Maintenance de site web : combien ça coûte et pourquoi c'est indispensable

Un site web "livré" n'est pas un site web "fini". Dès la mise en ligne, les dépendances vieillissent, les failles de sécurité s'accumulent, les performances se dégradent. Pour une PME qui ne surveille pas son site, la question n'est pas si quelque chose va mal tourner — c'est quand.

La maintenance de site web reste pourtant le poste le plus souvent négocié à la baisse, voire supprimé. Les dirigeants qui l'ont vécu sans — avant d'y revenir après un incident — le regrettent presque tous. Ce guide explique ce que ça couvre concrètement, ce que ça coûte vraiment, et comment éviter de payer pour rien.

Beaucoup de PME confondent maintenance et hébergement. Ce sont deux choses distinctes.

L'hébergement, c'est l'infrastructure : votre site est stocké quelque part et accessible sur internet. L'hébergeur s'occupe des serveurs, de la bande passante, parfois du certificat SSL — rien d'autre. Il ne sait pas ce que vous avez installé dessus et ne le mettra jamais à jour.

La maintenance, c'est ce qui se passe au-dessus : quelqu'un vérifie que ça tourne, corrige ce qui casse, met à jour les composants avant qu'ils deviennent des failles. En pratique, ça recouvre :

• Les mises à jour de sécurité (CMS, plugins, dépendances npm ou composer)
• La surveillance de disponibilité (alertes si le site tombe, 24h/24)
• Les sauvegardes régulières avec test de restauration (sauvegarder sans jamais tester = ne pas sauvegarder)
• Le suivi des performances (Core Web Vitals, temps de chargement, erreurs 4xx/5xx)
• Les corrections de bugs qui apparaissent post-lancement (nouveau navigateur, changement d'API tierce, certificat qui expire)
• Parfois les petites évolutions : modifier un texte, ajouter une page, mettre à jour des tarifs

Ce que la maintenance n'est pas : refaire le site, créer de nouvelles fonctionnalités, gérer votre SEO ou vos réseaux sociaux. Ces éléments font l'objet de devis séparés.

Les fourchettes varient selon la complexité du site et le niveau de service inclus.

Pour un site vitrine PME classique — Next.js, WordPress avec peu de plugins, ou une solution similaire — un contrat Standard entre 150 et 300 € HT/mois couvre l'essentiel.

Ce qui fait varier le tarif : le nombre de dépendances à surveiller, la fréquence des interventions, l'existence d'un SLA avec délai de réponse garanti, et le volume de modifications mineures incluses.

Attention aux contrats sans SLA : sans délai de traitement garanti, votre prestataire peut mettre plusieurs semaines à répondre à une urgence. Un contrat sérieux précise un délai maximal de prise en charge — souvent entre 4h et 24h selon la gravité du problème.

C'est là que les calculs deviennent intéressants. Une PME qui "économise" sur la maintenance paie ailleurs.

Piratage ou infection malware : nettoyage d'urgence entre 500 et 3 000 € selon la gravité, sans compter les jours d'indisponibilité. Les sites WordPress non maintenus représentent la cible numéro un des bots automatisés — Sucuri estime que 43% des sites WordPress compromis avaient des plugins ou un core obsolète au moment de l'attaque.

Compatibilité cassée : un navigateur se met à jour, un certificat SSL expire, une API tierce change son format — votre site s'affiche mal ou tombe. Sans contrat, vous attendez que votre agence soit disponible, au tarif horaire d'urgence (souvent 150 à 250 € HT/h en dehors des priorités habituelles).

Refonte prématurée : un site laissé sans mises à jour pendant 3 ans accumule une dette technique qui rend toute modification complexe et coûteuse. Ce qui aurait coûté 2h à corriger au fil de l'eau peut représenter 15 à 30h de travail trois ans plus tard — ou justifier une refonte complète.

Perte de référencement : Google pénalise les sites lents, les certificats expirés, et les interruptions prolongées. Un site en panne 48h peut mettre plusieurs semaines à retrouver son positionnement.

Le calcul se résume à ça : 200 € HT/mois × 12 = 2 400 € HT/an. Un seul incident de sécurité non couvert coûte souvent le double, en mode urgence.

Avant de signer, vérifiez que ces éléments sont explicitement mentionnés — pas implicites.

Ce qui doit être inclus :

• Fréquence des mises à jour (hebdomadaire ou mensuelle ?)
• Sauvegardes : fréquence, durée de rétention, lieu de stockage, et surtout test de restauration régulier
• Monitoring : outil utilisé (Uptime Robot, Better Uptime, Pingdom…), fréquence des vérifications, canal d'alerte (email, SMS, Slack)
• SLA : délai maximal de réponse en cas d'urgence critique vs. incident mineur
• Rapport ou compte rendu des interventions effectuées (mensuel idéalement)

Ce qui doit être précisé séparément :

• Plafond d'heures pour les petites modifications incluses (ex. : 2h/mois)
• Ce qui est hors contrat et facturé à part

Signaux d'alarme :

• Aucun SLA → soit vous en négociez un, soit vous passez votre chemin
• "Sauvegardes quotidiennes" sans mention de test de restauration → quasi inutile
• Vous n'avez pas accès à vos propres fichiers et base de données → dépendance totale à votre prestataire

Certaines PME ont un collaborateur qui "s'y connaît en informatique". Est-ce suffisant ?

En interne, c'est viable si cette personne dispose de temps dédié (pas uniquement quand le site tombe), de compétences réelles en sécurité web, et d'une procédure documentée et testée. En pratique, dans la très grande majorité des PME, ça donne un site qui tourne à peu près jusqu'à l'incident majeur.

Externalisée, la maintenance apporte une continuité garantie (congés, turnover, maladies), une expertise spécialisée et actualisée, et une réactivité contractuelle. C'est aussi ce qui permet de justifier auprès de vos clients ou partenaires que votre infrastructure est réellement suivie.

Pour une PME sans DSI ou responsable technique dédié, l'externalisation est la bonne option dès que le site joue un rôle dans votre acquisition client — même modeste.

Non, et c'est essentiel à comprendre avant de choisir votre solution technique.

WordPress/Prestashop : nombreuses mises à jour (plugins, thèmes, core), souvent hebdomadaires, avec des risques de conflits entre versions. Plus accessible à maintenir avec des outils dédiés (ManageWP, MainWP), mais vecteur d'attaque le plus fréquent si négligé.

Next.js ou application sur-mesure : moins de dépendances à surveiller mais plus techniques. Les mises à jour sont moins fréquentes, la surface d'attaque plus réduite, la dette technique plus contrôlable. En revanche, la maintenance requiert une expertise spécifique à la stack (npm audit, Dependabot, intégration continue).

No-code (Webflow, Wix, Squarespace) : l'hébergeur gère la sécurité de la plateforme. Confort apparent, mais vous dépendez entièrement de leur roadmap, sans sauvegarde indépendante possible, et sans maîtrise de votre infrastructure si le prestataire change ses conditions.

Chaque approche a ses compromis. L'important est de les connaître avant de signer — et d'adapter le contrat de maintenance en conséquence.

Pour cadrer votre maintenance sans vous perdre dans les détails techniques, répondez à trois questions simples : combien de temps votre site peut-il être en panne avant que ça vous coûte quelque chose ? Avez-vous accès à vos propres sauvegardes en ce moment ? Qui appelez-vous si le site tombe un dimanche soir ?

Si vous n'avez pas de réponse claire, vous n'avez pas de maintenance. Et si votre site contribue à votre acquisition client — même à 20% — le coût d'un contrat standard est largement rentabilisé dès le premier incident évité.

Pour aller plus loin sur les choix d'infrastructure : Hébergement web pour PME : mutualisé, VPS, cloud ou agence et Agence web, freelance ou no-code : avantages et risques pour une PME.

1. Sucuri — Hacked Website Trend Report — statistiques sur les vecteurs d'attaque et les CMS les plus ciblés
2. Google Search Central — Core Web Vitals — impact des performances et de la disponibilité sur le référencement
3. W3Techs — CMS market share & security implications — parts de marché des CMS et contexte de maintenance

Cet article a été rédigé avec l'aide de l'IA et relu par un humain avant publication.