Maintenance d'un site internet : quel contrat et quel budget annuel prévoir ?
Ce que recouvre réellement la maintenance d'un site internet
Il y a une phrase qu'on entend au moins une fois par trimestre, prononcée avec une confiance désarmante : « mon site est fini, il n'y a plus rien à faire dessus ». Non. Un site internet n'est pas un dépliant imprimé qu'on range dans un carton. C'est un logiciel connecté en permanence à internet, posé sur un serveur, alimenté par un CMS qui publie des correctifs toutes les trois semaines, avec des extensions écrites par des développeurs qui, parfois, abandonnent leur projet du jour au lendemain.
La maintenance, c'est ce qui empêche cet édifice de se déliter en silence. Et le mot « silence » est important : contrairement à une voiture qui fait un bruit suspect avant de tomber en panne, un site se dégrade souvent sans le moindre signal visible pour son propriétaire. Jusqu'au jour où.
Le terme recouvre en réalité quatre familles d'interventions bien distinctes, qui n'ont ni le même rythme, ni le même coût, ni le même niveau de risque. Les confondre est la première source de malentendus entre une agence et son client.
La maintenance technique : garder le site debout
C'est le socle. Les mises à jour du cœur du CMS, des extensions, du thème, de la version de PHP, de la base de données. Les vérifications de compatibilité avant de cliquer sur « mettre à jour ». La surveillance de la disponibilité du serveur. Les sauvegardes, leur bon déroulement, leur stockage ailleurs que sur le serveur lui-même.
Sur un WordPress équipé de vingt extensions, il tombe entre huit et quinze mises à jour par mois. Certaines sont anodines. D'autres cassent l'affichage d'un formulaire, font disparaître un menu ou provoquent un conflit avec le constructeur de pages. C'est justement pour ça que le travail ne consiste pas à cliquer sur « tout mettre à jour » en fermant les yeux, mais à déployer d'abord sur une copie du site, vérifier, puis répliquer en production.
Ce point sépare, à lui seul, un prestataire sérieux d'un prestataire qui facture un abonnement pour un script automatique.
La maintenance corrective : réparer ce qui casse
Un formulaire de contact qui n'envoie plus rien depuis trois semaines. Une image qui refuse de s'afficher sur mobile. Un bouton de paiement qui renvoie une erreur une fois sur dix. Une page blanche après une mise à jour ratée.
Le correctif, c'est la partie visible de l'iceberg, celle que le client remarque et pour laquelle il décroche son téléphone. Elle est aussi la plus imprévisible : impossible de savoir en janvier combien d'incidents surviendront en septembre. D'où l'importance de savoir, dans le contrat, ce qui est couvert au forfait et ce qui bascule en facturation additionnelle.
Petite observation de terrain : les incidents les plus coûteux ne sont presque jamais les plus spectaculaires. Un site totalement hors ligne, tout le monde le voit dans l'heure. Un formulaire de devis qui n'envoie plus les demandes ? Il peut rester muet six semaines. Et six semaines de leads perdus, sur une entreprise du bâtiment, ça se chiffre en dizaines de milliers d'euros.
La maintenance évolutive : faire avancer le site
Ajouter une page service, intégrer un nouveau moyen de paiement, adapter un formulaire au RGPD, connecter un CRM, retoucher un gabarit devenu bancal. Rien n'est cassé. On améliore.
C'est le poste le plus élastique, et celui qui explique le plus grand écart entre deux devis apparemment comparables. Un forfait à 90 € par mois qui inclut « les évolutions » n'inclut jamais les évolutions. Il inclut, dans le meilleur des cas, une heure ou deux d'ajustements mineurs. Ce qui est parfaitement honnête, à condition que ce soit écrit noir sur blanc.
La maintenance de sécurité : le poste que personne ne voit jusqu'à l'incident
Surveillance des failles publiées, application des correctifs critiques en urgence, durcissement des accès, pare-feu applicatif, blocage des tentatives de connexion en force brute, analyse antimalware, contrôle de l'intégrité des fichiers.
WordPress motorise environ 43 % du web. Cette part de marché en fait la cible numéro un des campagnes automatisées, qui ne visent pas votre entreprise en particulier : elles balaient des millions d'adresses à la recherche d'une version vulnérable d'une extension précise. Vous n'êtes pas ciblé. Vous êtes ramassé au filet.
Et le délai est court. Quand une faille critique est rendue publique sur une extension populaire, les premières exploitations massives arrivent souvent dans les 24 à 72 heures. Un site mis à jour une fois par trimestre est, statistiquement, un site déjà compromis quelque part.
Ce qui n'est PAS de la maintenance (et qui se facture à part)
La confusion sur ce point est responsable de la moitié des tensions client-agence. Ne relèvent pas de la maintenance :
- la rédaction et l'intégration de contenus éditoriaux réguliers,
- la refonte graphique, même partielle,
- le développement d'une fonctionnalité nouvelle et structurante,
- le référencement naturel, qui est un métier distinct avec ses propres livrables,
- la gestion des campagnes publicitaires,
- la formation des équipes internes,
- la migration vers un nouvel hébergeur ou un nouveau CMS.
Certaines agences intègrent une partie de ces postes dans une offre globale. Très bien. Mais l'intégration doit être explicite, chiffrée, et pas laissée à l'interprétation d'un « et tout le reste » en bas de devis.
Pourquoi un site sans contrat de maintenance coûte plus cher qu'un site sous contrat
L'argument paraît contre-intuitif : comment payer tous les mois reviendrait-il moins cher que ne rien payer du tout ? La réponse tient dans un principe que tous les gestionnaires de parc connaissent : le coût du correctif croît de façon exponentielle avec le temps écoulé depuis l'apparition du défaut.
Le coût réel d'un piratage sur un site vitrine et sur un e-commerce
Sur un site vitrine, un piratage classique par injection de spam se solde par : nettoyage complet des fichiers et de la base, restauration d'une sauvegarde saine si elle existe, changement de tous les accès, demande de réexamen auprès de Google, et surveillance renforcée pendant plusieurs semaines. Comptez 800 à 2 500 € selon la profondeur de l'infection et l'ancienneté de la dernière sauvegarde propre.
Ajoutez la partie invisible. Un site marqué « Ce site peut endommager votre ordinateur » dans les résultats de recherche perd l'essentiel de son trafic organique du jour au lendemain. Le retour à la normale, après désinfection et réexamen, prend rarement moins de deux à six semaines. Et il n'est jamais garanti à 100 % sur les positions les plus concurrentielles.
Sur un e-commerce, on change de dimension. Le vol de données de paiement engage la responsabilité du responsable de traitement au titre du RGPD, avec obligation de notification à la CNIL sous 72 heures et information des personnes concernées. La facture technique n'est plus qu'une ligne parmi d'autres. Il faut y ajouter l'arrêt du chiffre d'affaires pendant la remise en état, l'audit, parfois l'accompagnement juridique, et une confiance client qu'aucune facture ne rachète.
L'effet d'une extension non mise à jour sur le référencement naturel
Une extension obsolète, ce n'est pas seulement une porte d'entrée. C'est aussi, très souvent, du code qui alourdit les pages, génère des erreurs JavaScript, casse un balisage structuré ou multiplie les requêtes en base.
Un plugin de cache mal maintenu qui commence à servir des pages tronquées. Un module de filtres produits qui génère des milliers d'URL à paramètres, toutes indexables. Un outil de redirection qui perd sa table après une mise à jour et transforme quatre-vingts anciennes URL en autant d'erreurs 404. Chacun de ces cas est banal. Chacun a un coût de visibilité mesurable en semaines de travail SEO perdues.
La dette technique : le prix d'une refonte anticipée de 2 ans
Voilà le poste le plus sournois, parce qu'il ne se manifeste jamais par un incident.
Un site non maintenu accumule des versions de composants qui divergent lentement. Au bout de deux ou trois ans, la mise à jour du cœur devient impossible sans casser trois extensions, qui elles-mêmes ne sont plus compatibles avec la version de PHP que l'hébergeur va imposer. On arrive au point de rupture : il n'y a plus de chemin de mise à jour praticable, seulement une reconstruction.
Un site correctement entretenu se refond confortablement au bout de cinq ou six ans, pour des raisons de design et de stratégie. Un site laissé à l'abandon impose la même dépense au bout de trois. Sur un projet à 12 000 €, cela représente environ 4 000 € de valeur détruite, soit largement plus que trois années de contrat de maintenance sur un site vitrine.
Le cas des sites « qui tournent tout seuls » : ce qui se passe au bout de 18 mois
C'est le scénario que l'on rencontre le plus souvent en reprise de site. Il se déroule presque toujours dans le même ordre.
Mois 1 à 6 : rien. Le site fonctionne, tout va bien, la décision de ne pas souscrire semble excellente.
Mois 6 à 12 : les premières alertes du tableau de bord s'accumulent. Personne ne les lit. Une extension passe en « non testée avec votre version ». Le certificat SSL se renouvelle automatiquement, heureusement.
Mois 12 à 18 : l'hébergeur annonce la fin de support d'une version de PHP. Le site affiche des avertissements en haut des pages. Un formulaire cesse de fonctionner sans que personne ne s'en aperçoive, parce que personne ne teste jamais un formulaire de contact depuis l'extérieur.
Mois 18 et au-delà : un incident survient. On cherche une sauvegarde. Elle date de la mise en ligne, ou bien elle est stockée sur le serveur compromis, ce qui revient au même. Le développeur d'origine a changé d'activité, les accès sont dans une boîte mail que plus personne ne consulte.
Et c'est là qu'arrive le devis d'urgence, celui qu'on ne négocie pas.
Les différents types de contrats de maintenance web
Il n'existe pas de contrat idéal dans l'absolu. Il existe un contrat adapté à un site donné, dans une entreprise donnée, avec des ressources internes données. Voici les cinq formats que l'on rencontre sur le marché français, avec leur logique et leurs angles morts.
Le forfait mensuel tout inclus
Le plus répandu. Un montant fixe couvre le socle technique, la sécurité, les sauvegardes, le monitoring, et généralement une petite enveloppe d'interventions.
Son intérêt principal n'est pas financier, il est psychologique : le client n'hésite plus à signaler un problème par peur de déclencher une facture. Or un problème signalé tôt coûte dix fois moins cher qu'un problème signalé tard. C'est bête, mais c'est décisif.
Son défaut ? Le flou sur la partie « interventions incluses ». Un forfait qui ne précise pas le volume horaire couvert finit toujours par générer une frustration, dans un sens ou dans l'autre.
Le contrat au ticket ou à l'incident
Pas d'abonnement, une facturation à l'acte, avec un tarif horaire négocié à l'avance et parfois un engagement de délai.
Sur le papier, c'est le plus économique pour un site stable. Dans les faits, c'est le format qui produit le plus de dégradations silencieuses, pour la raison évoquée plus haut : personne n'ouvre un ticket payant pour un détail. Et les détails, en maintenance, ce sont précisément les signaux précurseurs.
Format défendable pour un site secondaire à faible enjeu. Déconseillé dès qu'il y a du chiffre d'affaires derrière.
La régie et les packs d'heures annuels
On achète un volume, par exemple 24 heures sur l'année, consommables à la demande, souvent avec un tarif horaire dégressif.
Format apprécié des entreprises qui ont un projet d'évolutions continu et une visibilité correcte sur leurs besoins. Deux points de vigilance : le report des heures non consommées d'une année sur l'autre, et le mode de décompte. Certains prestataires facturent à la demi-journée entamée, ce qui transforme un correctif de vingt minutes en 4 heures de pack consommées.
Le contrat hybride : socle technique + enveloppe d'évolutions
À notre sens, la formule la plus saine pour la majorité des sites professionnels. Un abonnement mensuel couvre tout ce qui doit être fait de manière systématique et non négociable, quelle que soit l'humeur du mois : mises à jour, sauvegardes, sécurité, surveillance, reporting. À côté, une enveloppe d'heures identifiée finance les évolutions.
Pourquoi ça marche ? Parce que ça sépare le prévisible de l'imprévisible. Le socle ne se discute pas et ne se reporte pas. Les évolutions se pilotent, s'arbitrent, se planifient. Chacun sait ce qu'il achète.
Le contrat intégré à une prestation SEO ou marketing
La maintenance technique est absorbée dans un accompagnement plus large, où elle devient un moyen au service d'un objectif de visibilité plutôt qu'une fin en soi.
La logique se tient parfaitement : quand le même prestataire suit les positions, l'indexation et les performances, il détecte une anomalie technique avant qu'elle ne devienne un incident. Une chute de positions sur un groupe de pages, un temps de réponse serveur qui grimpe, une couverture d'indexation qui recule, ce sont des symptômes techniques lus par un œil marketing.
La réserve à garder en tête : vérifier que la ligne « maintenance » est identifiée dans l'offre, avec son périmètre propre. Sinon, elle a tendance à être la première sacrifiée quand le budget se tend.
Comment choisir selon la taille, la criticité et l'équipe interne
Trois questions suffisent à trancher dans neuf cas sur dix.
Premièrement, que se passe-t-il si le site est indisponible pendant 48 heures ? Si la réponse est « pas grand-chose », un contrat léger convient. Si la réponse est « on perd des commandes » ou « notre standard téléphonique explose », il faut un engagement de délai contractuel.
Deuxièmement, quelqu'un en interne sait-il ouvrir un accès FTP ? Pas « a déjà entendu parler de », mais sait faire. Si la réponse est non, tout format à l'acte est illusoire : personne ne saura qualifier l'incident ni décider de son urgence.
Troisièmement, combien d'évolutions sont prévues cette année ? Zéro à deux : forfait simple. Une par mois ou davantage : hybride ou pack d'heures, sans hésiter.
Ce que doit contenir un bon contrat de maintenance : la check-list
Un contrat de maintenance tient en deux ou trois pages quand il est bien écrit. Le nombre de pages n'est pas un gage de qualité. La précision, si.
Le périmètre exact des interventions couvertes
La liste des composants suivis (cœur, extensions, thème, serveur, base de données), la fréquence des opérations, et surtout la liste explicite de ce qui n'est pas couvert. Un contrat qui ne comporte aucune exclusion est un contrat mal rédigé : cela signifie que les exclusions sont dans la tête du prestataire, et qu'elles apparaîtront au premier désaccord.
Les délais d'intervention et de rétablissement (GTI, GTR)
Deux notions à ne pas confondre. La GTI, garantie de temps d'intervention, c'est le délai sous lequel le prestataire prend en charge le signalement. La GTR, garantie de temps de rétablissement, c'est le délai sous lequel le service est rétabli.
Une GTI de 4 heures sans GTR ne garantit strictement rien sur la remise en service. Elle garantit qu'on vous répondra. Nuance.
Ces délais doivent être gradués par niveau de criticité : site inaccessible, fonction majeure hors service, anomalie mineure. Un prestataire qui promet le même délai pour tout n'a pas réfléchi à son organisation, ou ne compte pas tenir sa promesse.
Les horaires de couverture et l'astreinte
Jours ouvrés 9h-18h ? 7j/7 ? Astreinte week-end en supplément ? Pour un e-commerce dont le pic de commandes tombe le dimanche soir, une couverture strictement ouvrée est un choix qu'il faut faire en connaissance de cause, pas par défaut.
La politique de sauvegarde : fréquence, rétention, test de restauration
Trois paramètres, jamais deux.
La fréquence détermine ce que vous perdez au pire : une sauvegarde quotidienne signifie jusqu'à 24 heures de données envolées. Acceptable pour une vitrine, problématique pour une boutique qui enregistre trente commandes par jour.
La rétention détermine jusqu'où vous pouvez remonter. C'est le paramètre le plus sous-estimé : une infection reste souvent dormante plusieurs semaines. Avec sept jours de rétention, vos sauvegardes disponibles sont toutes déjà infectées. Trente jours constituent un minimum raisonnable.
Le test de restauration, enfin, est le seul qui prouve que les deux premiers servent à quelque chose. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Un test annuel documenté, sur un environnement de test, devrait être une clause standard. Il ne l'est presque jamais.
Le reporting : ce que vous devez recevoir chaque mois
Un rapport de maintenance utile tient sur une page et contient : la liste des mises à jour appliquées, les incidents survenus et leur résolution, le taux de disponibilité mesuré, l'état des sauvegardes, les alertes de sécurité traitées, le temps consommé sur l'enveloppe d'évolutions, et les points de vigilance à venir.
Ce dernier point est celui qui distingue un prestataire qui exécute d'un prestataire qui anticipe. « La version de PHP de votre hébergement sera en fin de support en mars, il faut prévoir une migration » : voilà ce qu'on attend de lire.
La propriété des accès, du code et des données
Le nom de domaine doit être déposé au nom de l'entreprise, pas à celui de l'agence. Le contrat d'hébergement de préférence aussi. Le code sur mesure développé et facturé doit faire l'objet d'une cession de droits écrite.
Ce sont trois lignes dans un contrat. Elles valent la valeur entière du site le jour où la relation se termine mal.
La clause de réversibilité : partir sans être pris en otage
Elle prévoit, à la fin du contrat et sans surcoût abusif : la remise de l'ensemble des accès, une sauvegarde complète et exploitable des fichiers et de la base, la documentation des développements spécifiques, et une période d'accompagnement du prestataire suivant.
Une agence qui refuse d'inscrire cette clause vous dit quelque chose d'important sur son modèle. Écoutez-la.
Les exclusions et les seuils de facturation supplémentaires
Que se passe-t-il si le site est piraté ? Si un tiers intervient sur le code ? Si un incident vient de l'hébergeur ? Si les heures incluses sont dépassées ?
Sur ce dernier point, le mécanisme doit être écrit : alerte avant dépassement, validation préalable du client, tarif horaire applicable au-delà. Une facturation additionnelle qui arrive sans prévenir est une faute de gestion de la relation, pas seulement une question d'argent.
Budget annuel : les fourchettes réelles par type de site
Précision utile avant d'entrer dans les chiffres : les fourchettes ci-dessous correspondent au marché français des agences et freelances professionnels en 2026, hors hébergement et licences. Elles ne recouvrent ni les plateformes offshore à 19 € par mois, ni les grands comptes avec engagement de niveau de service contractuel lourd.
Site vitrine WordPress de 5 à 15 pages
De 600 à 1 800 € par an, soit 50 à 150 € par mois.
Le bas de la fourchette couvre un socle honnête : mises à jour mensuelles, sauvegardes automatisées et externalisées, sécurité de base, monitoring de disponibilité, rapport trimestriel. Le haut de la fourchette ajoute une préproduction systématique, une à deux heures d'évolutions incluses, un reporting mensuel commenté et un délai d'intervention contractuel.
En dessous de 500 € par an, on n'achète plus un service mais l'exécution d'un script.
Site vitrine multilingue ou multi-agences
De 1 200 à 3 000 € par an.
Le multilingue change la donne pour une raison précise : chaque mise à jour doit être vérifiée sur chaque version linguistique, et les extensions de traduction figurent parmi les plus fragiles de l'écosystème. Ajoutez-y les balises hreflang, dont la moindre incohérence se traduit directement par une perte de visibilité sur les marchés secondaires. C'est un sujet que l'on retrouve avec une régularité déprimante en audit.
Site e-commerce PrestaShop, WooCommerce ou Shopify
De 1 800 à 6 000 € par an pour une boutique de taille moyenne, davantage au-delà de quelques milliers de références.
Trois facteurs justifient l'écart avec un site vitrine. Le tunnel de commande doit être testé après chaque intervention, ce qui représente un travail réel et incompressible. La surface de risque est bien plus large, avec des modules de paiement, de transport, de facturation et de synchronisation qui évoluent chacun à leur rythme. Enfin, l'indisponibilité a un coût direct, ce qui impose des engagements de délai plus serrés.
Le cas Shopify mérite une note : l'infrastructure et les mises à jour du cœur sont prises en charge par la plateforme, ce qui allège nettement le poste technique. Mais les applications tierces, les personnalisations du thème et les intégrations continuent, elles, de demander un suivi. Le budget baisse. Il ne disparaît pas.
Site sur mesure ou application métier
De 3 000 à 15 000 € par an, avec une dispersion très forte.
Ici, la règle du pourcentage retrouve sa pertinence : comptez entre 15 et 20 % du coût de développement initial par an. Le sur-mesure n'a pas de communauté pour publier des correctifs, pas de forum où quelqu'un a déjà résolu votre bug. Chaque évolution de l'environnement, montée de version du langage, changement d'API tierce, mise à jour de librairie, demande une intervention spécifique.
Site avec forte volumétrie de contenu ou de trafic
À partir de 4 000 € par an, hors infrastructure.
Au-delà de quelques milliers de pages et de quelques dizaines de milliers de visiteurs mensuels, la maintenance change de nature. Il ne s'agit plus seulement de mettre à jour, mais d'optimiser en continu : cache, requêtes en base, poids des médias, gestion du CDN, surveillance des logs, arbitrages de budget de crawl.
C'est de la maintenance de performance. Elle demande d'autres compétences, et se rapproche de l'ingénierie d'exploitation.
Tableau récapitulatif des fourchettes annuelles
| Type de site | Fourchette annuelle | Équivalent mensuel | Facteur déterminant |
|---|---|---|---|
| Vitrine 5 à 15 pages | 600 à 1 800 € | 50 à 150 € | Nombre d'extensions |
| Vitrine multilingue / multi-sites | 1 200 à 3 000 € | 100 à 250 € | Nombre de versions à tester |
| E-commerce moyen | 1 800 à 6 000 € | 150 à 500 € | Modules de paiement et transport |
| Sur mesure / application métier | 3 000 à 15 000 € | 250 à 1 250 € | Complexité fonctionnelle |
| Forte volumétrie | 4 000 € et plus | 330 € et plus | Trafic et nombre d'URL |
Les coûts annexes à intégrer dans le budget global
Erreur classique en construction budgétaire : ne provisionner que la ligne « maintenance » et découvrir les autres au fil des prélèvements. Un site coûte plus que son contrat de maintenance.
Hébergement : mutualisé, infogéré, serveur dédié
Un mutualisé correct tourne entre 60 et 200 € par an. Suffisant pour une vitrine, insuffisant dès que le trafic monte ou que le site est stratégique.
Un hébergement infogéré, avec supervision, sauvegardes serveur et support technique réactif, se situe entre 400 et 1 500 € par an. C'est le choix par défaut pour un e-commerce, et l'écart de prix avec le mutualisé se rembourse au premier incident évité.
Le dédié ou le cloud dimensionné démarre vers 1 200 € par an et n'a de sens qu'accompagné de compétences d'administration système, en interne ou chez le prestataire.
Un conseil qui a l'air anodin et qui ne l'est pas : vérifiez où sont stockées les sauvegardes de votre hébergeur. Si elles sont sur la même machine que le site, elles ne protègent que d'une seule chose, l'erreur humaine. Pas d'un incident matériel, pas d'un ransomware.
Nom de domaine et certificat SSL
Le domaine coûte 10 à 40 € par an selon l'extension. Le certificat SSL est aujourd'hui gratuit dans l'immense majorité des cas via Let's Encrypt, inclus chez tous les hébergeurs sérieux. Un prestataire qui vous facture 150 € par an un certificat standard vous facture un renouvellement automatique.
Sur le domaine, une seule règle : renouvellement automatique activé, propriétaire au nom de l'entreprise, adresse de contact consultée par quelqu'un. Un domaine expiré, c'est un site hors ligne, des mails perdus, et une période de rachat parfois disputée.
Licences de thèmes, extensions et modules premium
Le poste le plus souvent oublié, et il grimpe vite. Un thème premium tourne autour de 60 € par an. Une extension de formulaires avancés, 50 à 100 €. Un moteur de recherche à facettes, 100 à 200 €. Un module de transporteur sur PrestaShop, souvent 90 € par module et par an.
Sur un e-commerce équipé normalement, le total des licences atteint fréquemment 500 à 1 200 € par an. Et surtout : une licence expirée ne coupe pas la fonctionnalité, elle coupe les mises à jour. Le module continue de tourner, sans plus jamais recevoir de correctif de sécurité. Le pire des deux mondes, en somme.
Outils tiers : sauvegarde externalisée, monitoring, CDN, antispam
Sauvegarde externalisée sur stockage indépendant : 50 à 200 € par an. Monitoring de disponibilité avec alerte : gratuit à 100 € par an. CDN et pare-feu applicatif : gratuit en entrée de gamme, 200 à 300 € par an pour un plan pro. Antispam sur formulaires et commentaires : 40 à 100 € par an.
Beaucoup de contrats de maintenance incluent ces outils. Beaucoup d'autres les facturent en sus. Vérifiez lequel des deux vous avez signé.
Le budget de refonte à provisionner : la règle des 4 à 6 ans
Aucun site n'est éternel, même parfaitement entretenu. Les standards d'affichage évoluent, les usages changent, les attentes de Google en matière d'expérience utilisateur se durcissent, l'identité de marque se renouvelle.
La bonne pratique consiste à provisionner chaque année entre 15 et 25 % du coût de création, de manière à disposer du budget de refonte au moment où il devient nécessaire plutôt que de le subir. Sur un site à 10 000 €, cela représente 1 500 à 2 500 € par an mis de côté.
Peu d'entreprises le font. Celles qui le font ne se retrouvent jamais à repousser une refonte devenue urgente faute de trésorerie, ce qui est exactement la situation dans laquelle un site se met à coûter cher.
Comment calculer votre budget de maintenance : la méthode
Trois approches, aucune parfaite isolément. Les croiser donne une fourchette solide.
Le pourcentage du coût de création : une règle imparfaite mais utile
La règle empirique la plus répandue : 10 à 20 % du coût de création par an. Un site à 8 000 € appelle donc 800 à 1 600 € annuels.
Sa limite est évidente. Deux sites facturés au même prix peuvent avoir des besoins radicalement différents selon leur architecture, et un site vendu 3 000 € parce qu'il a été bâclé demandera davantage de maintenance qu'un site à 15 000 € proprement construit. La corrélation existe, elle n'est pas mécanique.
Utilisez cette règle comme un premier repère, pas comme un résultat.
La méthode par la criticité business : combien coûte une journée de site hors ligne
C'est la méthode la plus rigoureuse, et elle tient en un calcul.
Prenez le chiffre d'affaires annuel directement attribuable au site : commandes en ligne, demandes de devis converties, prises de rendez-vous. Divisez par 250 jours ouvrés. Vous obtenez le coût d'une journée d'indisponibilité.
Un e-commerce à 400 000 € de CA annuel perd 1 600 € par jour d'arrêt. Deux jours d'incident, et vous avez dépassé le budget annuel de maintenance d'une boutique de taille moyenne. Une entreprise de services dont le site génère 30 % d'un chiffre d'affaires de 900 000 € perd 1 080 € par jour ouvré.
Face à ces montants, la question n'est plus « combien coûte la maintenance » mais « quel niveau de garantie ce coût journalier justifie-t-il ». Ce n'est pas la même conversation.
La méthode par le volume d'évolutions prévues sur l'année
Listez ce qui est prévu sur douze mois : nouvelles pages, campagnes à intégrer, connexions à mettre en place, ajustements de formulaires, adaptations réglementaires.
Estimez le temps de chaque poste, additionnez, appliquez le tarif horaire. Ajoutez le socle technique. Vous obtenez un budget construit sur votre réalité, pas sur une moyenne de marché.
Cette méthode a un avantage secondaire, souvent décisif en interne : elle transforme la maintenance en ligne budgétaire justifiée par des projets identifiés, ce qui la rend infiniment plus défendable devant une direction financière qu'un abonnement générique.
Arbitrer entre internaliser et externaliser
Internaliser suppose : quelqu'un qui maîtrise le CMS et l'environnement serveur, du temps réellement disponible et pas seulement théorique, une continuité en cas de congés ou de départ, et une veille de sécurité suivie.
Faisons le calcul honnêtement. La maintenance d'un site vitrine représente entre deux et quatre heures par mois. Au coût chargé d'un profil compétent, disons 45 € de l'heure, cela représente 1 080 à 2 160 € par an. Soit le prix d'un contrat externalisé, sans la mutualisation de la veille, sans l'astreinte, sans le second regard.
L'internalisation devient pertinente à partir d'un certain volume, typiquement plusieurs sites à gérer, ou quand des contraintes de confidentialité l'imposent. Le modèle mixte fonctionne bien : le prestataire tient le socle technique et la sécurité, l'équipe interne gère les contenus et les modifications courantes. Chacun sur son terrain.
Les pièges et signaux d'alerte lors de la souscription
Un contrat de maintenance se juge autant sur ce qu'il dit que sur ce qu'il évite de dire.
Le forfait trop bas : ce qu'il cache toujours
À 29 € par mois, faisons le calcul : cela laisse, marge et charges déduites, environ vingt minutes de travail humain mensuel. Vingt minutes.
Concrètement, cela ne finance qu'une automatisation : les mises à jour se déclenchent seules, sans vérification, sans préproduction, sans test après application. Ça fonctionne… jusqu'à la mise à jour qui casse quelque chose. Et là, personne ne s'en aperçoit avant que le client n'appelle.
Un forfait très bas n'est pas une bonne affaire. C'est une couverture différente, vendue sous le même nom.
L'agence qui refuse de donner les accès FTP et base de données
Signal d'alerte majeur. Les justifications invoquées sont toujours les mêmes : sécurité, risque de fausse manipulation, préservation de la garantie.
Aucune ne tient. Vous êtes propriétaire de votre site. Un prestataire professionnel peut parfaitement fournir des accès nominatifs, tracés, avec les droits appropriés, et se protéger par une clause contractuelle plutôt que par la rétention. Le refus d'accès n'est pas une mesure de sécurité, c'est une mesure de rétention commerciale.
Les mises à jour automatiques sans environnement de préproduction
Sur un site vitrine simple, le risque reste modéré. Sur un e-commerce, c'est jouer à pile ou face avec le tunnel de commande chaque semaine.
La question à poser en entretien est directe : « disposez-vous d'un environnement de préproduction, et testez-vous les mises à jour dessus avant la production ? » La réponse, et surtout la façon dont elle est donnée, vous en apprendra beaucoup.
Les heures non consommées qui ne se reportent jamais
Une enveloppe de deux heures mensuelles remise à zéro chaque mois, c'est vingt-quatre heures théoriques dont vous consommerez peut-être huit. Les seize autres sont payées et perdues.
Le report trimestriel constitue un compromis raisonnable, défendable pour les deux parties. Le report annuel intégral est plus rare mais se négocie, surtout à la signature.
L'absence de test de restauration des sauvegardes
Reprenons ce point, parce qu'il concentre à lui seul l'essentiel du risque.
Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde. C'est un fichier dont on suppose qu'il contient quelque chose d'exploitable. On découvre bien trop souvent, au pire moment, que la base était exclue du périmètre, que l'archive était corrompue, ou que le processus tournait en erreur silencieuse depuis huit mois.
Exigez un test annuel documenté. Une ligne dans le contrat. Un rapport dans l'année. Ça ne coûte pas grand-chose et ça change tout.
La tacite reconduction à 12 mois sans clause de sortie
La reconduction automatique n'a rien de choquant en soi. L'absence de préavis raisonnable et de faculté de résiliation, si.
Un préavis de un à trois mois est standard. Un engagement de vingt-quatre mois sans porte de sortie, sur une prestation de service technique, mérite au minimum une contrepartie tarifaire explicite. Sinon, négociez ou passez votre chemin.
Maintenance et référencement naturel : le lien direct sur votre visibilité
Voilà la partie que les entreprises découvrent généralement après coup, quand elles cherchent à comprendre pourquoi leur trafic s'érode sans qu'aucune décision éditoriale ne l'explique.
Performance, Core Web Vitals et positions
Les signaux d'expérience de page font partie des critères de classement de Google. Le LCP, qui mesure le temps d'affichage du plus grand élément visible, l'INP, qui mesure la réactivité à l'interaction, et le CLS, qui mesure la stabilité visuelle, se dégradent presque toujours pour des raisons de maintenance.
Une extension ajoutée sans contrôle qui charge sa propre librairie JavaScript sur toutes les pages. Un cache mal configuré après une mise à jour. Des images intégrées en pleine résolution par un contributeur qui n'a jamais été formé. Une base de données jamais optimisée, alourdie par des années de révisions d'articles et de tables résiduelles d'extensions désinstallées.
Aucun de ces points n'est spectaculaire. Leur accumulation, elle, se voit très bien dans les données.
Erreurs 404, redirections et perte de couverture d'indexation
Une mise à jour qui modifie la structure des permaliens, une extension de redirection qui perd sa table, une migration mal préparée : et voilà des dizaines d'URL positionnées qui renvoient une erreur.
Google met plusieurs semaines à désindexer ces pages, puis plusieurs semaines à réindexer les nouvelles. Entre les deux, le trafic est perdu, et les positions ont été récupérées par des concurrents qui ne les rendront pas spontanément.
Une surveillance mensuelle du rapport de couverture dans la Search Console détecte ce type d'incident en quelques jours. Sans elle, le constat se fait au trimestre, quand quelqu'un remarque enfin la courbe.
Le suivi des positions comme indicateur de santé technique
Approche intéressante, et sous-utilisée : les positions constituent un excellent capteur d'anomalie technique.
Une chute simultanée sur un groupe de mots-clés partageant la même famille d'URL ne s'explique presque jamais par le contenu. Elle raconte autre chose : un gabarit cassé, un blocage de crawl, un temps de réponse dégradé sur une section, un balisage disparu après une mise à jour.
C'est pour cette raison que le suivi quotidien des positions, avec un système d'alerte sur les décrochages, vaut largement son coût. Il détecte des incidents techniques que le monitoring de disponibilité ne verra jamais, parce que le site répond parfaitement, il répond simplement moins bien.
Pourquoi la maintenance et le SEO gagnent à être portés par le même prestataire
Quand les deux missions sont séparées, un schéma se répète avec une régularité fatigante. L'agence SEO constate une baisse et documente le problème technique. L'agence de maintenance conteste le diagnostic ou le place en bas de sa file d'attente. Les semaines passent. Le client arbitre entre deux prestataires qui parlent des langues différentes, sans avoir les moyens techniques de trancher.
Réunies, ces missions se renforcent. Celui qui suit les positions détecte l'anomalie ; celui qui a les accès la corrige dans la journée ; et surtout, chaque décision technique est prise en pesant son effet sur la visibilité. Désactiver une extension lourde, oui, mais pas si elle génère le balisage structuré des fiches produits. Migrer vers un nouveau serveur, très bien, à condition de traiter les redirections en amont.
Ce n'est pas une question de nombre d'interlocuteurs. C'est une question de qui porte la responsabilité du résultat.
Questions fréquentes sur la maintenance d'un site internet
La maintenance est-elle obligatoire ?
Aucune loi n'impose de contrat de maintenance. En revanche, le RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques appropriées pour garantir la sécurité des données personnelles, et un site tournant sur une version vulnérable connue depuis des mois se défend mal sur ce terrain en cas de contrôle ou de fuite.
Techniquement, pas d'obligation. Juridiquement et pratiquement, une obligation de moyens qui n'en porte pas le nom.
Peut-on assurer soi-même la maintenance de son site WordPress ?
Oui, à quatre conditions cumulatives : savoir restaurer une sauvegarde complète, disposer d'un environnement de test, suivre les bulletins de sécurité des extensions installées, et tenir ce rythme sur la durée, y compris pendant les périodes chargées.
Ce dernier point est celui qui fait échouer la plupart des tentatives. Ce n'est pas une question de compétence, c'est une question de régularité. Une maintenance faite trois mois sur douze ne protège pas de grand-chose.
Que faire si le site a été livré sans contrat de maintenance ?
Commencez par un audit d'état des lieux : version du CMS, extensions obsolètes ou abandonnées, présence et validité des sauvegardes, version de PHP, vulnérabilités connues, accès disponibles.
Cet audit coûte généralement entre 300 et 800 €, et il conditionne tout le reste. Il détermine s'il faut d'abord procéder à une remise à niveau, parfois substantielle, avant d'entrer dans un rythme de maintenance normal. Un prestataire qui accepte de reprendre un site inconnu sans l'avoir regardé prend un risque, et vous le fera payer d'une manière ou d'une autre.
Combien de temps faut-il pour reprendre la maintenance d'un site existant ?
Comptez deux à quatre semaines entre l'audit et le régime de croisière. La reprise comprend la récupération et la sécurisation des accès, la mise en place des sauvegardes et du monitoring, la remise à niveau des composants critiques, la création d'un environnement de préproduction, et la documentation des spécificités du site.
Sur un site très en retard, techniquement parlant, la remise à niveau seule peut demander plusieurs jours de travail et fait alors l'objet d'un devis distinct du contrat.
La maintenance couvre-t-elle la création de nouvelles pages ?
Rarement dans un forfait technique de base, plus souvent dans une formule hybride avec enveloppe d'heures.
La distinction utile est celle-ci : l'intégration technique d'une page dans un gabarit existant relève des évolutions et se consomme sur l'enveloppe. La conception, la rédaction et l'optimisation du contenu relèvent d'une prestation éditoriale, avec sa propre logique et sa propre tarification. Deux métiers, deux lignes.
Faire le bon choix : ce qu'il faut retenir
La maintenance ne relève pas de la dépense de confort. C'est le coût de possession d'un actif numérique, au même titre que l'entretien d'un local commercial ou d'un véhicule d'entreprise. Personne ne s'étonne de payer une révision annuelle sur un utilitaire. Le site internet, lui, échappe encore à ce réflexe, alors qu'il génère souvent davantage de chiffre d'affaires.
Quelques repères pour trancher.
Un site vitrine se maintient correctement pour 600 à 1 800 € par an, un e-commerce pour 1 800 à 6 000 €, un développement sur mesure pour 15 à 20 % de son coût de création. En dessous de ces seuils, ce n'est pas de la maintenance qu'on achète, c'est une automatisation.
Le contrat compte davantage que le montant. Un forfait à 150 € par mois avec périmètre défini, délais engagés, sauvegardes testées et reporting mensuel vaut infiniment mieux qu'un forfait à 90 € dont personne ne sait vraiment ce qu'il couvre.
Trois clauses ne se négocient pas : la propriété des accès et du code, le test de restauration des sauvegardes, la réversibilité en fin de contrat. Un prestataire qui hésite sur l'une des trois vous renseigne mieux que n'importe quelle plaquette commerciale.
Le coût de l'absence de maintenance ne se mesure pas en factures d'incident, mais en dette technique accumulée, en positions perdues sans qu'on sache pourquoi, et en refonte anticipée de deux ans. Ces trois postes ne figurent sur aucun devis. Ils apparaissent uniquement dans les résultats, et toujours avec du retard.
Dernier point, et c'est peut-être le plus important : demandez à voir un rapport de maintenance réel, anonymisé, avant de signer. Un prestataire qui en produit chaque mois vous le montrera sans difficulté. Les autres trouveront une raison de ne pas le faire. Vous aurez votre réponse.
