Contrat de maintenance WordPress : ce qu’il doit couvrir en sécurité

Un site WordPress qui tourne depuis trois ans sans incident ne veut rien dire. Ce n’est pas la preuve qu’il est protégé : c’est souvent la preuve que personne n’a encore essayé sérieusement d’y entrer. La différence entre les deux se joue dans ce qu’une maintenance wordpress doit couvrir, et la plupart des PME le découvrent trop tard, au moment où le site affiche une page blanche ou redirige vers un casino en ligne.

Pourquoi une PME ne peut pas se passer d’un contrat de maintenance

WordPress propulse un peu plus de 43 % des sites dans le monde. Ce succès a un revers : chaque extension mal tenue devient une cible de masse, pas un cas isolé. Un pirate qui trouve une faille sur un plugin l’exploite sur tous les sites qui l’utilisent encore, parfois plusieurs mois après la publication du correctif.

Une PME de moins de dix salariés n’a, en général, personne qui surveille ça au quotidien. Le site a été livré, la facture payée, et depuis, plus personne n’y touche. C’est exactement le profil que les robots d’attaque automatisés repèrent en priorité.

Les failles de sécurité les plus fréquentes sur un site WordPress

Trois points reviennent presque à chaque audit que je regarde : un cœur WordPress resté sur une version de plus d’un an, des extensions installées puis oubliées, et un mot de passe administrateur qui n’a jamais changé depuis la mise en ligne.

Le détail qui trompe le plus de dirigeants : une extension désactivée reste vulnérable. Désactiver n’est pas supprimer. Le code reste sur le serveur, accessible, et peut servir de porte d’entrée même si le plugin n’apparaît plus dans le menu. J’insiste là-dessus parce que c’est l’erreur la plus répandue, et la plus facile à corriger.

Pour aller plus loin sur ce terrain, j’ai détaillé ailleurs comment une entreprise se protège contre les failles de sécurité dans ses outils, avec les mêmes réflexes appliqués à d’autres logiciels métier.

Ce qu’un contrat de maintenance site wordpress doit vraiment inclure

Un contrat qui se résume à « on met à jour WordPress une fois par mois » ne protège presque rien. Ce qu’il faut regarder ligne par ligne :

La mise à jour du cœur et des extensions, oui, mais avec un délai écrit noir sur blanc : combien de jours entre la publication d’un correctif de sécurité critique et son application sur votre site. Un délai de trente jours sur une faille critique, c’est un mois de retard sur les pirates qui, eux, l’exploitent en quelques heures.

Ensuite, la surveillance active : un outil qui scanne les fichiers du site pour détecter une modification suspecte, pas une simple vérification visuelle une fois par trimestre. Et enfin, un pare-feu applicatif qui filtre le trafic avant qu’il n’atteigne WordPress lui-même.

Un contrat sans délai d’intervention écrit n’est pas un contrat de sécurité, c’est une promesse verbale. Si votre prestataire ne peut pas vous dire en combien d’heures il corrige une faille critique, posez la question avant de signer, pas après l’incident.

Sauvegardes : la ligne de défense que les PME négligent

Même avec une maintenance irréprochable, un site peut tomber. La sauvegarde n’est pas une option de confort, c’est le filet qui évite de tout reconstruire à la main.

Trois questions à poser à votre prestataire : où sont stockées les sauvegardes (jamais sur le même serveur que le site), à quelle fréquence elles tournent, et combien de temps il faut réellement pour en restaurer une. J’ai vu des sauvegardes quotidiennes qui n’avaient jamais été testées à la restauration : le jour où ça compte, elles ne fonctionnaient pas.

Sur ce sujet précis, j’ai déjà détaillé comment sécuriser ses sauvegardes cloud, avec les réglages qui évitent qu’une sauvegarde chiffrée par un rançongiciel serve à quelque chose.

Comment vérifier que votre prestataire tient ses engagements

Un rapport mensuel qui liste simplement « mises à jour effectuées » ne prouve rien. Demandez un rapport qui précise : quelles versions, à quelle date, et si une faille critique a été détectée entre-temps sur un des plugins installés.

Je me méfie des contrats qui ne mentionnent aucun outil de scan nommé. Un prestataire sérieux sait vous dire quel logiciel surveille votre site, et peut vous montrer un relevé daté. S’il répond par une formule vague, c’est qu’il ne surveille probablement rien entre deux visites.

Le signal à surveiller : combien de temps avant la correction

La question qui compte vraiment n’est pas « mon site est-il protégé aujourd’hui ? ». C’est : « en combien de temps sera-t-il corrigé le jour où une faille critique touche un de mes plugins ? » Un bon contrat répond à cette question en heures, pas en semaines.

Avant de renouveler ou de signer un contrat de maintenance, demandez ce chiffre précis. S’il n’existe pas noir sur blanc, vous payez pour une surveillance qui n’engage personne.