Maintenance de site

web : ce qu'elle couvre,

et ce qui arrive sans elle

Un site sans maintenance ne reste pas en l'état

On imagine volontiers qu'un site livré reste tel quel tant qu'on n'y touche pas. C'est l'inverse. Tout ce qui l'entoure change : le langage du serveur passe à une nouvelle version, les navigateurs évoluent, les certificats de sécurité expirent, des failles sont découvertes dans les logiciels qu'il utilise.

Un site WordPress est le cas le plus visible, avec son cœur, son thème et ses extensions à mettre à jour. Mais un site sur mesure a lui aussi des dépendances, un serveur et un certificat. Il a moins de pièces mobiles, pas aucune.

La maintenance n'est donc pas un service de confort. C'est ce qui garde le site dans l'état où il a été livré.

Le rythme compte autant que le contenu. Une faille publiée est connue de tous, y compris de ceux qui cherchent des sites à attaquer, et des robots parcourent le web en permanence à la recherche des versions vulnérables. Un correctif appliqué quelques jours après sa publication protège ; le même correctif appliqué six mois plus tard arrive souvent après l'intrusion.

Ce que couvre une maintenance digne de ce nom

Le mot recouvre des réalités très différentes d'un prestataire à l'autre. Une maintenance complète comprend au moins ceci.

• Les mises à jour : logiciel de gestion de contenu, extensions, dépendances du code et système du serveur, testées avant d'être appliquées.
• La sécurité : les correctifs appliqués quand une faille est publiée, et la surveillance des tentatives d'intrusion.
• Les sauvegardes : automatiques, conservées hors du serveur, et dont la restauration est testée.
• La surveillance de la disponibilité, avec une alerte quand le site ne répond plus.
• Le renouvellement des certificats HTTPS et du nom de domaine.
• Les petites corrections : un lien cassé, un affichage abîmé par une mise à jour de navigateur.
• Un compte rendu régulier de ce qui a été fait.

Ce qu'elle ne couvre pas, et qu'il faut écrire

La maintenance garde le site en état ; elle ne le transforme pas. Ajouter une page, créer une fonctionnalité, refaire une section relève d'une évolution, chiffrée à part. Mettre à jour les textes peut relever de l'un ou de l'autre selon les contrats.

Ce flou est la première source de désaccord. Un contrat clair dit ce qui est compris, ce qui ne l'est pas, et comment se chiffre ce qui ne l'est pas. Sans cette ligne, chaque demande devient une négociation.

Corrective, préventive, évolutive : trois maintenances différentes

La maintenance corrective répare ce qui est cassé : une erreur, une page qui ne s'affiche plus, un formulaire qui n'envoie plus. Elle intervient après le problème.

La maintenance préventive empêche les problèmes d'arriver : mises à jour, sauvegardes, surveillance, renouvellements. C'est elle qui évite la plupart des interventions correctives, et c'est souvent celle que l'on oublie de payer, parce que son succès ne se voit pas.

La maintenance évolutive fait grandir le site : nouvelles pages, nouvelles fonctionnalités, adaptations à un nouvel usage. Elle se rapproche d'un projet, et se chiffre comme tel.

Ce qui arrive sans elle

Les scénarios sont connus, et rarement spectaculaires au départ. Une extension non mise à jour laisse passer un script qui insère des liens vers des sites douteux : le visiteur ne voit rien, mais Google finit par afficher un avertissement de site piraté dans ses résultats. Le certificat expire un samedi, et chaque navigateur affiche une alerte rouge à la place de votre page d'accueil.

L'hébergeur met à jour la version du langage de son serveur, et un site jamais maintenu cesse de s'afficher. Le disque du serveur tombe en panne, et l'on découvre que la dernière sauvegarde date de la mise en ligne, ou qu'elle n'a jamais été testée et ne se restaure pas.

Chacun de ces incidents coûte plus cher à réparer qu'une année de maintenance préventive. Et certains, comme la perte de données sans sauvegarde, ne se réparent pas.

Le référencement en paie aussi le prix. Un site signalé comme dangereux, inaccessible pendant plusieurs jours ou devenu très lent perd des positions qu'il mettra du temps à regagner, même une fois réparé. La maintenance protège donc aussi le trafic que le site a mis des années à construire.

Faire soi-même, ou confier : où passe la limite

Une partie de la maintenance peut se faire en interne. Mettre à jour un texte, ajouter une actualité, remplacer une photo : un outil d'édition bien configuré le permet sans risque. Activer les mises à jour automatiques de toutes les extensions paraît tentant, mais une mise à jour qui casse le site au milieu de la nuit, sans personne pour le voir, est précisément le scénario que la maintenance doit éviter.

La limite passe là où une erreur coûte cher et se voit tard. Les mises à jour qui touchent au code ou au serveur, les sauvegardes, la sécurité et la surveillance demandent un savoir-faire et une régularité qu'il est difficile de garder quand ce n'est pas son métier. Ce sont celles-là qu'il vaut mieux confier, avec un compte rendu qui vous permet de vérifier qu'elles sont faites.

Quelle que soit l'option, gardez une trace : qui a accès à quoi, où sont les sauvegardes, qui appeler en cas de panne. Ce document d'une page vaut plus que bien des contrats le jour d'un incident.

Comment juger un contrat de maintenance

Les tarifs se comparent mal entre eux ; les réponses à ces questions se comparent bien.

• Qu'est-ce qui est compris, ligne par ligne, et qu'est-ce qui est facturé en plus ?
• Quel délai d'intervention est écrit dans le contrat en cas de panne ?
• Les sauvegardes sont-elles conservées ailleurs que sur le serveur, et leur restauration est-elle testée ?
• Qui a les accès au site, au serveur et au nom de domaine, et à qui appartiennent-ils ?
• À quelle fréquence recevez-vous un compte rendu ?
• Que récupérez-vous à la fin du contrat : accès, code, sauvegardes, documentation ?

Moins de pièces, moins de maintenance : le choix se fait à la construction

Le coût de la maintenance se décide en grande partie au moment où le site est construit. Chaque extension installée est une pièce de plus à surveiller. Un site pré-rendu, servi comme des fichiers statiques, n'a pas de base de données exposée ni de logiciel à mettre à jour sur chaque page : sa surface est réduite, et sa maintenance aussi.

Il reste le serveur, les dépendances du code, les certificats et les sauvegardes. C'est pourquoi un site devrait toujours être livré avec la réponse à une question simple : qui s'en occupe, une fois en ligne ?