Maintenance WordPress : ce qu’un contrat sérieux doit couvrir, et à quel prix

Un contrat de maintenance WordPress sérieux nomme sept choses : les mises à jour et leur délai, les sauvegardes et leur restauration testée, la supervision du site, la veille de vulnérabilités, le reporting, le volume d’heures inclus et les conditions de sortie. Le prix découle de ce périmètre, jamais l’inverse : quelques dizaines d’euros par mois pour un forfait strictement technique, plusieurs centaines dès qu’un engagement de délai et une astreinte entrent dans le contrat. Voici de quoi lire un devis sans comparer deux offres qui ne recouvrent pas la même chose.

Sylvain dirige un bureau d’études de vingt-trois personnes. Un lundi de janvier, son site affiche une page blanche : une extension de formulaire s’est mise à jour automatiquement, un conflit de versions, et tout tombe. Son prestataire répond quatre jours plus tard, facture l’intervention, puis reconnaît que la sauvegarde n’avait jamais été restaurée à blanc. Le contrat signé trois ans plus tôt tenait en une ligne : « maintenance et mises à jour, 39 euros par mois ». Ce que cette ligne recouvrait, personne ne l’avait écrit. Nous détaillons ici le périmètre qu’un contrat de maintenance WordPress doit nommer, les clauses qui comptent le jour d’un incident, et ce que chaque niveau de service coûte réellement.

Ce que votre hébergeur ne fait pas à votre place

La confusion la plus coûteuse tient en un mot : infogérance. Votre hébergeur maintient des serveurs, pas votre application. Or c’est bien au niveau applicatif que se joue le risque. Dans son étude annuelle publiée en février 2026, la plateforme de sécurité Patchstack recense 11 334 nouvelles vulnérabilités dans l’écosystème WordPress sur la seule année 2025, soit 42 % de plus qu’en 2024, dont 91 % dans les extensions et non dans le cœur du logiciel.

Deux chiffres de la même étude méritent de figurer dans votre lecture de devis. D’abord, 46 % des vulnérabilités divulguées en 2025 n’avaient pas encore de correctif publié par leur éditeur au moment de la divulgation : mettre à jour ne suffit donc pas toujours, encore faut-il savoir quoi faire pendant la fenêtre d’exposition. Ensuite, les tests d’intrusion menés par Patchstack chez des hébergeurs populaires montrent que leurs défenses n’ont bloqué que 26 % des tentatives d’exploitation, et seulement 12 % de celles visant spécifiquement WordPress.

Le tempo ne laisse aucune marge à l’improvisation : Patchstack mesure une médiane pondérée de cinq heures entre la divulgation d’une vulnérabilité très exploitée et la première vague d’attaques automatisées. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr décrit un contexte français qui se durcit, avec plus de 500 000 victimes assistées, en hausse de 20 % sur un an, et le piratage de comptes en tête des menaces touchant les professionnels, en progression de 45 %.

Les sept lignes qu’un contrat sérieux écrit noir sur blanc

Premier point, les mises à jour et leur délai. Un contrat utile précise ce qui est mis à jour (cœur, extensions, thème, version de PHP), à quelle fréquence, sur quel environnement de test préalable, et sous quel délai en cas de correctif de sécurité critique. « Mises à jour régulières » ne veut rien dire ; « application des correctifs de sécurité critiques sous 24 heures ouvrées » engage.

Deuxième point, les sauvegardes et leur restauration. La question n’est pas de savoir si des sauvegardes existent, mais où elles sont stockées, sur quelle profondeur d’historique, et à quelle date la dernière restauration a été testée. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Exigez que le contrat prévoie un test de restauration annuel, tracé dans un compte rendu.

Troisième point, la supervision et le délai de rétablissement. Un contrat sérieux dit qui surveille la disponibilité du site, à quelle fréquence, comment l’alerte remonte, et sous quel délai le prestataire intervient selon la gravité. Quatrième point, la veille de vulnérabilités : le prestataire suit-il une base de vulnérabilités, applique-t-il des règles de protection en attendant le correctif éditeur, et vous prévient-il quand une extension que vous utilisez est abandonnée par son auteur ?

Cinquième point, la conformité. Un site collecte des données personnelles par ses formulaires, ses traceurs et ses comptes clients. Le guide de la sécurité des données personnelles de la CNIL range explicitement la mise à jour des logiciels et la sécurisation des sites web parmi les mesures attendues au titre de l’article 32 du RGPD. Le contrat doit dire qui porte cette maintenance de sécurité, et sous quel régime de sous-traitance.

Sixième point, le reporting et les heures incluses : un rapport mensuel listant mises à jour appliquées, incidents, sauvegardes vérifiées et heures consommées transforme une dépense opaque en poste pilotable. Septième point, la réversibilité : propriété du nom de domaine, des accès, des licences d’extensions premium et du code spécifique, avec préavis et modalités de restitution écrites. C’est la clause que l’on ne lit jamais avant d’en avoir besoin.

« Les mises à jour régulières des extensions constituent la deuxième ligne de défense, mais dès lors que les attaquants transforment une nouvelle vulnérabilité en attaque en quelques heures, cette défense ne tient pas seule. »
Patchstack, State of WordPress Security in 2026, février 2026

À quel prix, et ce qui fait vraiment varier la facture

Sur le marché français, les fourchettes observées début 2026 se lisent en trois paliers. Un forfait strictement technique, mises à jour et sauvegardes automatisées sans engagement de délai, se pratique entre 30 et 80 euros HT par mois, le plus souvent chez des prestataires indépendants. Un forfait intermédiaire, qui ajoute la supervision, un support identifié et quelques heures d’intervention incluses, se situe plutôt entre 100 et 200 euros HT. Au-delà de 200 euros HT et jusqu’à quelques centaines, vous payez un engagement de délai, un environnement de préproduction, une astreinte et un volume d’heures significatif.

Quatre facteurs déplacent le curseur : le nombre et la nature des extensions installées, la présence d’une boutique en ligne, l’existence de développements sur mesure qu’aucune mise à jour automatique ne couvre, et le niveau d’engagement de délai que vous demandez. Un site vitrine de dix pages et une place de marché à trois cents références ne relèvent pas du même contrat, même s’ils tournent tous les deux sous WordPress.

La vraie erreur d’achat n’est pas de payer trop cher, c’est de comparer deux devis sans comparer leur périmètre. Ludivine, responsable de la communication d’un négoce de matériaux de quarante-sept salariés, avait retenu l’offre la moins chère de trois propositions. Elle a découvert au premier incident que le nettoyage après piratage était facturé en régie, hors forfait, et que le délai d’intervention n’était contractualisé nulle part. Le différentiel mensuel qu’elle avait économisé a été absorbé en une seule facture. Nous accompagnons ces arbitrages dans notre offre d’exécution web, en repartant systématiquement du périmètre avant de parler de montant.

Le jour où ça casse : les clauses qui décident de la facture

Un incident révèle la qualité d’un contrat en quelques heures. Trois clauses font alors la différence. La première : le nettoyage après compromission est-il inclus, plafonné, ou facturé en régie ? Beaucoup de forfaits l’excluent, ce qui se défend, à condition que ce soit écrit et chiffré à l’avance.

La deuxième : quel délai de remise en service est engagé, et sur quelle plage horaire ? Un site vitrine peut tolérer une remise en ligne sous 48 heures ouvrées. Une boutique en pleine campagne commerciale, non. Le partenaire de Patchstack sur son étude 2026, l’éditeur Monarx, observe d’ailleurs que les dépôts de fichiers malveillants triplent presque en novembre et décembre, quand le trafic est au plus haut et les équipes techniques au plus bas. Le pic d’activité et le pic de risque coïncident.

La troisième : qui détient les clés. Accès administrateur, registrar du domaine, licences des extensions payantes, dépôt du code spécifique. Si votre prestataire disparaît ou si la relation se termine mal, cette clause décide si vous récupérez votre site en une journée ou si vous le reconstruisez. C’est aussi ce qui vous permet de faire évoluer votre présence en ligne sans repartir de zéro, qu’il s’agisse de refondre vos pages ou de les rendre lisibles par les IA génératives, un enjeu que nous avons détaillé en montrant comment tester si ChatGPT recommande votre entreprise.

Un contrat de maintenance n’est pas une ligne de coût à comprimer, c’est la condition pour que l’actif numérique que vous avez financé continue de produire. Une conviction guide notre façon de le cadrer : faire croitre ce qui compte vraiment, ce qui suppose d’abord de ne pas laisser se déliter ce qui fonctionne.

FAQ

Que doit contenir un contrat de maintenance WordPress ?

Sept éléments au minimum : le périmètre des mises à jour (cœur, extensions, thème, PHP) et leur délai d’application, les sauvegardes avec leur fréquence, leur stockage et un test de restauration, la supervision de disponibilité, la veille de vulnérabilités, un reporting mensuel, le volume d’heures d’intervention inclus, et les conditions de réversibilité. Sans ces mentions, vous achetez une intention, pas un service.

Combien coûte la maintenance d’un site WordPress ?

Les fourchettes observées en France début 2026 s’échelonnent de 30 à 80 euros HT par mois pour un forfait strictement technique, de 100 à 200 euros HT pour un forfait avec supervision et support, et au-delà de 200 euros HT dès qu’un engagement de délai, une préproduction ou une astreinte figurent au contrat. Le périmètre, pas le prestataire, explique l’essentiel de l’écart.

L’hébergement infogéré remplace-t-il un contrat de maintenance ?

Non. Un hébergeur maintient l’infrastructure, pas votre application. Les tests d’intrusion publiés par Patchstack en février 2026 montrent que les défenses des hébergeurs testés n’ont bloqué que 26 % des tentatives d’exploitation, et 12 % seulement de celles visant spécifiquement WordPress. Les extensions concentrent 91 % des vulnérabilités : personne ne les met à jour à votre place par défaut.

Que se passe-t-il si mon site est piraté malgré le contrat ?

Tout dépend de ce que le contrat prévoit. Vérifiez avant signature si le nettoyage après compromission est inclus, plafonné ou facturé en régie, quel délai de remise en service est engagé et sur quelle plage horaire, et qui détient les accès et les sauvegardes. Un prestataire sérieux documente aussi la notification à la CNIL en cas de violation de données personnelles.

Pour aller plus loin

• Patchstack, State of WordPress Security in 2026
• Cybermalveillance.gouv.fr, rapport d’activité et état de la menace 2025
• CNIL, guide de la sécurité des données personnelles

Vous hésitez entre deux devis de maintenance et vous voulez savoir ce que chacun couvre réellement : partez de notre page exécution web pour en discuter avec nous.

La rédaction Afervescence. Cabinet de conseil en stratégie et IA, fondé par Tania Gombert. Nous accompagnons dirigeants et comités de direction de PME et ETI sur le cadrage stratégique, l’exécution web et l’IA responsable.