Contrat de maintenance WordPress : ce qui protège votre site et son SEO

Votre site fonctionne et le rapport mensuel annonce que tout est à jour. Vous avez pourtant peu d’informations sur les comptes utilisés, les copies conservées et les interventions possibles le week-end. Le contrat de maintenance WordPress doit permettre de vérifier ces éléments sans attendre une panne. Une formule commerciale ne dit pas à elle seule ce que vous récupérerez si la relation s’arrête.

Un forfait peut comprendre l’hébergement, quelques corrections et des extensions premium. Un autre couvre uniquement les mises à jour. Pour les comparer, il faut regarder les exclusions, les délais et les justificatifs remis. Le référencement dépend aussi de cette organisation : une redirection perdue, une fermeture prolongée ou des pages injectées par un pirate peuvent affecter la recherche.

La méthode consiste à suivre les actifs du site. Elle relie engagements, licences, sauvegardes, incident et accès à un document consultable. Elle se termine par une restitution prévue dès le départ, avec une restauration réellement testée.

Transparence : le fondateur d’ExternFlow exerce aussi dans les prestations externalisées. Voir la déclaration d’intérêts.

Contrat de maintenance WordPress : ce que le forfait doit prouver

Huit engagements et la preuve qui les accompagne

Un contrat utile décrit ce qui sera remis au client. Demandez que les preuves suivantes figurent dans le rapport de suivi chaque mois, avec les problèmes encore ouverts, dont les problèmes de sécurité non résolus. Une ligne indiquant « sauvegarde OK » ne permet pas de savoir si les fichiers et la base de données ont été copiés, ni si la restauration fonctionne.

La preuve se demande pendant la prestation. Un journal incomplet ou une sauvegarde de la base de données introuvable doit déclencher une correction avant le prochain incident. Faites également préciser les tâches sous-traitées : l’entreprise doit savoir qui intervient et à qui transmettre une urgence, même lorsque l’agence fait appel à un technicien extérieur.

Pourquoi les prix ne se comparent pas seuls

Le prix dépend du périmètre : temps d’intervention, hébergement, licences, astreinte et nettoyage après piratage. Comparez les mêmes engagements et exclusions. Demandez le coût d’une intervention hors forfait et de la montée de version de PHP. Le tarif mensuel indique aussi ce qui reste facturé séparément chaque mois. Pour relier cette dépense au projet initial, consultez le coût d’un site WordPress sur la première année.

Mises à jour : WordPress, extensions et version de PHP

Le cœur de WordPress, les thèmes et les extensions ont des cycles distincts. Les thèmes actifs et le cœur de WordPress figurent dans le journal. Les mises à jour automatiques des thèmes et extensions dépendent notamment de WP-Cron ; un réglage activé ne prouve pas leur exécution. Le rapport indique les versions effectivement installées, les échecs rencontrés et les composants volontairement différés, avec la raison du report.

Le test précède les changements sensibles sur un environnement séparé. Après l’intervention, vérifiez les formulaires, les commandes, les pages principales et les redirections. Le contrat de maintenance WordPress précise qui autorise la production et qui revient à la version précédente si une fonction essentielle cesse de répondre. Les mises à jour de sécurité réclament une procédure accélérée, elle aussi documentée. Le prestataire indique le problème corrigé et les sauvegardes prises avant intervention.

Le suivi de performance relève aussi de la maintenance : fixer les contrôles ne promet pas une amélioration du classement. La version de PHP relève parfois de l’hébergeur, parfois du mainteneur. Nommez le responsable de la migration et son payeur. Les dates de fin du support de sécurité publiées par PHP donnent une échéance à suivre ; elles ne prouvent pas la compatibilité des extensions du site. Certains hébergeurs entretiennent des branches anciennes : demandez les garanties précises de ce support. Les correctifs publiés contre la faille PHP2Shell d’octobre 2026 montrent pourquoi ce partage doit être écrit avant l’urgence.

Licences premium : titulaire, échéance et expiration

La GPL applicable au code ne remplace pas l’abonnement commercial donnant accès au support, aux mises à jour ou à des services hébergés. Identifiez le compte qui détient chaque abonnement. Une clé fournie par le prestataire peut dépendre d’une offre couvrant plusieurs sites ; son utilisation pendant le forfait ne signifie pas qu’elle sera transférable à la sortie.

Préparez ce registre à remplir pour chaque abonnement, avec le composant, l’adresse du compte titulaire, l’échéance, le nombre de sites autorisés, le payeur et l’effet documenté de l’expiration. Conservez les conditions de l’éditeur correspondant à l’offre achetée. Une capture de la clé dans WordPress ne suffit pas : le compte de renouvellement peut rester exclusivement entre les mains du prestataire.

Les aides des éditeurs, vérifiées le 14 octobre 2026, illustrent ces différences : Elementor indique sur sa page de renouvellement un arrêt des fonctions Pro à l’expiration ; WP Rocket continue de fonctionner sans mises à jour ni support, mais ses fonctions cloud s’arrêtent après quinze jours. Yoast annonce la perte des nouvelles fonctions, des mises à jour et du support, avec un nouvel achat si l’expiration dépasse trente jours.

Préparez une licence de remplacement avant la rupture lorsque le transfert est impossible. Exportez les redirections et testez les fonctions nécessaires au SEO. Le contrat de maintenance ne doit pas déduire leur fonctionnement d’un simple statut d’abonnement ; pour Yoast notamment, le sort des redirections existantes se vérifie sur une copie du site.

Sauvegardes hors de l’hébergeur et test de restauration

Une sauvegarde complète réunit les fichiers et la base de données. Copier les thèmes et les images laisse de côté les articles, les réglages et les commandes conservés dans la base. La documentation WordPress recommande plusieurs copies dans des lieux différents. La CNIL demande aussi des sauvegardes protégées et des tests réguliers de leur intégrité et de leur restauration.

Une copie reste séparée du système exploité. Un rançongiciel ou la perte d’un compte ne doit pas rendre toutes les versions indisponibles. Écrivez la fréquence, la durée de conservation, l’emplacement et le titulaire du stockage. Adaptez la cadence à l’activité : perdre une journée de commandes n’a pas le même effet que perdre une journée sur un site vitrine peu modifié.

Le test de restauration suit cinq étapes, dont le compte rendu est remis à l’entreprise :

• Choisir une copie datée, avec ses fichiers et sa base correspondante.
• La restaurer sur un environnement séparé de la production.
• Mesurer le temps jusqu’au retour d’un site utilisable.
• Vérifier pages, formulaires, commandes et redirections.
• Consigner date, durée, anomalies et corrections attendues.

La fréquence de ce test se fixe au contrat. La CNIL parle de tests réguliers, sans imposer une cadence universelle. Faites préciser les accès nécessaires pour restaurer ailleurs si l’hébergeur est indisponible. Une copie chiffrée dont personne ne possède la clé ne rend aucun service le jour de la reprise.

Site piraté : ce que Google affiche et qui demande l’examen

Google décrit plusieurs formes de contenu piraté : injection de code, pages ajoutées, contenu modifié et redirections frauduleuses. Certaines modifications utilisent le cloaking et restent invisibles au propriétaire. L’inspection d’URL aide à comparer les rendus. Le contrôle doit porter sur l’ensemble du site, pas seulement sur la page signalée ou sur ce que montre votre navigateur.

Le rapport sur les problèmes de sécurité est distinct des actions manuelles. Des avertissements peuvent apparaître dans la recherche ou dans le navigateur. Après nettoyage, la demande d’examen décrit les corrections réalisées. Son traitement peut prendre plusieurs jours ou semaines : le contrat ne peut transformer ce délai Google en une promesse de disparition immédiate des alertes.

Le propriétaire ou l’utilisateur avec accès complet peut demander cet examen dans Search Console. Précisez qui conserve cette permission, rédige la demande et reçoit les messages. L’entreprise doit pouvoir agir même si le mainteneur est absent. Commencez par vérifier qui est propriétaire de la Search Console, puis testez la connexion avec le compte réellement détenu par votre équipe.

La procédure d’incident à écrire dans le contrat

Les premières heures : préserver avant de nettoyer

La fiche réflexe du CERT-FR sur la défiguration propose de contenir l’incident et de préserver les éléments utiles à l’investigation. Une sauvegarde peut déjà être compromise : la restaurer immédiatement en production risque de remettre les fichiers infectés en ligne. Cette trame doit être adaptée à l’incident, avec les contacts de l’hébergeur et de l’entreprise.

Pour une interruption brève, le code HTTP 503 signale l’indisponibilité temporaire. Une fermeture prolongée peut affecter l’indexation ; robots.txt ne doit pas renvoyer ce code. La maintenance prévoit aussi les journaux serveur à conserver avant qu’une rotation automatique les efface. La page de maintenance ne doit pas annoncer des délais de retour non validés.

Après le nettoyage : accès et données personnelles

Changez les secrets compromis ou exposés, réinstallez proprement les composants et supprimez les extensions inutiles avec leurs fichiers. Après les mises à jour, le prestataire vérifie la disponibilité et les performances attendues. Le nettoyage traite aussi la cause de l’intrusion. Si le prestataire agit comme sous-traitant au sens du RGPD, il prévient le responsable du traitement dans les meilleurs délais d’une violation de données personnelles.

Le responsable du traitement apprécie ensuite la notification à la CNIL : si la violation présente un risque, elle intervient dans les meilleurs délais et, si possible, sous 72 heures après sa découverte. Tout piratage ne déclenche donc pas automatiquement une notification. Fixez dans le contrat de maintenance WordPress un délai d’information permettant au client de procéder à cette analyse.

Accès administrateur et délais d’intervention

Le rôle Administrateur ouvre des fonctions étendues. Chaque intervenant utilise un compte nominatif, avec les protections disponibles, dont la double authentification. L’entreprise garde son propre accès et reçoit la liste des comptes actifs. Les accès donnés à un agent IA par le MCP WordPress suivent la même règle de compte nominatif. Demandez aussi à quel nom sont enregistrés domaine et hébergement : ces identifiants conditionnent une reprise chez un autre fournisseur.

Le niveau de service distingue site inaccessible, contenu piraté signalé et anomalie mineure. Séparez prise en charge et rétablissement. Indiquez les horaires couverts, le point de départ du délai et le canal d’urgence. Une disponibilité commerciale du lundi au vendredi ne couvre pas une panne du samedi ; le contrat doit rendre cette limite visible. Avant de signer, demandez qui reçoit l’alerte serveur et répond au client hors des jours ouvrés.

La révocation suit la fin de mission ou un changement d’intervenant. Incluez les mots de passe d’application, les permissions du stockage et les outils de surveillance dans cette revue. Un compte retiré de WordPress peut laisser une connexion à l’hébergement. La liste signée indique aussi le compte Administrateur du client et tout Administrateur technique temporaire. Elle sert à vérifier les retraits, avec une personne responsable de chaque système.

Fin de contrat : ce que le mainteneur restitue

La clause de réversibilité donne un délai et une liste de livrables. La restitution doit être utilisable par le successeur, même si aucun contrat de reprise n’est encore signé. Préparez les éléments suivants avant le dernier mois de prestation, puis contrôlez leur ouverture et leur cohérence avec le site réellement en ligne.

• Accès et comptes : administration détenue par l’entreprise, accès du mainteneur retirés.
• Sauvegarde complète récente et compte rendu de restauration.
• Registre des licences, avec transfert, remplacement ou résiliation documentés.
• Journal des interventions et des mises à jour.
• Export des redirections et réglages de référencement.
• Surveillance transférée ou détachée, alertes réaffectées.
• Données personnelles renvoyées ou supprimées selon le choix du responsable du traitement, sous réserve des obligations de conservation applicables.

Une vérification de reprise clôt la prestation. L’audit du prestataire suivant peut révéler une copie illisible ou une redirection manquante. Prévoyez qui corrige ces écarts et dans quel délai, afin que la sortie ne dépende pas d’un échange informel après la facture du dernier mois.

Demander une restauration de test avant de signer

Avant le renouvellement, demandez une restauration mesurée et le registre actualisé. Vous saurez alors ce qui fonctionne et ce qui reste à corriger, avec des documents accessibles à votre équipe. Retrouvez les méthodes de contrôle d’une prestation externalisée dans la Lettre ExternFlow.

Sources et références

La documentation de WordPress sur les sauvegardes distingue fichiers et base, tandis que les versions supportées de PHP donnent les échéances de sécurité. Les recommandations de la CNIL sur les sauvegardes encadrent stockage et tests. Le rapport de sécurité Search Console, les permissions Search Console et les règles Google sur le contenu piraté éclairent le nettoyage et l’examen.

Le RGPD, articles 28, 32 et 33 fixe les obligations relatives aux données. Les aides d’Elementor sur le renouvellement, de WP Rocket sur l’expiration et de Yoast sur le renouvellement décrivent leurs conditions. La fiche CERT-FR sur la défiguration fournit une trame d’intervention.