Un site WordPress non maintenu ne tombe pas en panne : il se fait pirater, puis déclasser. Voici ce que couvre un contrat sérieux, et à quel prix.
Un site WordPress laissé sans suivi ne s’arrête pas du jour au lendemain. Il continue de fonctionner parfaitement — jusqu’au jour où une extension non mise à jour depuis dix-huit mois sert de porte d’entrée. Le site se met alors à rediriger vers un site tiers, Google affiche un avertissement, et les positions s’effondrent en quelques jours.
La remise en état coûte alors bien plus cher que deux ans de maintenance. Voici ce qu’un contrat sérieux doit contenir.
Pourquoi WordPress demande un suivi
WordPress fait tourner une part considérable du web, ce qui en fait une cible de choix pour les attaques automatisées. Les robots ne vous visent pas personnellement : ils scannent en continu des millions de sites à la recherche d’une version vulnérable connue.
Le risque ne vient presque jamais du cœur de WordPress, qui se met à jour automatiquement pour les correctifs de sécurité. Il vient des extensions et des thèmes : une installation moyenne en compte une vingtaine, chacune avec son propre rythme de publication et son propre niveau de sérieux.
Les sept composants d’un contrat de maintenance
1. Les mises à jour testées
La différence entre une maintenance et un clic sur « Tout mettre à jour » tient en un mot : la recette. Un prestataire sérieux applique les mises à jour sur un environnement de préproduction, vérifie les pages critiques (accueil, contact, tunnel de commande), puis déploie en production avec une sauvegarde préalable et une procédure de retour arrière.
2. Les sauvegardes externalisées et testées
Une sauvegarde stockée sur le même serveur que le site ne vaut rien en cas de compromission. Exigez un stockage externe, une rétention d’au moins 30 jours, et surtout une restauration testée au moins une fois par an. Beaucoup découvrent que leurs sauvegardes sont corrompues le jour où ils en ont besoin.
3. La sécurité active
- Pare-feu applicatif et limitation des tentatives de connexion
- Authentification à deux facteurs pour les comptes administrateurs
- Revue régulière des comptes utilisateurs et de leurs rôles
- Surveillance des modifications de fichiers
- Suppression des extensions et thèmes inactifs — un thème inactif reste vulnérable
4. La supervision de disponibilité
Un contrôle toutes les minutes, avec alerte immédiate. Le but n’est pas que vous appreniez la panne par un client.
5. Le suivi de performance
Base de données nettoyée, cache correctement configuré, images optimisées, suivi des Core Web Vitals. Un site qui ralentit progressivement perd en conversion bien avant de perdre en positions.
6. La veille SEO technique
Surveillance de l’indexation, des erreurs d’exploration et des certificats SSL. Une mise à jour d’extension peut désindexer un site entier en cochant une case ; cela s’est vu plus d’une fois.
7. Un volume d’interventions inclus
La plupart des contrats incluent 30 minutes à 2 heures par mois de petites modifications. C’est ce qui évite les micro-facturations et fluidifie la relation.
Les tarifs pratiqués
- 40 à 80 € HT/mois : site vitrine simple. Mises à jour, sauvegardes, supervision, rapport mensuel.
- 80 à 200 € HT/mois : site professionnel. Ajout de la préproduction, de la sécurité active, du suivi de performance et d’un temps d’intervention inclus.
- 200 à 600 € HT/mois : e-commerce ou site à fort trafic. Recette étendue, surveillance du tunnel d’achat, délai de rétablissement contractuel.
Ajoutez l’hébergement (150 à 600 € HT/an pour un hébergement professionnel) et les licences d’extensions premium.
Ce que coûte l’absence de maintenance
Les ordres de grandeur que nous constatons lors d’une intervention d’urgence :
- Nettoyage d’un site piraté : 800 à 3 000 € HT, sans garantie de retrouver l’intégralité des contenus si aucune sauvegarde saine n’existe.
- Levée d’un avertissement Google : plusieurs jours, pendant lesquels votre trafic est quasi nul.
- Remise à niveau d’un site non mis à jour depuis 2 ans : souvent 1 500 à 4 000 € HT, car il faut gérer les incompatibilités accumulées entre versions de PHP, thème et extensions.
- Notification RGPD en cas de fuite de données clients : obligation d’information, avec le coût de réputation associé.
Cinq réflexes si vous gérez vous-même
- Faites une sauvegarde complète avant chaque mise à jour, et stockez-la ailleurs que sur le serveur.
- Mettez à jour une extension à la fois, en vérifiant le site après chacune. Vous saurez immédiatement laquelle pose problème.
- Supprimez tout ce qui est inactif, thèmes compris.
- Maintenez PHP à une version supportée : c’est l’un des meilleurs gains de performance et de sécurité, et l’un des plus oubliés.
- Activez l’authentification à deux facteurs sur les comptes administrateurs, et n’utilisez pas un compte administrateur pour rédiger vos articles.
Questions fréquentes
La maintenance est-elle obligatoire ?
Rien ne vous y oblige légalement. En revanche, si votre site collecte des données personnelles, le RGPD vous impose des mesures de sécurité appropriées — et un logiciel non mis à jour y contrevient assez directement.
Mon hébergeur ne s’en occupe-t-il pas ?
Un hébergeur maintient le serveur, pas votre installation WordPress, vos extensions ni votre thème. L’offre « WordPress managé » couvre parfois le cœur et les sauvegardes, rarement la recette applicative.
Peut-on tout automatiser ?
Les mises à jour automatiques conviennent bien aux correctifs de sécurité mineurs. Pour les montées de version majeures d’extensions e-commerce ou de page builders, la vérification humaine reste indispensable.
Que se passe-t-il si je change de prestataire ?
Vous devez pouvoir partir avec tous les accès, les sauvegardes et la documentation. Vérifiez ce point avant de signer.
Faire le point sur votre site
Si vous ne savez pas quand votre site a été mis à jour pour la dernière fois, c’est déjà une réponse. Notre audit gratuit comprend un volet technique qui identifie les versions obsolètes, les problèmes de performance et les risques de sécurité.
Vous pouvez aussi nous contacter directement pour une reprise de maintenance, y compris sur un site que nous n’avons pas réalisé.
