Pourquoi la maintenance d'un site ne s'arrête pas à la mise en ligne

Un site internet n'est pas un objet figé. Les navigateurs évoluent, les standards de sécurité changent, les dépendances techniques se mettent à jour — et un site livré « parfait » peut accumuler des failles ou des ralentissements sans qu'on s'en aperçoive tout de suite.

Ce que disent les chiffres de 2025

L'écosystème WordPress reste le plus utilisé au monde, et donc le mieux documenté sur ce sujet. Le rapport annuel de Patchstack, spécialiste de la sécurité WordPress, recense pour l'année 2025 :

• 11 334 nouvelles vulnérabilités, soit 42 % de plus qu'en 2024 ;
• 91 % d'entre elles dans des extensions et 9 % dans des thèmes — le cœur de WordPress n'en compte que 6 sur l'année, toutes de faible priorité ;
• 1 966 vulnérabilités (17 %) de gravité élevée, c'est-à-dire susceptibles d'être visées par des attaques automatisées de masse ;
• 46 % rendues publiques sans correctif disponible au moment de la divulgation ;
• un délai médian de 5 heures entre la publication d'une faille et sa première exploitation.

La leçon n'est pas « WordPress est dangereux », c'est que le risque ne vient presque jamais du logiciel principal : il vient des briques ajoutées autour et laissées sans mise à jour. Un site construit sur mesure, comme celui-ci, réduit une partie de cette surface d'attaque en embarquant beaucoup moins de dépendances tierces — mais le principe reste le même : toute dépendance logicielle non maintenue vieillit et devient une porte d'entrée potentielle.

Les signaux faibles avant la panne

Sans suivi régulier, les premiers signes sont souvent discrets :

• un formulaire qui cesse d'envoyer les messages après la mise à jour d'un service tiers ;
• un temps de chargement qui se dégrade progressivement, mois après mois ;
• un certificat ou une intégration qui expire sans que personne ne soit prévenu ;
• plus grave : une faille de sécurité qui reste ouverte pendant des mois sans que personne ne s'en rende compte.

Ce qu'un site compromis coûte vraiment

Les conséquences dépassent largement le désagrément technique. D'abord la fuite de données de vos clients — informations personnelles, parfois bancaires — avec les obligations de notification qui l'accompagnent (voir RGPD : ce qu'une petite structure doit vraiment respecter).

Ensuite la sanction côté visibilité : Google détecte les sites piratés, peut afficher un avertissement de type « Ce site est peut-être piraté » à côté de votre résultat, et travaille à exclure les contenus piratés de ses résultats. La chute de trafic est brutale, et la remise en état ne la récupère pas toujours entièrement.

Ce que couvre concrètement une maintenance

La maintenance, ce n'est pas seulement « réparer si ça casse ». C'est :

• la sauvegarde régulière, pour ne jamais repartir de zéro en cas de problème ;
• la surveillance de la disponibilité, pour être prévenu avant vos clients ;
• l'application des correctifs de sécurité dès leur publication — les 5 heures de délai médian évoquées plus haut expliquent pourquoi « on verra au prochain trimestre » ne tient pas ;
• la possibilité de faire de petites évolutions sans repasser par un projet complet.

Ce que vous devez pouvoir récupérer à tout moment

C'est la question qui sépare une maintenance d'une dépendance. Quel que soit votre prestataire, vous devez pouvoir obtenir sans négociation :

• les accès au nom de domaine, enregistré à votre nom et pas à celui du prestataire ;
• les accès à l'hébergement ;
• une sauvegarde complète et exploitable du site et de sa base de données ;
• le code source, si le site est développé sur mesure.

Si l'un de ces quatre points n'est pas garanti par écrit, la maintenance n'est plus un service : c'est une clé que quelqu'un d'autre détient.

C'est pour ça que je propose un forfait de maintenance simple en complément de chaque projet : pas pour vendre un service de plus, mais parce qu'un site qui vit dans le temps a besoin d'un minimum d'attention régulière pour rester fiable, rapide et sécurisé. Le détail figure sur la page services.