Un contrat de maintenance WordPress sérieux précise sept points : le périmètre des mises à jour, les tests en staging, des sauvegardes externalisées, la remise en état après piratage, un SLA chiffré, des conditions de résiliation claires, et la réversibilité avec la propriété du code. Sans eux, un forfait « tout inclus » peut ne rien inclure le jour où le site tombe.
Chaque clause ci-dessous indique ce qu'elle doit dire noir sur blanc, le signal d'alerte et la question à poser au prestataire. Vous pouvez vous en servir pour comparer des devis ou pour relire le contrat que vous avez déjà signé.
En bref
- Exigez la liste exacte de ce qui est mis à jour, PHP compris, et des tests en staging avant toute mise en production.
- Les sauvegardes doivent être hors du serveur d'hébergement, avec une rétention définie et un test de restauration.
- Un SLA utile distingue le délai de prise en charge du délai de résolution, par niveau de gravité.
- L'engagement, le préavis, la propriété du code et le contrat RGPD doivent être écrits, car la loi ne les complète pas à votre place.
- Les prix varient selon le périmètre réel : c'est lui qui explique l'écart entre deux devis.
1. Le périmètre des mises à jour : cœur, thème, extensions et PHP
Le contrat doit nommer ce qui est mis à jour : cœur WordPress (mineures et majeures), thème parent et enfant, extensions gratuites et premium, version de PHP du serveur, et MySQL si le prestataire gère le serveur.
Fixez aussi la fréquence : une passe hebdomadaire, et les correctifs de sécurité critiques sous 24 à 48 h. Précisez ce qui sort du forfait (nouvelles fonctionnalités, évolutions de design) et comment c'est facturé : banque d'heures ou taux horaire.
Signal d'alerte : des « mises à jour automatiques » sans contrôle humain, ou PHP exclu. Les versions ont une date de péremption : selon HeroDevs, PHP 8.2 sort du support de sécurité le 31 décembre 2026 et PHP 8.3 le 31 décembre 2027. Si votre thème ne tourne pas sur une version supportée, la maintenance ne suffit plus et il faut envisager une refonte de site WordPress sans perdre votre SEO.
Question à poser : « Qui met à jour PHP, et à quel moment ? »
2. Des tests en staging avant chaque mise à jour
Oui, le contrat doit prévoir un environnement de préproduction (staging) où chaque mise à jour est testée avant de toucher le site en ligne.
Les tests couvrent les pages clés, les formulaires et, sur une boutique WooCommerce, le tunnel de commande jusqu'au paiement. Le contrat doit aussi décrire un retour arrière (rollback) documenté, pour le jour où quelque chose casse malgré tout.
Signal d'alerte : des mises à jour passées directement en production. Ne confondez pas ce sujet avec la page temporaire affichée pendant une intervention : pour celle-ci, voyez comment activer le mode maintenance WordPress. Ce n'est pas un contrat de maintenance.
Question à poser : « Que se passe-t-il si une extension casse le site un vendredi soir ? »
3. Des sauvegardes externalisées, fréquentes et testées
Une sauvegarde qui reste sur le serveur d'hébergement ne vous protège pas le jour où ce serveur tombe. Le contrat doit donc fixer le lieu, la fréquence et la rétention.
- Lieu : un stockage hors de l'hébergeur, idéalement en France ou dans l'UE ; hors UE, le RGPD impose des garanties encadrant le transfert. C'est l'esprit de la règle 3-2-1 : trois copies, sur deux supports, dont une hors site.
- Fréquence : quotidienne au minimum pour un site vitrine. Plus rapprochée, voire en temps réel, pour un e-commerce où chaque commande compte.
- Rétention : 30 jours, par exemple, pour pouvoir remonter avant une infection discrète.
Ajoutez un test de restauration périodique et le droit de recevoir une copie sur simple demande.
Signal d'alerte : des sauvegardes uniquement chez l'hébergeur, ou stockées dans la même base que le site.
4. Sécurité, monitoring et remise en état après piratage
Le contrat doit dire si le nettoyage d'un site piraté est inclus ou facturé en plus. Les forfaits à bas prix laissent le plus souvent ce point dans le flou.
Le reste du périmètre se vérifie vite : monitoring de disponibilité 24/7, scan de malwares, pare-feu applicatif (WAF), veille sur les vulnérabilités des extensions et double authentification sur les comptes administrateurs. Cette veille pèse lourd, car les extensions sont une source fréquente de failles. Le rapport de Patchstack sur l'état de la sécurité WordPress est une source à consulter pour les chiffres. Pour le détail technique, lisez comment sécuriser un site WordPress contre le piratage.
Question à poser : « Si le site est piraté demain, qui nettoie, en combien de temps, et à quel tarif ? »
5. Un SLA chiffré : délai de prise en charge et délai de résolution
Le délai de prise en charge, c'est le temps avant que quelqu'un accuse réception et commence le diagnostic. Le délai de résolution, c'est le temps avant que le site refonctionne. Beaucoup de contrats ne promettent que le premier.
Concrètement, une prise en charge sous 24 h ouvrées signifie qu'un ticket ouvert le vendredi à 17 h peut ne pas être regardé avant le lundi, le week-end n'étant pas compté dans les heures ouvrées. Ce n'est pas un défaut en soi, à condition que le contrat le dise et que le niveau de gravité l'adapte.
Exigez trois niveaux : critique (site hors ligne ou piraté), majeur (fonctionnalité cassée) et mineur. Un repère raisonnable : prise en charge sous 4 h pour le critique, sous 24 h ouvrées pour le reste. Vérifiez aussi les canaux (téléphone, ticket) et les avoirs prévus si le délai n'est pas tenu.
Signal d'alerte : une « intervention rapide » sans aucun chiffre.
6. La durée d'engagement et les conditions de résiliation
Un engagement de 12 mois n'est pas illégal, mais il fait porter le risque sur vous : si le service est médiocre, vous payez quand même. Privilégiez le sans engagement, ou au minimum une période d'essai et un préavis d'un mois.
Relisez trois points : la tacite reconduction, le préavis et la révision tarifaire annuelle. Entre professionnels, les règles de rappel avant reconduction du Code de la consommation ne s'appliquent en principe pas ; ne comptez donc pas sur un avertissement du prestataire et vérifiez la date limite dans votre contrat. Pour le cadre, voir la note de SVP. Des exceptions existent selon votre statut, donc faites relire le contrat si l'enjeu est élevé.
Question à poser : « Quel est le préavis exact, et comment résilie-t-on ? »
7. Réversibilité et propriété du code en fin de contrat
Le contrat doit prévoir que vous repartez avec votre site, vos accès et vos droits, sans négocier le jour du départ. Quatre garanties :
- Les accès : admin WordPress, hébergement, DNS, FTP/SSH, Search Console.
- Une sauvegarde complète et le code source, idéalement via un dépôt Git.
- Les licences premium enregistrées à votre nom, pas à celui de l'agence.
- Une cession explicite des droits patrimoniaux sur le thème et le code sur-mesure. L'article L131-3 du Code de la propriété intellectuelle exige que chaque droit cédé soit mentionné distinctement, avec son étendue, sa destination, son lieu et sa durée. Sans écrit précis, ne supposez pas que le code est à vous. La licence GPL de WordPress vous autorise à réutiliser WordPress lui-même, pas à revendiquer le code écrit pour vous.
Ajoutez un contrat de sous-traitance RGPD : le mainteneur accède à vos données personnelles, et la CNIL rappelle qu'il faut le signer avant de démarrer, avec les exigences de l'article 28.
Signal d'alerte : un domaine ou un hébergement au nom de l'agence. Prévoyez cette réversibilité dès la création de site WordPress.
Checklist : auditer votre contrat de maintenance WordPress actuel
- La liste des éléments mis à jour est écrite (cœur, thème, extensions, PHP)
- Un staging et un rollback sont prévus
- Sauvegardes : lieu hors hébergeur, fréquence et rétention précisés
- Un test de restauration a lieu périodiquement
- Le nettoyage après piratage est indiqué comme inclus ou facturé
- Le SLA est chiffré par niveau de gravité, avec prise en charge et résolution distinguées
- Un reporting mensuel vous est remis
- Les heures d'évolution incluses sont indiquées
- Durée, préavis et reconduction sont lisibles
- Domaine, hébergement et accès sont à votre nom
- La cession des droits et les licences premium sont à votre nom
- Un contrat de sous-traitance RGPD (article 28) est signé
Combien coûte une prestation de maintenance WordPress ?
Le prix suit le périmètre : plus il y a de staging, de SLA et d'heures incluses, plus le forfait monte. Les niveaux ci-dessous décrivent le périmètre, pas un tarif de marché : aucune fourchette de prix n'est donnée faute de source vérifiée.
| Périmètre | Niveau de périmètre |
|---|---|
| Mises à jour seules, sans support ni staging | le plus réduit |
| Site vitrine avec sauvegardes, monitoring et support | intermédiaire |
| E-commerce avec SLA, staging et heures d'évolution | le plus étendu |
À titre d'exemple factuel, les forfaits Kameo vont de 79 à 299 € HT/mois, sans engagement, avec une heure de développement mensuelle sur les offres Pro et Premium.
Questions fréquentes
Qu'est-ce qu'un contrat de maintenance de site WordPress ?
C'est un accord écrit par lequel un prestataire s'engage à maintenir votre site à jour, sauvegardé, surveillé et réparable. Il précise le périmètre, les délais d'intervention, le prix, la durée et les conditions de sortie.
Combien coûte la maintenance d'un site WordPress par mois ?
Le tarif dépend surtout du périmètre : de simples mises à jour coûtent moins qu'un e-commerce avec SLA, staging et heures incluses. Comparez le périmètre avant de comparer le tarif.
Le nettoyage d'un site piraté est-il inclus dans un contrat de maintenance WordPress ?
Pas automatiquement. Selon les contrats, il est inclus, plafonné en heures ou facturé à part : exigez une réponse écrite.
Peut-on changer de prestataire de maintenance WordPress en cours de contrat ?
Oui, si le contrat est sans engagement ou si le préavis est respecté. Avec un engagement de 12 mois, vous devrez en général aller au terme ou payer la période restante. Vérifiez aussi que vos accès et votre code vous sont bien restitués.
Un petit site vitrine WordPress a-t-il vraiment besoin d'un contrat de maintenance ?
Oui, dès qu'il génère des demandes de contact, car il subit les mêmes failles qu'un gros site. Un forfait de base avec sauvegardes externalisées et mises à jour testées suffit souvent.
Quelle est la différence entre maintenance corrective et maintenance évolutive ?
La maintenance corrective répare ce qui est cassé et applique les mises à jour de sécurité, la préventive évite que cela casse. La maintenance évolutive ajoute des fonctionnalités ou modifie le site, et se facture en général à l'heure ou sur banque d'heures.
Passer de la checklist à un forfait qui la respecte
Prenez votre contrat actuel, cochez les douze points ci-dessus et envoyez les cases vides à votre prestataire. Sa réponse vous dira vite si le flou vient d'une négligence ou d'un choix délibéré. Les forfaits de Maintenance WordPress à Paris : forfaits dès 79 € HT par mois, sans engagement incluent des mises à jour testées en staging, des sauvegardes externalisées, un monitoring sécurité 24/7, un SLA de 24 h ouvrées, un code remis au client et un hébergement en France ou dans l'UE. Comparez votre contrat actuel à ces forfaits, ou demandez un audit de votre maintenance existante.
