Contrat de maintenance de site internet : les 12 clauses à vérifier.Avant de signer, et pour relire celui que vous avez déjà.

1. Le périmètre : le site, l'outil, ce qui est compris, ce qui ne l'est pas.
2. Les mises à jour : fréquence, méthode, délai pour une faille critique.
3. Les sauvegardes : fréquence, durée, endroit, restauration.
4. La sécurité : ce qui est réellement fait.
5. Les délais : prise en charge et résolution, en heures, horaires compris.
6. Les incidents de sécurité : qui intervient, quand, à quel prix.
7. Le prix et sa règle de révision.
8. La durée, la reconduction et le préavis.
9. Vos accès et ce qui vous est remis à la fin.
10. Le contrat de sous-traitance RGPD (article 28).
11. La responsabilité et l'assurance du prestataire.
12. Les comptes rendus de ce qui a été fait.

Dans ce guide

• Les six clauses sur ce que fait le prestataire
• Les six clauses qui vous protègent
• Les mots qui trompent
• La trame d'un contrat, article par article
• Ce que prévoit le contrat Boost
• Ce que nous ferions à votre place
• Questions fréquentes

1. Le périmètre

Quel site, à quelle adresse, sous quel outil (WordPress, PrestaShop, autre), avec quelles extensions et quel hébergement. Et surtout ce qui n'est pas compris : les évolutions, les nouvelles pages, la formation, les autres outils de l'entreprise. Une prestation qui n'est ni dans la liste ni dans les exclusions donnera lieu à discussion le jour où vous en aurez besoin.

2. Les mises à jour

Une fréquence écrite (chaque mois, chaque semaine), ce qui est mis à jour (le cœur, les extensions, le thème, la version de PHP), et comment : testées sur une copie du site avant d'être installées, ou lancées directement. Et la règle pour les failles critiques : corrigées sans attendre le passage suivant, dans un délai écrit.

3. Les sauvegardes

Quatre précisions : la fréquence, la durée de conservation, l'endroit (hors du serveur du site), et la restauration. Une sauvegarde qu'on n'a jamais restaurée est une hypothèse. Le contrat doit dire combien de temps prend une restauration et qui la déclenche.

4. La sécurité et la surveillance

Ce qui est réellement fait : pare-feu, contrôle des fichiers, surveillance de la disponibilité, veille des failles des extensions installées. « Sécurité incluse » sans détail ne protège ni votre site ni vous.

5. Les délais

La clause la plus mal écrite. Il faut deux délais distincts : le délai de prise en charge (le moment où quelqu'un commence à travailler sur votre demande) et, quand c'est possible, le délai de résolution. Pour chacun : en heures, pour une demande courante et pour une urgence, avec les jours et horaires couverts, et une définition de ce qu'est une urgence. Un « temps moyen » n'est pas un engagement.

6. Les incidents de sécurité

Que se passe-t-il si le site est piraté ? Qui intervient, dans quel délai, à quel prix (compris ou facturé à part), avec quel compte rendu ? Qui vous prévient si des données personnelles ont pu fuiter, pour que vous puissiez notifier la CNIL dans les 72 heures ? La plupart des contrats n'en disent rien : c'est le jour où vous en aurez le plus besoin.

7. Le prix et sa révision

Le prix hors taxes, ce qu'il comprend, le prix des prestations en plus (à l'heure ou au forfait), et la règle de révision : à quelle date, de combien au plus, avec quel délai de prévenance.

8. La durée, la reconduction et le préavis

Engagement d'un mois ou d'un an, reconduction automatique ou non, préavis pour arrêter, et forme de la résiliation (un e-mail suffit-il ?). Un contrat d'un an reconduit tacitement, avec trois mois de préavis, vous lie bien plus longtemps qu'il n'y paraît.

9. Vos accès et la réversibilité

Vous devez rester propriétaire du site, du nom de domaine, de l'hébergement et des comptes, ou au moins pouvoir les récupérer. Le contrat doit dire ce que le prestataire vous remet à la fin (sauvegarde complète, accès, documentation), sous quel délai et à quel prix. C'est ce qui vous permet de changer de prestataire sans repartir de zéro.

10. Le contrat de sous-traitance RGPD

Votre prestataire accède aux données de vos visiteurs et de vos clients : il est votre sous-traitant au sens du RGPD, et l'article 28 impose un contrat écrit entre vous. Il précise les données traitées, la durée, les mesures de sécurité, les autres sous-traitants qu'il utilise, l'aide qu'il vous apporte en cas de fuite, et ce qu'il fait des données à la fin du contrat.

11. La responsabilité

La plupart des contrats plafonnent la responsabilité du prestataire, souvent au montant payé sur une période. C'est courant ; vérifiez seulement le plafond et ce qu'il exclut, et demandez si le prestataire a une assurance de responsabilité civile professionnelle. En maintenance, le prestataire s'engage en général à une obligation de moyens : faire tout ce qui est raisonnable, pas promettre qu'il n'arrivera rien.

12. Les comptes rendus

Un récapitulatif régulier de ce qui a été fait : mises à jour, sauvegardes, alertes, interventions. C'est la seule façon de savoir ce que vous payez, et de le prouver à votre assureur si besoin.

Un contrat de maintenance clair tient en une dizaine d'articles. Voici leur ordre habituel, avec ce que chacun doit contenir. C'est une grille de lecture, pas un contrat à signer tel quel : pour un enjeu important, faites relire le vôtre par un juriste.

1. Objet et périmètre : le site concerné, l'outil, ce qui est compris et ce qui ne l'est pas.
2. Prestations : mises à jour, sauvegardes, sécurité, surveillance, retouches, avec leurs fréquences.
3. Niveaux de service : délais de prise en charge et de résolution, jours et horaires, définition d'une urgence.
4. Incidents de sécurité : intervention, délai, prix, compte rendu, aide en cas de fuite de données.
5. Obligations du client : accès fournis, informations, interlocuteur, ce qu'il ne doit pas modifier seul.
6. Prix, facturation et révision.
7. Durée, reconduction, résiliation et préavis.
8. Propriété et réversibilité : à qui appartiennent le site, les comptes et les données, ce qui est remis à la fin et sous quel délai.
9. Données personnelles : le contrat de sous-traitance prévu par l'article 28 du RGPD, en annexe.
10. Responsabilité et assurance.
11. Confidentialité.
12. Droit applicable et litiges.

Nos conditions générales sont publiques, comme notre contrat de sous-traitance RGPD. Ce qu'elles prévoient sur les points ci-dessus :

• Durée : un abonnement mensuel, sans engagement de durée, avec un préavis d'un mois de part et d'autre.
• Délais : réponse sous 24 heures ouvrées, urgence prise en charge sous 8 heures, 7 jours sur 7, de 8 h à 22 h, avec Essentiel.
• Incidents : les interventions sont comprises, y compris si le site est piraté.
• Sauvegardes : chaque jour, gardées 30 jours avec Essentiel, copiées hors du serveur chaque semaine, et une restauration testée.
• Continuité : quand nous hébergeons votre site, un incident de paiement n'entraîne jamais sa coupure automatique, et nous ne mettons fin à l'abonnement qu'avec un préavis écrit d'au moins 30 jours.
• Réversibilité : à la fin de l'abonnement, nous vous remettons sous quinze jours, sans frais, une sauvegarde complète et exploitable de votre site, avec les accès que vous n'auriez pas encore, ou nous la supprimons, à votre choix.
• Vos données restent votre propriété exclusive, et le site que nous avons créé pour vous reste le vôtre, abonnement ou non.
• Responsabilité : plafonnée aux sommes payées sur les douze derniers mois, sauf faute lourde ou dolosive.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 18 octobre 2026. Ce guide est une information générale, pas un conseil juridique.

• CNIL, RGPD, article 28 : le sous-traitant.
• WS Agency, conditions générales de vente (abonnement Boost : durée, préavis, continuité de service, restitution, responsabilité).
• WS Agency, contrat de sous-traitance RGPD.

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.