Un site web se vend comme un livrable et se comporte comme un équipement. Les devis de création que je relis pour des clients marocains chiffrent le design, le développement, parfois la rédaction, puis s’arrêtent net à la mise en ligne. Ce qui se passe le lendemain n’appartient à personne.
Le résultat se voit entre le troisième et le dix-huitième mois. Une extension jamais mise à jour qui ouvre la porte à une injection de spam. Un certificat expiré qui affiche un avertissement rouge aux visiteurs. Un nom de domaine renouvelé trop tard parce que la facture partait sur l’adresse e-mail du développeur. Pris isolément, rien de spectaculaire. Additionné, cela coûte plus cher que le contrat qui aurait évité tout ça.
La maintenance n’est pas d’abord un sujet technique. C’est une question de responsabilité nommée : tant que personne n’est désigné pour surveiller le site, personne ne le surveille, et les problèmes se découvrent par les clients.
Erreur n°1 : croire que la livraison clôt le projet
La passation est le moment où tout se joue, et c’est souvent le moment le plus bâclé. Un site livré proprement, cela veut dire que vous détenez, à votre nom et sur une adresse e-mail de l’entreprise, le compte registrar du nom de domaine, l’accès à l’hébergement, le compte administrateur du CMS, le dépôt de code s’il y a du développement sur mesure, et la main sur la zone DNS.
Quand ce n’est pas le cas, le scénario est toujours le même : huit mois plus tard le prestataire a changé d’activité ou ne répond plus, le domaine est enregistré sous son compte personnel, et récupérer la main prend des semaines de relances. Il arrive que refaire le site coûte moins cher que de récupérer l’ancien.
Le correctif tient en une feuille : un document de passation signé à la livraison, listant chaque accès, son propriétaire et sa date de renouvellement. Demandez-le avant le paiement du solde, pas après.
Erreur n°2 : laisser le CMS et les extensions vieillir
Les sites de PME marocaines tournent très majoritairement sous WordPress, avec un thème commercial et une dizaine d’extensions. Chaque brique est un logiciel maintenu par un tiers, avec ses propres correctifs de sécurité. Une extension de formulaire ou de cache abandonnée depuis deux ans sur un site public est une faille qui attend un scanner automatisé. Ces scanners ne visent personne en particulier : ils balaient des plages d’adresses et testent des versions connues.
Le symptôme typique n’est pas un site effacé, c’est beaucoup plus discret. Des pages de spam déposées dans le dossier d’uploads, des redirections qui ne s’activent que pour les visiteurs venant de Google, un compte d’envoi mail détourné pour du phishing. Vous l’apprenez quand Google affiche l’avertissement, quand le domaine arrive sur une liste noire ou quand l’hébergeur suspend le compte. Le nettoyage complet d’un site infecté se chiffre couramment entre 5 000 et 20 000 MAD selon l’ampleur, et une partie du trafic organique met des semaines à revenir.
Le travail de fond, lui, est léger : une mise à jour CMS sécurité groupée une fois par mois, testée sur une copie du site avant d’être appliquée en production, avec une sauvegarde prise juste avant. Une à trois heures mensuelles suffisent pour un site vitrine. Le vrai piège, c’est la mise à jour lancée en un clic un vendredi soir sans sauvegarde : quand une incompatibilité casse la page d’accueil, il n’y a plus de retour en arrière.
Erreur n°3 : découvrir le domaine, le SSL et les sauvegardes le jour de la panne
Ces trois pannes sont les plus bêtes et les plus chères, parce qu’elles coupent tout d’un coup. Un .ma non renouvelé arrête le site et, dans la plupart des configurations, les e-mails professionnels avec lui. L’avis de renouvellement part sur l’adresse de contact enregistrée chez le registrar, qui est encore trop souvent celle du développeur. Vérifiez aujourd’hui quel e-mail figure comme contact administratif et quelle est la date d’expiration.
Le certificat ensuite. Un Let’s Encrypt se renouvelle automatiquement tous les trois mois, jusqu’au jour où une migration d’hébergement casse la tâche planifiée. Personne ne s’en aperçoit avant que le navigateur n’affiche son écran d’avertissement, en général devant un formulaire de demande de devis.
Les sauvegardes enfin. Une sauvegarde jamais restaurée reste une hypothèse. Le cas classique : la copie existe mais elle est stockée sur le même serveur que le site, donc perdue avec lui, ou elle ne contient que les fichiers sans la base de données. Côté hébergement et sauvegarde site web, la règle minimale est simple : une copie quotidienne stockée ailleurs que sur la production, trente jours de rétention, et un test de restauration réel une fois par trimestre. Ce test prend deux heures et vaut tous les discours sur la fiabilité.
Erreur n°4 : mettre le correctif et l’évolution dans le même budget
Deux natures de dépense, deux logiques de facturation. La maintenance corrective garde le site en état de marche : mises à jour, sauvegardes, supervision, correction de ce qui casse, assistance quand une page ne s’affiche plus. Elle se paie en forfait mensuel parce que la charge est régulière.
La maintenance évolutive fait avancer le site : nouvelle page, nouveau formulaire, refonte d’un tunnel de commande, intégration du paiement CMI, connexion à un ERP. Rien de régulier là-dedans, et un forfait « illimité » censé couvrir ça finit mal dans les deux sens : soit vous payez du temps non consommé, soit le prestataire freine chaque demande.
Le montage qui tient dans la durée associe un forfait mensuel pour le correctif et un volant d’heures d’évolution, soit inclus (deux à quatre heures par mois), soit facturé à l’acte avec un tarif connu d’avance. Au Maroc, l’heure de développement web facturée par une agence se situe souvent entre 350 et 700 MAD selon le profil, la journée de spécialiste entre 2 500 et 5 000 MAD. Faites figurer ce tarif au contrat, pas dans un e-mail.
Maintenance site web Maroc : combien prévoir par mois
Les ordres de grandeur ci-dessous correspondent à ce qui se pratique pour un contrat de maintenance site internet sérieux, hors infrastructure. Ils bougent surtout avec la criticité : un site qui encaisse des commandes n’a pas le même niveau d’exigence qu’une plaquette en ligne.
- Site vitrine, 5 à 15 pages : 500 à 1 500 MAD par mois. Mises à jour mensuelles, sauvegardes, contrôle de disponibilité, petites corrections.
- Site institutionnel ou multilingue, catalogue, formulaires connectés : 1 500 à 3 500 MAD par mois.
- E-commerce actif : 3 000 à 8 000 MAD par mois, parce qu’il faut suivre le module de paiement, les transporteurs, les stocks et un volume de commandes qui n’attend pas le lundi.
- Application web métier sur mesure : à partir de 6 000 MAD par mois, souvent davantage, et il s’agit alors de maintenance applicative plus que d’entretien de site.
S’y ajoute l’infrastructure, qui n’est pas de la maintenance mais tombe dans le même budget mensuel site web : 200 à 400 MAD par an pour un .ma, 600 à 2 500 MAD par an pour un hébergement mutualisé correct, 150 à 600 MAD par mois pour un VPS. Le choix de plateforme fait au départ pèse lourd sur cette ligne, un point que détaille notre comparatif des plateformes e-commerce au Maroc : un Shopify facture un abonnement mais absorbe les mises à jour, un WooCommerce coûte moins en licence et plus en entretien.
Repère utile pour arbitrer : sur un site professionnel, l’entretien annuel tourne autour de 15 à 20 % du coût de création. Si le site a coûté 60 000 MAD, prévoir près de 10 000 MAD par an n’est pas une marge de confort, c’est le prix de fonctionnement. Si vous n’avez pas encore de base de calcul, nos fourchettes sur le prix d’un site web professionnel au Maroc donnent le point de départ, et la même logique vaut pour un budget de maintenance d’application mobile, où les contraintes des stores resserrent encore le calendrier.
Ce qu’un contrat de maintenance doit couvrir au minimum
Un contrat utile ne fait pas trois pages de généralités sur la disponibilité des équipes. Il répond à des questions précises.
- Périmètre : CMS, thème, extensions, serveur, nom de domaine, boîtes e-mail. Et ce qui n’est pas couvert, dit explicitement.
- Fréquence : mises à jour mensuelles ou dès publication d’un correctif critique, sauvegardes quotidiennes, durée de rétention, lieu de stockage.
- Supervision : contrôle de disponibilité automatisé avec alerte, surveillance des dates d’expiration du domaine et du certificat.
- Délai d’intervention : deux niveaux suffisent. Site inaccessible ou paiement cassé, quelques heures ouvrées. Anomalie mineure, quelques jours. Un délai unique sans gradation de gravité ne veut rien dire.
- Heures incluses et tarif au-delà.
- Restitution : en fin de contrat, vous repartez avec les accès, une sauvegarde complète et la documentation. Clause courte, économie considérable.
- Compte rendu mensuel : une page, avec ce qui a été mis à jour, détecté ou corrigé.
CNDP : une obligation de moyens, pas une case à cocher
Si votre site collecte des données personnelles (formulaire de contact, compte client, newsletter, candidatures), la loi 09-08 impose de déclarer le traitement et de le sécuriser. Le texte parle de mesures de sécurité appropriées, ce qui relève d’une obligation de moyens : un CMS resté deux ans sans correctif sur un site qui stocke des coordonnées clients sera difficile à défendre en cas de fuite. L’entretien technique fait donc partie des preuves que vous prenez le sujet au sérieux. Les formalités et la rédaction des mentions légales sont traitées dans notre guide de conformité CNDP pour les sites web, et pour les cas particuliers, vérifiez sur le site de la CNDP.
Interne ou délégué : où placer la frontière
Tout déléguer n’est pas toujours la bonne réponse, tout garder ne l’est presque jamais. La ligne de partage passe par la nature de la tâche plutôt que par la taille de l’entreprise.
Se gère très bien en interne : la publication de contenu, l’ajout de produits, la mise à jour des horaires et coordonnées, le traitement des formulaires. Une demi-journée de formation à la livraison évite de payer un prestataire pour changer un numéro de téléphone.
Se délègue : les mises à jour techniques, les sauvegardes et leur restauration, la supervision, la réaction à une panne. Non parce que c’est sorcier, mais parce que cela doit être fait à date fixe par quelqu’un qui a déjà vu casser des sites. Cas intermédiaire fréquent, l’entreprise a un informaticien qui gère le réseau et les postes : il peut tenir la supervision et les sauvegardes, mais les mises à jour d’un WooCommerce bardé d’extensions payantes sont un autre métier. Pour trancher, posez-vous la question de la panne un samedi matin. Qui regarde, et avec quels droits ?
Reprendre la main sur un site déjà livré
Arrowlancer conçoit des sites vitrines, des e-commerce et des applications web métier (nos services) et les maintient ensuite sous contrat : mises à jour de sécurité, sauvegardes testées, supervision de l’hébergement, correctifs et rapport mensuel. Nous reprenons aussi des sites développés ailleurs, après un état des lieux qui dit honnêtement ce qui est récupérable. Si le vôtre est en ligne depuis des mois sans que personne ne s’en occupe, décrivez la situation via le formulaire de contact et vous aurez un avis clair avant tout devis.