Un site livré n'est pas un site protégé. Voici, poste par poste, ce qu'un vrai contrat de maintenance WordPress doit couvrir — et les clauses floues à refuser avant de signer.
En résumé
Un contrat de maintenance WordPress sérieux couvre six volets : mises à jour du cœur, des thèmes et des extensions ; sauvegardes testées et restaurables ; surveillance de sécurité et disponibilité ; environnement de préproduction avant chaque mise à jour ; délais d'intervention garantis (SLA) ; et un rapport mensuel documenté.
Budget indicatif 2026 : 25 à 60 €/mois pour un site vitrine, 80 à 200 €/mois pour un site professionnel critique, 150 à 500 €/mois pour un e-commerce. La règle d'or : ce qui n'est pas écrit dans le contrat n'est pas couvert.
Pourquoi la livraison d'un site ne marque pas la fin du projet
Chez Hikaad, la livraison n'est pas un point final : c'est le début du suivi. Un site WordPress est un logiciel vivant, connecté à Internet 24h/24. Le jour de la mise en ligne, il est propre et à jour. Trois mois plus tard, sans intervention, il accumule des versions obsolètes, des failles publiées et des sauvegardes que personne n'a jamais testées.
Quatre forces poussent un site à se dégrader dès qu'on cesse de s'en occuper.
Sécurité
De nouvelles vulnérabilités sur le cœur, les thèmes et les extensions sont publiées chaque semaine. Un correctif non appliqué devient une porte ouverte.
Compatibilité
PHP, WordPress et les extensions évoluent en parallèle. Une version qui prend du retard finit par créer des conflits et des pages cassées.
Performances
Base de données qui gonfle, cache mal réglé, images non optimisées : la vitesse se dégrade lentement et le SEO avec elle.
Continuité commerciale
Un formulaire de contact ou un paiement en panne pendant 48h, c'est du chiffre d'affaires perdu que personne ne remarque tout de suite.
En l'absence de contrat de maintenance signé, la responsabilité retombe sur le propriétaire du site, pas sur l'agence qui l'a créé. Un site livré « clé en main » sans maintenance signifie que la surveillance et les correctifs sont à votre charge. C'est précisément le rôle du contrat : transférer et encadrer cette responsabilité.
Quels risques couvre la maintenance WordPress ?
La maintenance ne sert pas à « faire tourner » un site : elle sert à éviter des incidents précis et coûteux. Voici les quatre plus fréquents.
| Risque | Ce qui se passe concrètement | Impact |
|---|---|---|
| Vulnérabilité du cœur WordPress | Une faille du noyau est publiée ; les bots scannent le web et exploitent les sites non corrigés en quelques heures. | Défiguration, injection, accès admin volé |
| Extension ou thème obsolète | La majorité des piratages WordPress viennent d'un plugin non mis à jour ou abandonné par son auteur. | Porte d'entrée principale des attaques |
| Sauvegarde inutilisable | Une sauvegarde existe mais n'a jamais été restaurée pour test : elle est corrompue ou incomplète le jour J. | Perte de données définitive |
| Formulaire / paiement en panne | Une mise à jour casse silencieusement le formulaire de devis ou le tunnel de paiement. | Chiffre d'affaires perdu sans alerte |
Le scénario le plus fréquent que nous rencontrons en reprise de site n'est pas l'absence de sauvegarde — c'est une sauvegarde jamais testée. Une sauvegarde qui ne se restaure pas ne vaut rien. C'est pourquoi un bon contrat mentionne la restauration testée, pas seulement la sauvegarde.
Que doit contenir un contrat de maintenance ?
Un contrat lisible se lit poste par poste. Chaque ligne doit répondre à trois questions : qu'est-ce qui est couvert, à quelle fréquence, et sous quel délai ? Voici les sept composants indispensables.
1. Inventaire des composants couverts
Le contrat liste nommément ce qui est maintenu : version de WordPress, thème, extensions, version de PHP, hébergement associé. Ce qui n'est pas dans l'inventaire n'est pas couvert — d'où l'importance d'une liste exhaustive dès le départ.
2. Fréquence des mises à jour
Mensuelle pour un site vitrine, hebdomadaire (voire sous 48h pour les correctifs de sécurité critiques) pour un site professionnel ou e-commerce. La fréquence doit être écrite, pas laissée à l'appréciation.
3. Sauvegardes et restauration
Le contrat précise la fréquence des sauvegardes, leur durée de conservation, leur emplacement (idéalement hors du serveur du site) et surtout la garantie d'une restauration testée.
4. Environnement de préproduction
Aucune mise à jour majeure ne devrait s'appliquer directement en production. Un environnement de préproduction (« staging ») permet de tester avant de déployer, et donc d'éviter qu'une mise à jour casse le site en direct.
5. Surveillance et alertes
Monitoring de disponibilité (uptime), détection de malware, alertes en cas de panne ou de comportement anormal. L'objectif : être prévenu avant le client, pas après.
6. Délais d'intervention et niveaux d'urgence
C'est le cœur du SLA (accord de niveau de service). Un site en panne n'a pas le même délai qu'une demande cosmétique. Le contrat doit distinguer les niveaux d'urgence.
| Niveau d'urgence | Exemple | Délai de prise en charge conseillé |
|---|---|---|
| Critique P1 | Site hors ligne, piraté, paiement bloqué | ≤ 4 h ouvrées |
| Majeur P2 | Fonction clé en panne (formulaire, page produit) | ≤ 1 jour ouvré |
| Mineur P3 | Bug d'affichage, ajustement mineur | ≤ 3 jours ouvrés |
7. Rapports et historique des opérations
Chaque mois, un rapport documente ce qui a été fait : mises à jour appliquées, sauvegardes réalisées, incidents traités, temps de disponibilité. Comme le reste de notre approche, la maintenance doit être mesurable et documentée, pas un service invisible.
Maintenance automatique ou intervention humaine ?
Faut-il installer automatiquement toutes les mises à jour ? Non. Les mises à jour automatiques sont utiles pour les correctifs de sécurité mineurs, mais dangereuses pour les mises à jour majeures : une extension mise à jour sans test peut casser le site sans que personne ne s'en aperçoive.
L'automatique convient pour…
Les correctifs de sécurité mineurs du cœur WordPress, les patchs urgents à faible risque de conflit.
L'humain reste indispensable pour…
Les mises à jour majeures, testées en préproduction, avec vérification visuelle des pages clés et rollback si besoin.
La bonne pratique : automatiser le mineur, encadrer le majeur par un humain. C'est ce qui distingue un forfait « pilote automatique » d'une vraie maintenance.
Combien coûte la maintenance d'un site WordPress ?
Le prix dépend de la criticité du site, du volume d'extensions et du niveau de service. Voici des fourchettes indicatives 2026 (marché France / Suisse). Ce sont des repères, pas un devis : un site à fort trafic ou à enjeu commercial justifie un forfait supérieur.
| Type de site | Ce qui est couvert | Fourchette mensuelle |
|---|---|---|
| Petit site vitrine | Mises à jour mensuelles, sauvegardes, surveillance de base | 25 – 60 € |
| Site professionnel critique | Mises à jour rapprochées, staging, SLA, rapport mensuel | 80 – 200 € |
| Site e-commerce | Surveillance renforcée, tests de paiement, priorité P1 | 150 – 500 € |
| Interventions hors forfait | Évolutions, refonte de page, développement spécifique | 70 – 120 € / h |
Hébergement = le serveur où vit votre site (l'espace). Maintenance = garder le logiciel à jour, sûr et sauvegardé (l'entretien). Support = l'aide humaine quand vous avez une question ou une panne (l'assistance). Trois choses distinctes, parfois vendues ensemble, souvent confondues.
Les clauses et formulations trop vagues à refuser
Certaines formulations semblent rassurantes mais ne vous protègent pas. Voici celles à faire préciser avant de signer.
- « Maintenance incluse » sans liste de ce qui l'est réellement.
- « Mises à jour régulières » sans fréquence chiffrée.
- « Sauvegardes » sans mention de conservation ni de restauration testée.
- « Support réactif » sans délai d'intervention garanti.
- « Nous nous occupons de tout » sans périmètre écrit (contenu ? licences ? évolutions ?).
- Aucune clause de sortie ni de restitution des accès en fin de contrat.
Posez une seule question à votre prestataire : « Que se passe-t-il si une mise à jour casse mon site un vendredi soir ? » Si la réponse n'est pas claire (délai, rollback, qui intervient), le contrat est trop vague.
Comment changer d'agence sans perdre le contrôle de son site ?
Une agence peut-elle garder l'accès au site après résiliation ? Elle ne le devrait pas — mais cela arrive quand les accès n'ont jamais été formalisés. La règle : vous devez toujours être propriétaire de votre nom de domaine, de votre hébergement et de vos accès administrateur.
Avant tout changement, réunissez et vérifiez ces éléments.
- Accès administrateur WordPress à votre nom.
- Accès à l'hébergement et au domaine (registrar), à votre nom et payés par vous.
- Une sauvegarde complète et téléchargeable (fichiers + base de données).
- La liste des licences d'extensions premium et leur titulaire.
- Les identifiants tiers (analytics, email, paiement) sous votre compte.
Nous détaillerons ce point dans un prochain article dédié à la propriété du site et des accès. En attendant, si vous reprenez un site existant, notre diagnostic web gratuit vérifie ces points pour vous.
Checklist avant de signer un contrat de maintenance
- Le contrat liste nommément les composants couverts.
- La fréquence des mises à jour et des sauvegardes est chiffrée.
- La restauration (pas seulement la sauvegarde) est garantie et testée.
- Un environnement de préproduction est prévu pour les mises à jour majeures.
- Les délais d'intervention (SLA) sont écrits par niveau d'urgence.
- Un rapport mensuel documente les opérations.
- Une clause de sortie garantit la restitution de vos accès et données.
- Le périmètre hors forfait (contenu, évolutions, licences) est clair.
La grille claire : inclus, non inclus, délai, fréquence, livrable, tarif, sortie
Le meilleur test d'un contrat de maintenance : peut-il tenir dans une grille aussi lisible que celle-ci ? Si votre prestataire ne peut pas la remplir, c'est un signal.
Contrat de maintenance Hikaad — vue d'ensemble
| Poste | Fréquence | Délai | Livrable |
|---|---|---|---|
| ✓ Mises à jour cœur / thème / extensions | Hebdo à mensuelle | ≤ 48h sécurité | Journal des mises à jour |
| ✓ Sauvegardes + restauration testée | Quotidienne | Restauration ≤ 4h | Sauvegarde externalisée |
| ✓ Préproduction avant maj majeure | À chaque maj majeure | — | Test avant déploiement |
| ✓ Surveillance & alertes | 24/7 | Alerte immédiate | Monitoring uptime |
| ✓ Support & SLA | Selon urgence | P1 ≤ 4h | Ticket tracé |
| ✓ Rapport d'activité | Mensuelle | — | Rapport mensuel |
| ✕ Création de contenu / rédaction | — | — | Devis hors forfait |
| ✕ Nouvelles fonctionnalités / refonte | — | — | Devis dédié |
| ✕ Licences premium (renouvellement) | — | — | À votre nom, refacturé |
Un doute sur la protection de votre site ?
Réservez 30 minutes avec un expert Hikaad. Nous vérifions vos sauvegardes, vos mises à jour et vos accès — et vous repartez avec un diagnostic clair, sans jargon.
Obtenir mon diagnostic web gratuit📚 Sources & références
- Bulletins de sécurité officiels WordPress — wordpress.org/news (ex. correctifs des versions 7.0.x, 2026).
- Base de vulnérabilités WordPress — WPScan / Patchstack.
- Statistiques d'incidents issues de nos reprises de sites (données anonymisées, Hikaad, 2024-2026).
- Exemples de SLA de référence du secteur (structure des niveaux P1/P2/P3, sans reprise de formulations juridiques).
- Documentation d'hébergement et conditions d'assurance responsabilité professionnelle.
FAQ — Maintenance WordPress
Une maintenance WordPress est-elle obligatoire ?
Elle n'est pas obligatoire légalement, mais elle l'est en pratique. Sans maintenance, votre site accumule des failles connues et publiées, et vous en portez seul la responsabilité. Pour un site professionnel, l'absence de maintenance est un risque, pas une économie.
Les mises à jour automatiques suffisent-elles ?
Non. Elles conviennent pour les correctifs de sécurité mineurs, mais une mise à jour majeure appliquée sans test peut casser le site. La bonne pratique : automatiser le mineur, tester le majeur en préproduction avec un humain.
À quelle fréquence sauvegarder un site ?
Au minimum quotidiennement pour un site actif, et avant chaque mise à jour majeure. Un e-commerce peut nécessiter des sauvegardes plus rapprochées pour ne pas perdre de commandes.
Combien de sauvegardes faut-il conserver ?
Une bonne règle : conserver au moins 30 jours d'historique, stockés hors du serveur du site. Cela permet de remonter avant un incident qui n'aurait pas été détecté immédiatement.
Une agence peut-elle garder l'accès au site après résiliation ?
Elle ne le devrait pas. Vous devez rester propriétaire de votre domaine, de votre hébergement et de vos accès admin. Un bon contrat prévoit une clause de sortie qui garantit la restitution complète de vos accès et de vos données.
Que se passe-t-il si une mise à jour casse le site ?
Avec un environnement de préproduction, le problème est détecté avant la mise en ligne. Si un incident survient malgré tout, le contrat doit prévoir un rollback (retour à la version précédente) et un délai d'intervention garanti.
La maintenance inclut-elle les modifications de contenu ?
Rarement dans un forfait standard. La maintenance couvre la sécurité, les mises à jour et les sauvegardes. Les changements de contenu ou de design relèvent d'un devis hors forfait ou d'un pack d'heures dédié.
Le renouvellement des licences est-il inclus ?
Généralement non : les licences d'extensions premium sont à votre nom et refacturées à part. Vérifiez toujours qui est titulaire des licences, pour ne pas en perdre l'usage en changeant d'agence.
Pour aller plus loin
Article rédigé par l'équipe Hikaad · Agence web à Paris & Genève · Mis à jour le 7 août 2026. Les fourchettes de prix sont indicatives et ne constituent pas un devis.