s'ils sont liés à un hébergement imposé.