Contrat de maintenance site internet : 8 clauses à exiger

Un contrat de maintenance de site internet doit dire par écrit huit choses : ce que le prestataire fait sur votre site, à quelle fréquence, dans quels délais il intervient, comment il sauvegarde et protège le site, ce qu’il fait de vos données personnelles, ce qui n’est pas inclus, et comment vous récupérez tout le jour où vous changez de prestataire. La grille ci-dessous permet de relire n’importe quel contrat, avant de signer ou au renouvellement.

Elle s’appuie sur les clauses recommandées par un avocat, sur le texte du RGPD publié par la CNIL et sur les recommandations publiques de Cybermalveillance.gouv.fr, cités en lien à chaque étape.

Clause	La question à poser	Ce qui doit être écrit
1. Périmètre	Qu’est-ce qui est entretenu, exactement ?	La liste des tâches incluses et des outils couverts
2. Fréquence	Quand les mises à jour sont-elles faites ?	Un rythme, et un contrôle du site après chaque mise à jour
3. Délais d’intervention	Combien de temps pour réagir à une panne ?	Un délai par niveau de gravité, et les horaires couverts
4. Sauvegardes	Si tout casse, que récupère-t-on ?	Fréquence, conservation, lieu de stockage, tests de restauration
5. Sécurité	Qui corrige une faille, et en combien de temps ?	Un délai d’application des correctifs selon la gravité
6. Données personnelles	Que fait le prestataire des données de vos clients ?	Les mentions de l’article 28 du RGPD
7. Limites et exclusions	Qu’est-ce qui est facturé en plus ?	La liste des exclusions et le tarif hors forfait
8. Durée et sortie	Que récupère-t-on en partant ?	Préavis, remise des accès, dernière sauvegarde complète

1. Le périmètre : ce qui est entretenu, exactement

Le mot « maintenance » ne dit rien à lui seul. Un guide publié par ccism.fr le résume : « Deux offres peuvent s’appeler “maintenance” sans couvrir la même chose. » Le contrat doit donc lister les tâches incluses, nommer le site et la technologie concernés, et dire qui fait quoi quand le problème vient de l’hébergeur.

Le même guide distingue trois niveaux, qu’il est utile de retrouver dans le contrat :

• La maintenance technique : « les mises à jour du CMS, du thème, des plugins, les sauvegardes, les vérifications après mise à jour », la surveillance des erreurs et la correction de bugs.
• La maintenance de sécurité : surveillance, analyse des logiciels malveillants, certificat SSL, pare-feu.
• La maintenance évolutive : ajout de fonctionnalités, ajustements de design, amélioration des performances. Selon ce même guide, elle « n’est pas toujours incluse dans les petits forfaits » et se facture très souvent en supplément.

La liste des tâches dépend de la technologie du site. Un site WordPress demande la mise à jour du cœur, du thème et des extensions. Un site codé sur mesure, celle de ses dépendances et de son serveur. Un contrat qui ne nomme pas la technologie laisse le périmètre à l’interprétation.

2. La fréquence : quand les mises à jour sont faites

Le contrat doit fixer un rythme de mise à jour, écrit noir sur blanc : chaque semaine, chaque mois, ou dès la publication d’un correctif de sécurité. Il doit aussi prévoir un contrôle du site après chaque mise à jour, car une extension mise à jour peut casser un formulaire ou une page. Sans ce contrôle, la panne est découverte par un client.

Deux points à vérifier en plus. Le prestataire teste-t-il les mises à jour sur une copie du site avant de les appliquer en ligne ? Et envoie-t-il un compte rendu, même court, de ce qui a été fait ? Un compte rendu daté est la preuve la plus simple que la prestation payée a bien eu lieu.

3. Les délais d’intervention en cas de panne

Un délai d’intervention n’a de sens que s’il est écrit en heures ou en jours ouvrés, et rattaché à un niveau de gravité. Un site inaccessible, un formulaire de contact qui n’envoie plus rien et une coquille dans un texte n’appellent pas la même urgence. Le contrat doit aussi préciser les horaires couverts : jours ouvrés seulement, ou week-ends compris.

Distinguez deux délais qui se confondent souvent à l’oral :

• Le délai de prise en charge : le temps entre votre signalement et le début de l’intervention.
• Le délai de résolution : le temps avant que le site fonctionne de nouveau.

Un contrat qui ne promet que le premier ne vous garantit pas que la panne sera réglée. Précisez aussi le canal de signalement (e-mail, téléphone, espace client) : c’est lui qui fait partir le délai.

4. Les sauvegardes : ce qu’on récupère si tout casse

Une sauvegarde qui n’a jamais été restaurée n’est pas une garantie. Le contrat doit indiquer la fréquence des sauvegardes, leur durée de conservation, l’endroit où elles sont stockées et la fréquence des tests de restauration. L’avocat Romain Mirabile, dans son article sur les clauses d’un contrat de maintenance, y ajoute « les délais garantis pour la remise en service en cas de sinistre ».

Les recommandations publiques de Cybermalveillance.gouv.fr sur les sauvegardes donnent deux critères simples à vérifier :

• Un lieu distinct : « Conservez également une sauvegarde dans un lieu différent de celui où sont stockées les données originales. » Une sauvegarde stockée sur le même serveur que le site peut disparaître avec lui.
• Un test régulier : « Assurez-vous régulièrement que votre sauvegarde fonctionne. »

Demandez enfin si vous pouvez obtenir une copie complète de la sauvegarde sur simple demande. La réponse compte le jour où vous changez de prestataire (clause 8).

5. La sécurité : qui corrige une faille, et en combien de temps

L’avocat Romain Mirabile, du barreau de Paris, qualifie la gestion des mises à jour de sécurité de « point critique souvent négligé ». Dans son article sur les clauses essentielles d’un contrat de maintenance, il recommande d’écrire des délais maximaux d’application des correctifs selon leur criticité.

Les délais qu’il donne en exemple :

Gravité de la faille	Délai maximal proposé par l’avocat
Vulnérabilité critique	24 heures
Faille importante	72 heures
Problème mineur	7 jours

Il recommande aussi d’exiger une authentification forte pour tous les accès au site et au serveur, et une surveillance active des tentatives d’intrusion. Un site piraté peut être signalé par Google et sortir des résultats de recherche : c’est l’une des causes décrites dans notre article mon site n’apparaît pas sur Google.

6. Les données personnelles : la clause RGPD

Dès que votre site recueille des données (formulaire de contact, devis, compte client), le prestataire qui accède au site ou au serveur traite ces données pour votre compte. Le RGPD impose alors un contrat écrit : l’article 28, publié par la CNIL, en fixe le contenu minimal. Cette clause est donc obligatoire.

Parmi les mentions que l’article 28 rend obligatoires, le prestataire :

• ne traite les données « que sur instruction documentée » de votre part ;
• veille à la confidentialité des personnes qui y ont accès ;
• prend les mesures de sécurité prévues par le RGPD ;
• au terme de la prestation, « supprime toutes les données à caractère personnel ou les renvoie » selon votre choix ;
• vous donne les informations nécessaires pour vérifier qu’il respecte ces obligations.

La CNIL met à disposition des clauses contractuelles types qui reprennent ces dispositions, utilisables telles quelles. Prévoyez aussi le délai d’alerte en cas de fuite : c’est vous qui devez notifier la violation à la CNIL, « dans un délai de 72 heures si possible ». Romain Mirabile propose que le prestataire vous prévienne « dans un délai maximum de 24 heures » après la découverte d’une faille.

7. Les limites : ce qui n’est pas inclus

Un contrat honnête écrit ce qu’il ne couvre pas. Les exclusions habituelles : la maintenance évolutive, la rédaction et la mise en ligne de nouveaux contenus, l’hébergement et le nom de domaine, les licences payantes d’extensions, et les dégâts causés par une modification faite par quelqu’un d’autre. Chacune doit être listée, avec le tarif appliqué hors forfait.

Trois questions à poser sur cette clause :

• Le contrat inclut-il un volume d’heures ? Si oui, que deviennent les heures non utilisées, et quel est le tarif au-delà ?
• L’hébergement est-il compris ? Le guide de ccism.fr en fait une question à part entière : « Inclus ou facturé à part ? »
• Qui est responsable en cas d’incident ? L’avocat recommande une répartition écrite des responsabilités entre prestataire, hébergeur et client.

8. La durée, la résiliation et la sortie

La clause de sortie est celle qui compte le jour où l’on change de prestataire. Le contrat doit fixer la durée, le préavis, les conditions de reconduction et, surtout, ce qui vous est remis en partant : les accès, la dernière sauvegarde complète et les éléments dont vous êtes propriétaire.

La liste des accès à obtenir à la sortie, et idéalement dès la signature :

• l’espace client de l’hébergeur et celui du bureau d’enregistrement du nom de domaine ;
• le compte administrateur du site ;
• Search Console et l’outil de mesure d’audience ;
• les licences d’extensions payantes, si elles sont à votre nom.

Vérifiez que le nom de domaine est enregistré à votre nom, et non à celui du prestataire. C’est la même question que pour un site loué au mois, détaillée dans notre article sur l’abonnement de site internet et son vrai coût. Côté confidentialité, Romain Mirabile indique qu’une obligation courant 3 à 5 ans après la fin du contrat est « généralement considérée comme raisonnable ».

Combien coûte un contrat de maintenance de site internet ?

Le prix dépend du périmètre, pas seulement du type de site. Le guide de ccism.fr, daté du 19 avril 2026, situe un petit site vitrine entre 500 et 1 000 € HT par an et une boutique en ligne entre 1 500 et 4 000 € HT par an. Deux contrats au même prix peuvent couvrir des prestations très différentes.

Type de site	Budget annuel indiqué	Source
Petit site vitrine	environ 500 à 1 000 € HT par an	ccism.fr, 19/04/2026
Site vitrine actif, PME	environ 900 à 1 800 € HT par an	ccism.fr, 19/04/2026
Boutique en ligne	environ 1 500 à 4 000 € HT par an	ccism.fr, 19/04/2026

Pour un petit site vitrine, le même guide indique un budget mensuel « souvent entre 30 et 60 € HT par mois, hors hébergement et nom de domaine ». Comparez deux offres avec la grille ci-dessus avant de comparer les montants. Pour situer ce budget par rapport au prix du site lui-même, voir nos fourchettes de prix d’un site internet.

Questions fréquentes

Un contrat de maintenance de site internet est-il obligatoire ? Aucun texte n’oblige à faire entretenir un site. En revanche, si le prestataire accède à des données personnelles recueillies par le site, l’article 28 du RGPD impose un contrat écrit qui encadre ce traitement. C’est en général le cas d’un prestataire qui dispose d’un accès administrateur à un site doté d’un formulaire.

Maintenance et hébergement, est-ce la même chose ? Non. L’hébergement loue l’espace serveur où le site est stocké et le rend accessible. La maintenance entretient le site lui-même : mises à jour, sauvegardes, sécurité, corrections. Les deux peuvent être vendus ensemble, mais le contrat doit les distinguer, avec un prix pour chacun.

Que se passe-t-il si mon site est piraté alors qu’il est sous contrat ? Tout dépend de ce qui est écrit. Si le contrat prévoit des délais de correctifs de sécurité, des sauvegardes testées et une répartition des responsabilités, le prestataire doit restaurer le site dans les délais prévus. S’il ne prévoit rien, la remise en état peut être facturée à part. Relisez les clauses 4, 5 et 7 avant de signer.

Peut-on changer de prestataire de maintenance en cours de contrat ? Oui, dans les conditions de résiliation prévues : durée, préavis, éventuelles pénalités. La transition se passe bien si les accès, la dernière sauvegarde et le nom de domaine sont à votre nom ou vous sont remis. C’est l’objet de la clause 8.

---

Altitude Studio maintient des sites WordPress existants et construit ses nouveaux sites en code sur mesure. Ce que couvre notre offre est détaillé sur la page maintenance de site internet. Pour un chiffrage adapté à votre site, demandez un devis gratuit.

Article relu et validé par Romain Petit, cofondateur d’Altitude Studio, qui en porte la responsabilité éditoriale (validation du 25 septembre 2026). Chiffres et citations vérifiés le 23 septembre 2026 sur les sources indiquées en lien dans le texte. Cet article ne constitue pas un conseil juridique.