Maintenance site internet : ce qu’elle couvre, ce qu’elle coûte, et ce qui casse sans elle

La maintenance d’un site internet, c’est l’ensemble des opérations qui gardent un site en ligne, à jour, rapide et fonctionnel après sa mise en ligne : mises à jour techniques, sauvegardes, surveillance des pannes, corrections et petites évolutions de contenu. Le mot est vague parce qu’il arrange tout le monde, y compris certains prestataires.

Le réflexe classique du pro est simple : le site est livré, il est joli, il est en ligne, le chantier est clos. Sauf qu’un site n’est pas une plaquette imprimée. C’est un logiciel branché sur internet en permanence, qui dépend d’un serveur, d’un nom de domaine, d’un certificat, d’extensions écrites par des tiers, et d’un moteur de recherche qui repasse régulièrement voir ce qu’il devient.

Reste à savoir ce que ce mot recouvre vraiment, ce qu’il coûte en France, ce qui se dégrade quand personne ne regarde, et s’il vaut mieux s’en occuper soi-même ou confier le sujet.

Qu’est-ce que la maintenance d’un site internet ?

La maintenance d’un site internet regroupe quatre familles d’opérations : la maintenance technique (mises à jour du CMS, des extensions, du serveur, du certificat SSL), la maintenance corrective (réparer ce qui casse), la maintenance de sécurité (sauvegardes, surveillance, correctifs de failles) et la maintenance éditoriale (mise à jour des textes, horaires, tarifs, photos). Elle ne comprend pas, par défaut, la refonte ni les nouvelles fonctionnalités.

Trois confusions reviennent systématiquement dans les devis, et elles coûtent cher.

Maintenance n’est pas hébergement. L’hébergement, c’est le loyer du serveur. La maintenance, c’est l’entretien de ce qui tourne dessus. Un hébergeur garantit que la machine répond ; il ne garantit pas que votre site fonctionne. Le guide de sécurité officiel de WordPress est explicite sur ce partage de responsabilité : quand un site est compromis, la cause est rarement imputable à l’infrastructure, et le plus souvent à l’application elle-même. La faille vient donc presque toujours de votre côté de la ligne.

Maintenance n’est pas évolution. Corriger un formulaire cassé relève de la maintenance. Ajouter un module de réservation en ligne relève du développement. Un contrat honnête distingue clairement les deux et facture le second à part.

Maintenance n’est pas référencement. Nous y revenons plus bas, mais retenez déjà que l’un est le socle de l’autre, pas son substitut.

Chez nous, ce découpage est posé dès le cadrage du projet : c’est le sens de notre méthode de travail, qui sépare ce qui est livré une fois de ce qui est tenu dans la durée.

Combien coûte la maintenance d’un site internet par an ?

En France, pour un site vitrine de TPE, comptez de l’ordre de 60 à 230 euros par an en frais incompressibles si vous gérez tout vous-même, et 30 à 100 euros par mois si vous déléguez à un prestataire. Pour un site plus lourd (e-commerce, réservation, multilingue), la fourchette déléguée monte plutôt à 100 à 300 euros par mois. Les interventions ponctuelles hors contrat se facturent en général 60 à 120 euros de l’heure.

Ce sont des ordres de grandeur observés sur le marché français, pas des tarifs publiés. Voici ce qu’il y a dedans, ligne par ligne.

Les frais que personne ne peut supprimer, même en faisant tout soi-même :

• Nom de domaine : environ 10 à 20 euros par an pour un .fr ou un .com, chaque année, sans exception.
• Hébergement mutualisé correct : environ 4 à 12 euros par mois, soit 50 à 150 euros par an.
• Certificat SSL : 0 euro dans l’immense majorité des cas. Let’s Encrypt délivre des certificats gratuits et la plupart des hébergeurs les renouvellent automatiquement. Payer un certificat SSL pour un site vitrine n’a pratiquement plus de justification en 2026.
• Sauvegarde externalisée : de 0 à une soixantaine d’euros par an selon que votre hébergeur l’inclut ou non.

Le bas de la fourchette correspond à un mutualisé d’entrée de gamme dont l’hébergeur inclut les sauvegardes ; le haut, à un hébergement plus rapide doublé d’une solution de sauvegarde payante.

Ce que vous payez en plus si vous déléguez : le temps de quelqu’un, et surtout sa vigilance. Un forfait de maintenance à 40 euros par mois n’achète pas 40 euros de travail chaque mois. Il achète une surveillance continue et une capacité d’intervention rapide le jour où quelque chose lâche. C’est une assurance, pas une prestation à l’heure.

Le vrai piège budgétaire n’est pas le montant du forfait, c’est le devis de création qui n’en mentionne aucun. Un site vitrine facturé 900 euros sans ligne de suivi n’est pas moins cher qu’un site à 1 800 euros avec suivi : le suivi existera quand même, il sera simplement payé plus tard, en urgence, et souvent plus cher. Nous avons chiffré ce mécanisme sur trois ans dans notre comparatif des sites internet pas chers.

Pour référence, et pour ne pas rester dans le flou sur nos propres tarifs : chez Inleven, la première année revient à 12 mensualités de 49, 89 ou 169 euros selon la formule (ou 530, 960 ou 1 830 euros en une fois), puis 180 euros par an tout compris, hébergement, maintenance et suivi inclus. Le détail est sur la page offre.

Que comprend un contrat de maintenance de site web ?

Un contrat de maintenance sérieux précise au minimum sept points : le périmètre exact des mises à jour, la fréquence des sauvegardes et leur durée de conservation, le délai d’intervention en cas de panne, ce qui est explicitement exclu, le volume de modifications de contenu inclus, la nature du reporting, et le sort de vos accès et de vos données si vous partez. Tout contrat qui reste flou sur ces sept points est un contrat à renégocier.

Voici ce qu’il faut exiger noir sur blanc, avec la raison de chaque exigence.

1. Le périmètre des mises à jour. Core du CMS, extensions, thème, version de PHP, serveur : qui touche à quoi. La recommandation de WordPress.org est sans ambiguïté, il faut toujours rester sur la dernière version disponible du logiciel. Encore faut-il savoir qui appuie sur le bouton.

2. Les sauvegardes, et surtout leur profondeur. Une sauvegarde qui écrase la précédente chaque nuit ne vaut rien face à un problème détecté tardivement. Le guide de sécurité de WordPress.org prend un exemple parlant : un site compromis le 1er mai peut n’être découvert que le 12 mai, et seul un jeu de sauvegardes successives permet alors de retrouver un point de restauration antérieur à l’infection. La documentation ne fixe pas de durée ; nous recommandons pour notre part une rétention d’au moins 30 jours, fichiers et base de données.

3. Le test de restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une sécurité. Demandez à quelle fréquence elle est vérifiée.

4. Le délai d’intervention. Sous 4 heures ouvrées ou sous 5 jours, ce n’est pas la même promesse ni le même prix. Faites écrire le chiffre.

5. Les exclusions. Refonte graphique, nouvelles fonctionnalités, rédaction, campagnes publicitaires : normal qu’elles soient exclues, anormal qu’elles ne soient pas nommées.

6. Le reporting. Un compte rendu, même court, même trimestriel. Sans trace écrite, vous payez une surveillance que vous ne pouvez pas vérifier.

7. La sortie. À qui appartiennent le domaine, l’hébergement, le code et les sauvegardes, et sous quel délai les récupérez-vous. C’est la question la plus importante du contrat et c’est celle qu’on pose le moins. Notre engagement sur ce point est public, sur la page réversibilité.

Que se passe-t-il si on ne fait aucune maintenance ?

Un site sans maintenance ne s’éteint pas d’un coup : il se dégrade. Dans l’ordre de fréquence : le contenu devient faux, un formulaire cesse de fonctionner sans alerte, les positions dans Google s’érodent, une extension obsolète ouvre une faille. Le scénario du piratage spectaculaire existe, mais il est plus rare que la lente perte d’efficacité commerciale, qui elle est quasi systématique.

Commençons par le moins dramatique, parce que c’est le plus fréquent.

Le contenu périmé. Horaires de fermeture d’il y a deux étés, tarifs plus pratiqués, membre de l’équipe parti depuis dix-huit mois, numéro de téléphone changé. Aucune alerte technique ne se déclenche jamais pour cela. C’est pourtant la première cause de perte de clients sur un site vitrine.

Le formulaire mort. Un changement d’hébergeur, une extension mise à jour ou une adresse email de redirection désactivée, et les messages partent dans le vide. Personne ne vous prévient : vos prospects pensent avoir écrit, vous pensez qu’il n’y a pas de demandes. D’où le test mensuel, plus fiable qu’une confiance aveugle.

Le certificat SSL expiré. Il se renouvelle automatiquement chez la plupart des hébergeurs, jusqu’au jour où le renouvellement échoue silencieusement (changement de DNS, migration, domaine mal pointé). Le visiteur voit alors un avertissement de sécurité plein écran. Le site n’est pas cassé, mais plus personne n’entre.

L’érosion du référencement. Elle est double. D’un côté, Google doit pouvoir accéder à votre site exactement comme le navigateur de vos visiteurs, ce que rappelle son guide de démarrage SEO (« Google needs to be able to access the same resources as the user’s browser »). Un CSS bloqué, des erreurs serveur intermittentes ou des URL dupliquées par une mauvaise configuration dégradent l’exploration. De l’autre, un site figé cesse d’émettre des signaux : Google explique que l’immense majorité des nouvelles pages qu’il découvre chaque jour lui parviennent par des liens. Un site abandonné n’alimente plus rien, ni contenu, ni liens.

Les failles. C’est le volet le plus anxiogène, alors tenons-nous aux chiffres publiés. Le rapport 2023 de Sucuri sur les sites piratés, publié en juin 2024 et établi à partir des 39 594 sites nettoyés par ses équipes, relève que 39,1 % des applications CMS analysées n’étaient pas à jour au moment de l’infection, et que 13,97 % des sites compromis présentaient encore au moins un composant vulnérable au moment de la remédiation. Autrement dit, l’absence de mises à jour n’est pas la seule cause d’infection, mais elle en est un facteur massif et parfaitement évitable.

Deux chiffres du même rapport méritent l’attention d’un chef d’entreprise plus que ceux sur les malwares exotiques. D’abord, 49,21 % des sites compromis contenaient au moins une porte dérobée : une infection non traitée laisse un accès permanent, ce n’est pas un incident ponctuel. Ensuite, 20,30 % des sites infectés contenaient du spam SEO, et 38,3 % des bases de données compromises en contenaient également. C’est le lien direct entre sécurité et référencement : un site piraté ne devient pas seulement dangereux, il se met à héberger des pages qui font chuter sa crédibilité aux yeux de Google.

Sur le fond, la documentation de WordPress pose le cadre le plus juste que nous ayons lu : la sécurité est une réduction du risque, pas son élimination (« security is risk reduction, not risk elimination »). Personne ne peut vous promettre le risque zéro. Le Google Threat Intelligence Group a recensé 75 failles zero-day exploitées en conditions réelles en 2024, après 98 en 2023 : des failles utilisées avant même qu’un correctif existe. L’objectif d’une maintenance n’est donc pas de rendre un site inviolable, mais de réduire la surface d’attaque et surtout de pouvoir revenir en arrière proprement.

Maintenance de site internet : la faire soi-même ou la déléguer ?

Faire soi-même est parfaitement défendable pour un site vitrine simple, à trois conditions : disposer d’une sauvegarde automatique restaurable, savoir remettre le site en ligne après une mise à jour ratée, et tenir un rythme régulier. Déléguer se justifie dès que l’indisponibilité du site a un coût commercial immédiat, que le site encaisse des paiements, ou que vous n’avez tout simplement pas envie que ce sujet vous appartienne. Ce n’est pas une question de compétence, c’est une question d’arbitrage.

Ce que coûte vraiment le faire soi-même. Le poste principal n’est pas l’argent, c’est l’attention. Sur un site vitrine WordPress, une routine sérieuse représente environ une à deux heures par mois : vérifier les mises à jour disponibles, les appliquer après sauvegarde, contrôler que rien n’a bougé visuellement, tester le formulaire de contact, regarder la Search Console. Ce n’est pas énorme. Le problème est que ce n’est jamais urgent, donc c’est toujours repoussé, et que la dégradation ne se voit qu’au bout de plusieurs mois.

Ce que vous n’achetez pas en déléguant. Un forfait ne remplace pas votre connaissance du métier. Personne d’extérieur ne saura que vos tarifs ont changé, que vous ne faites plus les dépannages le samedi, ou que votre nouvel associé doit apparaître sur la page équipe. La maintenance éditoriale reste une conversation, pas une automatisation.

Trois questions pour trancher, honnêtement :

1. Si votre site tombe un mardi matin, combien de temps pouvez-vous attendre avant que ce soit un problème d’argent ? Si la réponse se compte en heures, déléguez.
2. Sauriez-vous restaurer une sauvegarde complète, fichiers et base de données, sans aide ? Si non, déléguez au moins la partie sauvegarde.
3. Avez-vous tenu, au cours des six derniers mois, une routine mensuelle quelconque sur un sujet qui ne rapporte rien à court terme ? Répondez sincèrement, c’est le meilleur prédicteur.

Pour un artisan qui travaille sur les chantiers toute la journée, la troisième question tranche presque toujours d’elle-même ; c’est d’ailleurs pour cela que nous traitons à part la création de site internet pour artisan, où le suivi pèse plus lourd que le design.

Quels sont les signes qu’un site a besoin de maintenance ?

Les signaux ne sont pas subtils. Une information devenue fausse sur une page, un formulaire dont vous ne savez plus s’il arrive, un avertissement de sécurité affiché par le navigateur, un site visiblement plus lent qu’avant, des pages qui ne remontent plus dans Google, un tableau de bord saturé de mises à jour en attente, une vague de spam dans les commentaires ou les inscriptions, une dernière modification de contenu qui date de plus de douze mois : chacun de ces symptômes suffit à déclencher une intervention, et aucun ne demande un diagnostic d’expert. Il suffit de regarder.

Trois vérifications simples, à faire vous-même en dix minutes, sans aucun outil payant.

Testez votre formulaire pour de vrai. Envoyez-vous un message depuis votre propre site, avec une adresse extérieure à votre entreprise, et vérifiez la boîte de réception ainsi que les spams. À faire une fois par mois. C’est le contrôle le plus rentable de cette liste.

Vérifiez que vos pages sont bien indexées. Google recommande explicitement l’opérateur site: pour cela : tapez site:votredomaine.fr dans la recherche. Si vos pages principales n’apparaissent pas, il y a un problème technique, pas un problème de contenu.

Ouvrez la Search Console. L’outil est gratuit et c’est la référence de Google lui-même, qui présente l’ouverture d’un compte comme le moyen de suivre et d’améliorer les performances d’un site dans la recherche. Les erreurs d’exploration et les chutes de clics y sont visibles avant que vous ne les ressentiez commercialement.

La maintenance inclut-elle le référencement (SEO) ?

Non, pas par défaut. Un contrat de maintenance standard couvre la santé technique du site, qui est le socle du référencement, mais pas le travail de référencement lui-même : recherche de mots-clés, création de contenu, netlinking, optimisation des pages. Certains prestataires incluent un volet SEO minimal (surveillance de l’indexation, corrections techniques) ; c’est une bonne pratique, mais cela doit être écrit, pas supposé.

La frontière est simple à tracer. Relève de la maintenance : les erreurs 404 après une modification de page, les temps de chargement qui se dégradent, un fichier robots.txt cassé, des URL dupliquées. Relève du référencement : décider quelles requêtes viser, écrire les pages qui y répondent, et obtenir des liens.

Une précision qui évite beaucoup de malentendus avec les prestataires : les effets d’une correction ne sont jamais immédiats. Google indique que certains changements se voient en quelques heures et d’autres prennent plusieurs mois, et recommande d’attendre plusieurs semaines avant d’évaluer l’impact d’une modification. Quiconque vous promet une remontée en dix jours après un correctif technique vend autre chose que du SEO. Si le sujet vous intéresse au-delà de la maintenance, il a sa propre page : SEO et GEO.

Maintenance WordPress : des besoins particuliers par rapport à un autre CMS ?

Oui. WordPress demande une maintenance plus active que les autres solutions, pour une raison structurelle : c’est un logiciel que vous hébergez vous-même, dont le cœur, le thème et chaque extension se mettent à jour séparément. Sur une plateforme en ligne de type Wix, Squarespace ou Shopify, l’éditeur applique les mises à jour techniques à votre place ; sur un site statique sur mesure, la surface d’attaque est nettement plus réduite.

Le chiffre le plus cité mérite d’être remis dans son contexte : dans le même rapport Sucuri, WordPress représente 95,5 % des infections détectées, devant Joomla (1,7 %) et Magento (0,6 %). Cela ne prouve pas que WordPress est intrinsèquement plus fragile : le CMS équipe une part écrasante du web, donc il concentre mécaniquement les attaques. Ce que cela prouve, c’est que la maintenance d’un WordPress n’est pas optionnelle.

Les points de contrôle spécifiques, tous documentés par WordPress.org :

• Les extensions. Les maintenir à jour, et surtout supprimer celles qui ne servent plus. Une extension désactivée reste du code présent sur le serveur. Le rapport Sucuri relève d’ailleurs que 4,18 % des sites compromis hébergeaient au moins une fausse extension.
• Le compte administrateur. Éviter les identifiants génériques comme « admin » ou « webmaster », cibles numéro un des attaques par force brute.
• L’authentification à deux facteurs. La documentation la recommande explicitement comme mesure de sécurité supplémentaire.
• L’éditeur de fichiers de l’admin. Ajouter define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php, ce qui équivaut selon la documentation à retirer les capacités d’édition de thèmes, d’extensions et de fichiers depuis le back-office.
• Les transferts de fichiers. Utiliser SFTP plutôt que FTP : le mot de passe n’y circule jamais en clair.
• Les permissions. 644 pour les fichiers, 755 pour les dossiers, et wp-config.php en 400 ou 440.
• Les sauvegardes. Snapshots réguliers incluant à la fois les fichiers du cœur WordPress et la base de données.

Aucune de ces opérations n’est hors de portée d’un utilisateur méthodique. Toutes demandent d’y penser.

Ce que nous en faisons, et ce que vous pouvez en faire

Il n’existe pas une bonne réponse unique. Un pro à l’aise techniquement, avec un site vitrine simple et une sauvegarde automatique fiable, peut très bien tenir sa maintenance seul pour le prix du domaine et de l’hébergement. Un pro dont le site génère des demandes de devis chaque semaine a intérêt à ce que quelqu’un d’autre s’en occupe, et à savoir précisément quoi.

Notre parti pris chez Inleven est d’avoir supprimé la question : la création et le suivi ne sont pas deux contrats, c’est le même. Vous payez la première année en mensualités ou en une fois, avec un engagement initial de 12 mois, puis 180 euros par an, reconduits tacitement chaque année et résiliables par simple notification écrite, avec effet à l’échéance annuelle en cours. Les mises à jour, l’hébergement, les sauvegardes et les modifications de contenu courantes sont dedans. C’est une option parmi d’autres, pas la seule bonne : elle a l’avantage de rendre le coût total prévisible, et l’inconvénient d’un engagement initial.

Pour aller plus loin selon ce qui vous concerne : le détail des formules et de ce qu’elles couvrent est sur la page offre, le déroulé complet d’un projet sur la page méthode, et le contenu précis de notre suivi sur la page maintenance de site web. Si votre sujet est d’abord budgétaire, commencez plutôt par notre analyse du site internet pas cher.