Un site WordPress n’est jamais « terminé ». Sous la surface, une trentaine de composants, le cœur du CMS, le thème, les extensions, la version de PHP, évoluent en permanence, chacun publiant ses correctifs de sécurité à son propre rythme. Un site qu’on ne touche plus n’est pas un site stable : c’est un site dont la dette s’accumule en silence, jusqu’au jour où elle se rappelle à vous.
Ce guide détaille ce qu’une maintenance sérieuse couvre réellement, bien au-delà du clic sur « Mettre à jour » —, ce que risque concrètement un site à l’abandon, les prix pratiqués sur le marché français, et le calcul honnête entre gérer soi-même et confier la tâche à un professionnel.
Ce qu’une maintenance WordPress sérieuse couvre réellement
Une maintenance WordPress complète couvre six domaines : les mises à jour testées, les sauvegardes vérifiées, la sécurité active, la surveillance de disponibilité, le suivi de performance et un temps d’assistance humain. Un contrat qui se limite à cliquer sur « Mettre à jour » une fois par mois n’est pas une maintenance : c’est une loterie avec votre outil de travail comme mise.
Le périmètre complet, poste par poste :
- Mises à jour du cœur WordPress, des extensions, du thème et de la version PHP, avec test préalable et possibilité de retour en arrière.
- Sauvegardes automatiques, stockées hors du serveur du site, et testées en restauration.
- Sécurité : pare-feu applicatif, durcissement de la configuration, scan de logiciels malveillants, veille sur les vulnérabilités publiées.
- Surveillance : disponibilité du site 24 h/24, validité du certificat SSL, expiration du nom de domaine, erreurs serveur.
- Performance : suivi des temps de chargement, nettoyage de la base de données, gestion du cache.
- Assistance : un interlocuteur qui répond quand quelque chose cloche, avec un délai d’intervention défini par contrat.
Ce périmètre distingue la maintenance de l’hébergement : l’hébergeur fournit le serveur et sa disponibilité ; la maintenance s’occupe de ce qui tourne dessus. Les deux sont complémentaires, jamais interchangeables.
Site à l’abandon : les risques concrets, chiffres à l’appui
Un site non maintenu finit par être compromis, non par malchance, mais par statistique : des robots scannent le web en continu à la recherche de versions vulnérables connues, sans se soucier de la taille du site. Selon le rapport annuel de Patchstack, spécialiste de la sécurité WordPress, plus de 90 % des vulnérabilités découvertes dans l’écosystème concernent les extensions, et moins de 1 % le cœur du CMS lui-même.
Le raisonnement « mon site est trop petit pour intéresser les pirates » repose sur un malentendu : les attaques sont automatisées et massives. Votre site n’est pas ciblé pour ce qu’il est, mais pour ce qu’il permet, envoyer du spam, héberger des pages de phishing, injecter des liens frauduleux. WordPress propulsant plus de 40 % du web selon les relevés de W3Techs, c’est mécaniquement la cible prioritaire des campagnes automatisées.
Les conséquences concrètes d’une compromission :
- Le référencement détruit : injection de milliers de pages de spam (le classique « pharma hack »), avertissement « site piraté » dans les résultats Google, mise en liste noire des navigateurs.
- Le nettoyage facturé entre 500 et 2 500 € selon l’ampleur, souvent plus qu’une année complète de contrat de maintenance.
- Le risque juridique : une fuite de données clients engage votre responsabilité au titre du RGPD.
- La perte sèche si aucune sauvegarde saine n’existe : certains sites repartent de zéro.
- L’image : un site affichant une alerte de sécurité ou des liens douteux fait fuir prospects et partenaires.
Les mises à jour : cœur, extensions, thème et PHP
Toutes les mises à jour ne se valent pas : un correctif de sécurité s’applique sous 24 à 48 heures, une mise à jour majeure se teste avant déploiement. La bonne pratique professionnelle consiste à tester sur un environnement de préproduction, puis à déployer en production avec une sauvegarde de repli prête à l’emploi.
Le calendrier type d’une maintenance rigoureuse :
- Les correctifs de sécurité signalés (extensions ou cœur) : application prioritaire, dans les 24 à 48 heures suivant la publication.
- Les mises à jour mineures : passage hebdomadaire, avec vérification visuelle des pages clés après déploiement.
- Les mises à jour majeures (WordPress, WooCommerce, constructeur de page) : test sur copie du site, contrôle des parcours critiques, panier, formulaires, tunnel de commande, puis déploiement.
- La version PHP : souvent oubliée, elle conditionne pourtant sécurité et vitesse. Chaque version a une fin de vie officielle au-delà de laquelle plus aucun correctif de sécurité n’est publié ; rester dessus, c’est rouler sans assurance.
Quant aux mises à jour automatiques : elles dépannent sur un petit site vitrine, mais sur un site avec WooCommerce ou un constructeur comme Elementor, une incompatibilité déployée automatiquement un vendredi soir peut casser le tunnel de commande pour tout le week-end. L’automatisation sans supervision déplace le risque, elle ne le supprime pas.
Sauvegardes : la règle 3-2-1 et le test de restauration
Une sauvegarde ne vaut que si elle se restaure. La règle de référence, dite 3-2-1 : trois copies de vos données, sur deux supports différents, dont une copie hors du serveur qui héberge le site. Une sauvegarde stockée sur le même hébergement que le site disparaît avec lui en cas de défaillance, de piratage ou d’incendie de centre de données, le sinistre d’OVHcloud à Strasbourg en 2021 l’a rappelé à des milliers d’entreprises.
Les trois paramètres qui séparent une vraie politique de sauvegarde d’une case cochée :
- La fréquence, alignée sur votre activité : quotidienne pour un site vitrine, toutes les heures pour une boutique WooCommerce où chaque commande perdue est une commande à rembourser.
- La rétention : conserver 30 jours d’historique minimum, car un piratage se découvre parfois des semaines après l’intrusion, restaurer la sauvegarde d’hier restaurerait aussi la porte dérobée.
- Le test de restauration : au moins trimestriel, sur un environnement séparé. C’est le seul moyen de savoir si vos sauvegardes sont exploitables avant le jour où votre activité en dépend.
Sécurité et surveillance : ce qui tourne en arrière-plan
La sécurité WordPress fonctionne par couches : pare-feu applicatif, limitation des tentatives de connexion, authentification à deux facteurs, scan de logiciels malveillants et surveillance de disponibilité. L’objectif n’est pas l’inviolabilité, elle n’existe pas, mais de réduire la surface d’attaque et de détecter un incident en heures plutôt qu’en semaines.
Les couches, de l’extérieur vers l’intérieur : un pare-feu applicatif (WAF) filtre les requêtes malveillantes avant qu’elles n’atteignent le site ; la page de connexion est protégée (limitation des essais, double authentification pour les comptes administrateurs) ; la configuration est durcie, édition de fichiers désactivée, droits ajustés, comptes inutilisés supprimés, préfixes par défaut modifiés ; un scan régulier compare les fichiers du site aux versions officielles pour repérer toute modification suspecte.
S’y ajoute la surveillance continue : un service de monitoring teste la disponibilité du site toutes les minutes et alerte en cas de panne, parce que découvrir par un client que le site est tombé depuis trois jours coûte plus cher que l’alerte à 6 h du matin. La même vigilance s’applique au renouvellement du certificat SSL et du nom de domaine, deux oublis classiques qui mettent un site hors ligne du jour au lendemain.
Combien coûte une maintenance WordPress ? La grille du marché
Le marché français s’étage en trois niveaux : environ 30 à 60 € par mois pour une maintenance basique, 80 à 200 € pour une formule complète avec assistance, et 200 à 500 € et plus pour les sites e-commerce ou à fort enjeu. La variable qui explique l’écart n’est pas l’outil : c’est le temps d’intervention humain réellement inclus.
| Formule | Prix mensuel constaté | Contenu type | Pour qui |
|---|---|---|---|
| Basique | 30 à 60 € | Mises à jour, sauvegarde quotidienne, surveillance simple | Site vitrine à faible enjeu |
| Complète | 80 à 200 € | Basique + tests avant mise à jour, sécurité renforcée, temps d’assistance mensuel, rapport | Site professionnel générateur de contacts |
| Premium / e-commerce | 200 à 500 € et + | Complète + préproduction, sauvegardes horaires, délai d’intervention garanti, suivi WooCommerce | Boutiques en ligne, sites à fort trafic |
Trois points de vigilance avant de signer : les offres à moins de 20 € par mois se limitent généralement à des mises à jour automatisées sans supervision ni test, vous payez un script, pas un service ; vérifiez que la restauration en cas d’incident est incluse et non facturée en supplément ; exigez un délai d’intervention écrit au contrat, pas une promesse orale. Le détail de nos propres formules est présenté sur notre page maintenance WordPress, avec le périmètre exact de chaque niveau.
Faire soi-même ou externaliser : le vrai calcul
Techniquement, tout gérant peut cliquer sur « Mettre à jour ». La vraie question porte sur deux coûts cachés : le temps récurrent bien employé, et la capacité à gérer l’incident, restaurer un site cassé un dimanche soir, diagnostiquer une compromission. Externaliser coûte généralement moins cher qu’un seul nettoyage de piratage.
Posons le calcul honnêtement. Une maintenance faite sérieusement en interne, mises à jour testées, vérifications, sauvegardes contrôlées, représente deux à quatre heures par mois. Valorisées au coût horaire d’un dirigeant ou d’un salarié qualifié (40 à 60 €), cela représente 120 à 240 € mensuels, pour un résultat qui dépend de la régularité et de la compétence disponibles. Un contrat professionnel complet coûte 80 à 200 € et inclut ce qu’aucun bricolage n’offre : la préproduction, l’astreinte de fait, et l’expérience des pannes déjà vues cent fois.
Le facteur décisif reste l’incident : un site cassé par une mise à jour ou compromis par une faille se règle en heures quand la procédure existe, sauvegarde saine, environnement de test, réflexes, et en jours quand il faut improviser. Pour un site qui génère des contacts ou des ventes, ces jours d’improvisation sont la vraie facture. L’auto-gestion se défend pour un blog personnel sans enjeu ; pour un site qui participe au chiffre d’affaires, l’externalisation de la maintenance relève de la même logique que l’assurance du local commercial.
Questions fréquentes
À quelle fréquence faut-il mettre à jour un site WordPress ?
Les correctifs de sécurité s’appliquent sous 24 à 48 heures ; les mises à jour courantes se traitent chaque semaine ; les versions majeures se testent avant déploiement. Un site vérifié une fois par trimestre accumule en moyenne des dizaines de mises à jour en retard, dont plusieurs correctifs de sécurité.
Mon hébergeur fait des sauvegardes : ai-je quand même besoin d’une maintenance ?
Les sauvegardes d’hébergeur sont un filet utile mais limité : rétention courte, restauration globale du serveur plutôt que fine, et aucun test de votre côté. Surtout, la sauvegarde n’est qu’un des six volets de la maintenance : elle ne met rien à jour, ne surveille rien et ne protège de rien en amont.
Que faire si mon site est déjà piraté ?
Ne supprimez rien dans la précipitation : isolez le site, changez tous les mots de passe (WordPress, hébergement, FTP, base de données), et faites établir un diagnostic, la porte d’entrée doit être identifiée et fermée, sinon la réinfection suit en quelques jours. Un nettoyage professionnel comprend l’analyse, la désinfection, la demande de réexamen auprès de Google et le durcissement post-incident.
La maintenance inclut-elle les évolutions du site ?
Non, et c’est une distinction saine : la maintenance garantit que l’existant fonctionne, reste sécurisé et sauvegardé. Les évolutions, nouvelles pages, fonctionnalités, refonte graphique, relèvent d’un devis séparé, ou du temps d’assistance mensuel inclus dans les formules complètes pour les petites demandes.
Puis-je changer facilement de prestataire de maintenance ?
Oui, à condition d’avoir gardé la main sur vos accès : hébergement, nom de domaine, comptes administrateurs et licences des extensions premium doivent vous appartenir. Méfiez-vous des contrats où le prestataire détient tout : c’est le principal facteur de dépendance. Un prestataire sérieux documente et restitue sans difficulté.
Un site entretenu est un actif, un site à l’abandon est une dette
La maintenance WordPress n’a rien de spectaculaire : quand elle est bien faite, il ne se passe précisément rien, pas de panne, pas de piratage, pas de week-end perdu. C’est toute sa valeur. Le coût d’un contrat sérieux se compare au coût d’un seul incident, et la comparaison est vite faite.
Depuis 2012, l’équipe Webiaprod maintient à Grenoble des sites WordPress et WooCommerce de toutes tailles, avec plus de 250 projets accompagnés. Confiez-nous l’audit gratuit de votre site via notre page contact : nous vous dirons ce qui est à jour, ce qui ne l’est pas, et ce que cela implique, sans dramatisation ni jargon.
