Contrat de maintenance de site : ce qu'il doit couvrir

« Maintenance comprise. » La mention figure sur beaucoup de devis de site web, et elle rassure. Le problème, c’est qu’elle ne dit rien. Rien sur ce qui est fait, à quelle fréquence, en combien de temps, ni sur ce qui ne l’est pas.

Le jour où le site tombe, où un formulaire cesse d’envoyer ses messages ou où une extension vulnérable est exploitée, ce n’est pas le mot « maintenance » qui vous protège. Ce sont les engagements écrits derrière.

Nous avons déjà passé en revue les clauses essentielles d’un contrat de prestation pour un projet de développement. Le contrat de maintenance obéit à une logique différente : il ne porte pas sur un livrable, mais sur une continuité. Voici ce qu’il doit couvrir.

1. Les mises à jour de sécurité#

Un site repose sur des logiciels : un CMS, des extensions, un langage serveur, un système d’exploitation. Tous reçoivent régulièrement des correctifs. Le service public Cybermalveillance.gouv.fr le rappelle : les logiciels sont exposés à des failles de sécurité, et les mises à jour sont précisément ce qui les corrige.

Le contrat doit préciser :

• la fréquence des mises à jour courantes ;
• le délai d’application d’un correctif de sécurité critique, qui ne peut pas attendre la prochaine échéance mensuelle ;
• le périmètre : le CMS seul, ou aussi les extensions, le thème, le serveur ;
• la méthode : mise à jour testée avant la production, ou appliquée directement en ligne.

Ce dernier point compte. Une mise à jour peut casser une fonctionnalité. Un prestataire sérieux vérifie le site après chaque intervention, et sait revenir en arrière.

2. Les sauvegardes, et surtout leur restauration#

« Sauvegardes quotidiennes » ne suffit pas. Une sauvegarde qui n’a jamais été restaurée est une hypothèse. Cybermalveillance.gouv.fr recommande, dans sa fiche sur les sauvegardes, de tester régulièrement que la sauvegarde fonctionne, et de conserver une copie déconnectée.

À faire figurer dans le contrat :

Nous revenons sur ce point dans notre article sur la nécessité de tester ses sauvegardes régulièrement.

3. La supervision#

Qui s’aperçoit que le site est en panne ? Si la réponse est « un client qui appelle », il n’y a pas de supervision. Le contrat doit préciser ce qui est surveillé — disponibilité, expiration du certificat et du nom de domaine, espace disque, envoi des formulaires — et qui reçoit l’alerte.

4. Les délais d’intervention#

C’est la clause la plus souvent floue. Deux notions se confondent volontiers :

• le délai d’intervention, au bout duquel quelqu’un commence à traiter l’incident ;
• le délai de résolution, au bout duquel le problème est réglé.

Le premier est facile à promettre, le second beaucoup moins. Un contrat utile distingue des niveaux de gravité — site inaccessible, fonction essentielle en panne, défaut mineur — et associe à chacun un délai, en précisant les jours et heures couverts. Un engagement en heures ouvrées n’a pas la même valeur qu’un engagement le week-end, pour une boutique qui vend surtout le samedi.

5. La propriété des accès#

Le nom de domaine, l’hébergement, les comptes d’administration, le dépôt du code : tout doit être à votre nom, le prestataire y étant invité avec ses propres identifiants. C’est la condition pour qu’un changement de prestataire, ou sa disparition, ne vous mette pas en difficulté.

C’est aussi une situation fréquente lors d’une reprise de site existant : des comptes ouverts au nom d’un ancien prestataire, et une entreprise qui ne possède plus rien de ce qu’elle a payé.

6. Les données personnelles#

Un prestataire de maintenance accède à la base de données du site : comptes clients, messages de contact, commandes. Il traite donc des données personnelles pour votre compte. L’article 28 du RGPD impose dans ce cas un contrat écrit avec ce sous-traitant, qui encadre notamment ce que deviennent les données à la fin de la prestation. Cet engagement peut figurer dans le contrat de maintenance ou dans une annexe dédiée, mais il doit exister.

7. La réversibilité#

La clause de réversibilité décrit ce que le prestataire vous remet si vous partez : accès, code, dernières sauvegardes, documentation, et dans quel délai. Elle ne coûte rien à un prestataire honnête, et elle change tout le jour où la relation s’arrête.

8. Ce qui est hors forfait#

Paradoxalement, c’est la liste la plus utile. Elle évite les malentendus des deux côtés. Typiquement, sont souvent exclus d’un forfait de maintenance :

• les évolutions : nouvelles pages, nouvelles fonctionnalités ;
• la remise en état après une intervention de tiers sur le site ;
• la migration vers une nouvelle version majeure qui impose une réécriture ;
• les frais des services tiers : hébergement, nom de domaine, extensions payantes.

Peu importe que la liste soit longue ou courte. Ce qui compte, c’est qu’elle soit écrite, et que le mode de facturation de ce qui en relève soit connu à l’avance.

La grille de relecture#

Si vous avez déjà un contrat de maintenance, relisez-le avec ces huit questions :

1. À quelle fréquence les mises à jour sont-elles faites, et en combien de temps un correctif critique est-il appliqué ?
2. Quand une sauvegarde a-t-elle été restaurée pour la dernière fois ?
3. Qui est prévenu quand le site tombe ?
4. Quel délai, pour quel niveau de gravité, sur quels horaires ?
5. Les accès sont-ils à votre nom ?
6. L’engagement de sous-traitance des données personnelles existe-t-il ?
7. Que vous remet-on si vous partez ?
8. Qu’est-ce qui sera facturé en plus ?

Si plusieurs réponses manquent, ce n’est pas forcément le signe d’un mauvais prestataire. C’est le signe d’un contrat à compléter. C’est d’ailleurs ainsi que nous concevons notre prestation de webmaster : des engagements explicites, et des accès qui restent les vôtres.