Contrat de maintenance site : les clauses clés

« Contrat de maintenance inclus » figure parfois en une ligne dans un devis, sans que personne ne sache ce que cela recouvre. Le jour où le site tombe en panne ou qu'une faille est signalée, le client découvre que la maintenance ne couvrait que les mises à jour, ou qu'aucun délai d'intervention n'était fixé nulle part.

Un contrat de maintenance précise, noir sur blanc, ce qui est fait, à quelle fréquence et ce qui se passe en cas d'incident. Les relevés de recherche en France montrent que le sujet se découvre tard : « maintenance site web » atteint 480 recherches par mois, alors que « contrat de maintenance site web » n'en compte que 70. Cet article détaille les clauses à exiger, reprend ce que prévoit l'article 28 du RGPD (vérifié sur le texte publié par la CNIL), chiffre l'effet d'une formulation de délai dans un calcul illustratif et se termine par six vérifications à faire avant de signer.

Les clauses techniques à ne pas laisser vagues

Le contrat doit préciser la fréquence des mises à jour (cœur WordPress, extensions, thème), la fréquence et le lieu de stockage des sauvegardes, de préférence ailleurs que chez l'hébergeur, les vérifications de sécurité réalisées et le périmètre exact couvert. Un site vitrine et une boutique en ligne n'appellent pas le même niveau de surveillance. Une sauvegarde qui n'a jamais été restaurée reste une hypothèse : demandez que le contrat prévoie un test de restauration, comme expliqué dans l'article sur le test de restauration d'une sauvegarde.

Les délais d'intervention

Un contrat sans délai chiffré n'engage à rien. Il faut distinguer le délai de prise en charge (accusé de réception d'un signalement) du délai de résolution, qui varie selon la gravité : un site totalement hors ligne n'appelle pas le même délai qu'un bouton mal aligné. Surtout, le contrat doit dire si le délai se compte en heures calendaires ou en heures ouvrées, avec les plages horaires et les jours fériés. Ces délais restent propres à chaque prestataire et ne se généralisent pas ici.

Les horaires et les durées de ce tableau sont fictifs et servent uniquement à montrer la mécanique : un délai ouvré repousse l'échéance au-delà du week-end, sans que le contrat soit pour autant irrégulier. Le point à vérifier est donc moins le chiffre que son unité.

Ce qui est inclus, ce qui ne l'est pas

Un contrat clair distingue la maintenance préventive (mises à jour, sauvegardes, surveillance), la maintenance corrective (résolution d'un bug ou d'un piratage) et les évolutions (ajout de fonctionnalités). De nombreux litiges viennent d'une évolution demandée en pensant qu'elle était incluse dans un forfait qui ne couvrait que le préventif. Les termes techniques utilisés dans les offres, comme SLA (« sla maintenance » : 90 recherches par mois) ou TMA (40), recouvrent des engagements différents d'un prestataire à l'autre : faites-les définir dans le contrat plutôt que de supposer leur sens.

La perte maximale correspond à l'intervalle entre deux sauvegardes : un incident survenu juste avant la sauvegarde suivante fait perdre tout ce qui a été saisi depuis la précédente. Pour une boutique ou un site qui reçoit des formulaires, cette fréquence est donc une clause métier, pas un détail technique. La règle de stockage hors hébergeur est détaillée dans l'article sur la sauvegarde externalisée.

La clause RGPD et sous-traitance

Un prestataire qui accède à un site traitant des données personnelles (formulaire de contact, compte client) intervient dans de nombreux cas comme sous-traitant au sens du RGPD. La CNIL précise toutefois que chaque acteur détermine son rôle au cas par cas, et qu'un contrat écrit est obligatoire entre le responsable du traitement et le sous-traitant. Elle ajoute que le contrat ne doit pas se contenter de reproduire le règlement. L'article 28 liste ce que le contrat doit prévoir ; le tableau ci-dessous le traduit en questions à poser. Il ne remplace pas un conseil juridique : faites valider la rédaction par un professionnel du droit pour une situation précise.

La réversibilité

Un bon contrat prévoit ce qui se passe à la fin : remise des accès, des sauvegardes et de la documentation, dans un délai défini et dans un format exploitable par un autre prestataire. L'expression « clause de réversibilité » est cherchée 170 fois par mois en France, avec un pic à 260 en octobre 2025 : le sujet intéresse surtout au moment du changement de prestataire, c'est-à-dire trop tard pour le négocier. Le moment de la prévoir est la signature.

La baisse d'août 2026 touche de nombreuses expressions du relevé ; sa cause n'est pas établie ici et aucune explication n'est avancée. Les volumes sont faibles : ce sujet se traite par des lecteurs qualifiés (dirigeants, responsables de site) plutôt que par le trafic de masse.

Six vérifications avant de signer

1. Les délais sont exprimés en heures ouvrées ou calendaires, avec les plages horaires et les jours fériés.
2. La fréquence des sauvegardes, leur lieu de stockage et un test de restauration sont écrits.
3. Le périmètre distingue préventif, correctif et évolutions, avec ce qui est facturé à part.
4. Les accès (hébergeur, domaine, WordPress) restent au nom du client.
5. Les points de l'article 28 sont présents, rédigés pour votre site et pas seulement recopiés.
6. La réversibilité fixe un délai et un format de remise. Pour la partie sécurité, voir les mesures essentielles pour sécuriser WordPress.