Maintenance site web : ce qu'un contrat de TMA doit inclure pour rester sécurisé et performant

Maintenance site web : que doit couvrir un contrat de TMA ?

Un contrat de TMA (tierce maintenance applicative) doit couvrir les mises à jour de sécurité, des sauvegardes testées, la supervision des performances, la correction des anomalies, un volume d'évolutions défini et des délais d'intervention écrits. Sans ces six points, la maintenance reste une promesse floue.

Pourquoi cadrer la maintenance par écrit

Sans cadre, chaque incident devient une négociation. Qui intervient ? En combien de temps ? À quel coût ? Un contrat de maintenance site web répond à ces questions avant la panne, pas pendant.

Ce que la TMA protège

• La sécurité : une faille non corrigée expose vos données et celles de vos clients.
• La disponibilité : un site hors ligne, c'est des ventes ou des demandes perdues.
• La conversion : un site lent ou bogué fait fuir les visiteurs avant l'action attendue.

Comment structurer le contrat

Nous suivons une logique simple : le socle technique (mises à jour, sauvegardes), le suivi (supervision, reporting), le périmètre (correctif, évolutif), les engagements (SLA) et les clauses de sortie (propriété du code, réversibilité). Les sections suivantes détaillent chaque bloc.

Mises à jour de sécurité et correctifs : le socle du contrat

Le contrat doit lister ce que le prestataire met à jour : framework, dépendances, CMS, plugins et serveur. Chaque périmètre a sa fréquence, écrite noir sur blanc.

• Mises à jour courantes : un cycle régulier (mensuel ou trimestriel selon le projet), regroupé pour limiter les risques.
• Correctifs critiques : traités hors cycle, dès qu'une faille est publiée.

Aucune mise à jour ne part directement en production. Le prestataire l'applique d'abord sur un environnement de test proche de la production, puis lance les vérifications : parcours clés, formulaires, paiement.

Si un test échoue, la mise en ligne attend. En cas de souci après déploiement, un retour arrière doit être possible. Exigez cette procédure au contrat.

Sauvegardes et plan de restauration testé

Une sauvegarde qui ne se restaure pas ne protège rien. Le contrat doit donc fixer quatre points :

• Fréquence : quotidienne pour la base de données, adaptée au rythme des commandes ou des contenus.
• Conservation : une durée écrite, avec plusieurs points de retour possibles.
• Stockage : un lieu séparé de l'hébergement principal.
• Tests de restauration : à intervalle régulier, avec un compte rendu et un temps de reprise mesuré.

Sans ces tests, vous découvrez les limites de vos sauvegardes le jour de l'incident.

Supervision et performance : ce qui doit être mesuré

La supervision transforme la performance en données exploitables. Quatre indicateurs suffisent pour démarrer :

• Disponibilité : le site répond-il, à toute heure ?
• Temps de réponse : le serveur répond-il vite, y compris aux heures de pointe ?
• Erreurs applicatives : quelles pages ou actions échouent ?
• Core Web Vitals : chargement, réactivité et stabilité visuelle, tels que ressentis par l'utilisateur.

Une page lente fait abandonner des visiteurs avant le formulaire ou le paiement. C'est de la conversion perdue.

Chaque seuil doit déclencher une action : alerte, ticket, responsable désigné, délai de prise en charge. Sans cela, l'alerte reste du bruit.

Maintenance corrective, évolutive : définir le périmètre

Le périmètre se définit en trois catégories.

• Corrective : corriger un comportement qui ne respecte plus la spécification (bug, erreur de paiement). Elle est incluse.
• Maintenance évolutive : ajuster l'existant (nouveau champ, amélioration d'un parcours). Elle consomme un volume d'heures inclus.
• Nouveau développement : une fonctionnalité inédite. Elle fait l'objet d'un devis séparé.

Fixez un volume d'heures mensuel, puis priorisez le backlog ensemble chaque mois. Prévoyez aussi une règle écrite : tout dépassement est chiffré et validé avant exécution.

SLA : quels délais de prise en charge et de résolution exiger ?

Un SLA fixe deux délais par niveau de gravité : la prise en charge (accusé de réception et début d'analyse) et la résolution (correction ou contournement).

• Bloquant : site ou paiement hors service. Prise en charge la plus rapide, intervention immédiate.
• Majeur : fonction clé dégradée. Délai d'intervention de quelques heures ouvrées.
• Mineur : défaut sans impact métier. Traité selon le planning.

Exigez aussi les horaires couverts, les canaux (ticket, téléphone pour le bloquant) et la définition de chaque niveau.

Limite : un SLA engage sur des délais, pas sur l'absence d'incident.

Budget et reporting : piloter la TMA de façon mesurable

Deux modèles dominent le budget TMA. Le forfait mensuel offre une dépense prévisible, mais il peut être sous-utilisé. Le crédit d'heures colle à l'usage réel, mais exige un suivi rigoureux.

Dans les deux cas, exigez un reporting mensuel :

• tickets traités et en attente ;
• incidents et temps de résolution ;
• mises à jour réalisées ;
• indicateurs de performance.

Ce rapport rend la dépense mesurable.

Propriété du code et réversibilité : garder la main

Avant de signer, vérifiez cinq points :

• La propriété du code : elle vous revient, livrables inclus.
• L'accès au dépôt, à votre nom, dès le premier jour.
• Une documentation à jour : installation, déploiement, accès.
• Un préavis de sortie défini.
• La réversibilité : transfert vers un autre prestataire, avec une période d'accompagnement.

Sans ces clauses, vous dépendez de votre prestataire.