L’entretien d’un site, ce n’est pas « mettre à jour les extensions de temps en temps ». Un suivi correct réduit trois risques concrets : le site cesse de recevoir des demandes, le site est piraté, le propriétaire perd des données ou des accès.
Pour les petites et moyennes entreprises en France, ce n’est plus de la théorie. Selon France Num pour 2025, 52 % des TPE/PME craignent une perte de données ou un piratage, et 36 % ont déjà connu un incident de cybersécurité. C’est pourquoi il faut juger l’entretien d’un site sur des actions concrètes, pas sur une jolie formule dans un contrat.
Ce que doit couvrir un entretien sérieux
Un bon entretien se décompose en blocs clairs.
Sauvegardes
Il faut une sauvegarde des fichiers et de la base de données. Pas seulement « quelque part chez l’hébergeur », mais avec une fréquence claire, une durée de conservation définie et une vraie possibilité de restaurer le site. Pour un site actif, le minimum est une copie régulière de la base, une copie des fichiers, un stockage en dehors du dossier principal du site, et un test de restauration à intervalles réguliers.
Mises à jour
Il faut mettre à jour WordPress, le thème, les extensions et parfois la version de PHP. Mais une mise à jour ne doit jamais être un clic aveugle. La bonne méthode : sauvegarde, vérification de compatibilité, mise à jour, puis contrôle des pages principales, des formulaires, du menu, du panier ou de la réservation.
Formulaires et e-mail
Un formulaire peut afficher « message envoyé » sans que l’e-mail n’arrive jamais. Il faut donc vérifier régulièrement les formulaires de contact, le SMTP, les notifications système, le SPF, le DKIM et le DMARC. Pour une entreprise, une demande perdue coûte souvent plus cher qu’un mois d’entretien.
Sécurité
Il faut surveiller les utilisateurs WordPress, les comptes administrateurs superflus, les mots de passe faibles, les extensions anciennes, les fichiers suspects, les droits d’accès et les messages de l’hébergeur. Sur un WordPress qui n’a pas été mis à jour depuis longtemps, le risque augmente rarement d’un coup ; il grimpe progressivement.
Analyse des journaux serveur
C’est un point important, souvent oublié. Les journaux du serveur montrent ce qui échappe à l’œil sur le site : erreurs 404 et 500 fréquentes, tentatives de connexion, appels répétés à wp-login.php, xmlrpc.php, admin-ajax.php, requêtes POST suspectes, surcharge PHP, problèmes de mémoire, adresses IP étranges et requêtes massives vers des pages inexistantes.
Une analyse régulière des journaux permet de distinguer un simple « ralentissement occasionnel » d’une attaque par force brute en cours, d’un scan de vulnérabilités, d’une erreur d’extension, d’un problème serveur ou d’une tentative de spam.
Vitesse et état technique
Il faut surveiller la taille des images, le cache, les erreurs JavaScript, les extensions lourdes, la charge serveur, le temps de réponse et la version mobile. La vitesse ne joue pas seulement sur le score PageSpeed, mais aussi sur les demandes : si une page met du temps à s’ouvrir sur téléphone, une partie des clients repart.
Contenu et actualité
L’entretien d’un site n’est pas qu’une affaire technique. Les prix, les services, les horaires, les photos, les pages légales, les coordonnées et les liens vers les réseaux sociaux se périment aussi. Si un client tombe sur une information dépassée, la confiance chute avant même le premier appel.
Rapport
Le propriétaire doit savoir ce qui a été fait : quelles mises à jour ont eu lieu, s’il y a eu des erreurs, quand a eu lieu la dernière sauvegarde, si les formulaires ont été testés, s’il y a eu des événements suspects, ce qu’il reste à régler. Sans rapport, l’entretien se résume à « on a fait des choses ».
Un exemple concret
Imaginons un petit site de services sous WordPress. Le site a un formulaire de contact, une messagerie sur le nom de domaine, plusieurs pages de services et un blog. Le propriétaire n’est pas allé dans l’administration depuis longtemps : une extension est obsolète, la sauvegarde n’a jamais été testée, personne ne regarde les journaux du serveur.
Par une faille, un attaquant obtient l’accès au site. De l’extérieur, le site a encore l’air normal, donc le propriétaire ne remarque rien tout de suite. Mais à l’intérieur, un fichier malveillant apparaît, des pages cachées sont créées, et un envoi massif de spam démarre au nom du domaine.
Ensuite, l’engrenage des conséquences se met en marche.
- l’hébergeur détecte un envoi massif d’e-mails et limite le courrier sortant ;
- le domaine ou l’adresse IP se retrouve sur des listes noires de spam ;
- les e-mails du site et de la messagerie professionnelle commencent à finir en spam ou à être rejetés ;
- le formulaire de contact fonctionne encore en apparence, mais les demandes n’arrivent plus ;
- Google détecte les pages piratées ou remplies de spam ;
- un avertissement de sécurité apparaît dans Search Console ;
- une mention « site dangereux » ou « piraté » peut apparaître dans les résultats de recherche ;
- certaines pages perdent leur visibilité, la publicité et les demandes chutent.
À ce stade, le problème n’est plus « mettre à jour une extension ». Il faut stopper l’envoi de spam, conserver les preuves, faire une copie technique, trouver le point d’entrée, nettoyer les fichiers et la base, supprimer les comptes cachés, changer les mots de passe, renouveler les clés, vérifier les droits d’accès, corriger la faille, supprimer les pages de spam, remettre en place les bons codes 404 ou 410, soumettre le site à la vérification de Google, restaurer la réputation de la messagerie et régler la présence sur les listes noires.
Cela peut prendre des jours, parfois des semaines. Pendant ce temps, l’entreprise perd des demandes, de la confiance et du chiffre d’affaires. Le plus gênant, c’est qu’une partie des dégâts n’apparaît pas au moment du piratage, mais plus tard : les e-mails n’arrivent déjà plus, Google n’a pas encore levé l’avertissement, les clients hésitent à ouvrir le site.
Ce que le propriétaire peut vérifier lui-même
Avant de commander un entretien, il vaut la peine de poser des questions précises.
- Quand a eu lieu la dernière sauvegarde des fichiers et de la base de données ?
- Où est stockée la copie, en dehors du site principal ?
- Qui vérifie qu’elle peut vraiment être restaurée ?
- À quelle fréquence WordPress, le thème et les extensions sont-ils mis à jour ?
- Que se passe-t-il si le site casse après une mise à jour ?
- Les formulaires et la livraison des e-mails sont-ils vérifiés ?
- Le SPF, le DKIM et le DMARC sont-ils configurés pour la messagerie du domaine ?
- Quelqu’un consulte-t-il les journaux du serveur et les erreurs PHP ?
- Y a-t-il une vérification des utilisateurs et fichiers suspects ?
- Google Search Console est-il en place, avec des alertes de sécurité ?
- Le propriétaire reçoit-il un rapport court sur les travaux réalisés ?
Si ces questions restent sans réponse claire, il n’y a pas vraiment d’entretien. Il n’y a qu’un espoir que le site ne tombe pas en panne.
Les erreurs fréquentes dans l’entretien d’un site
Les erreurs les plus coûteuses ont généralement l’air anodines.
- une sauvegarde existe, mais personne n’a jamais essayé de la restaurer ;
- les mises à jour se lancent sans copie du site ;
- le formulaire n’est pas testé depuis des mois ;
- la messagerie du site n’est pas configurée via un vrai SMTP ;
- le propriétaire ne sait pas qui a un accès administrateur ;
- de vieilles extensions restent en place « parce que ça marche encore » ;
- personne n’ouvre jamais les journaux du serveur ;
- les avertissements de Search Console sont ignorés ;
- le contrat d’entretien ne dit rien de ce qui se passe en cas de problème urgent.
Le problème n’est pas qu’un site puisse un jour tomber en panne. N’importe quel système peut avoir un incident. Le problème, c’est que sans processus en place, le propriétaire l’apprend par un client, par l’hébergeur, ou en constatant la chute des demandes.
Quand mieux vaut déléguer
Il vaut la peine de déléguer l’entretien si le site génère des demandes, est lié à une messagerie professionnelle, à de la publicité, à des réservations, à des ventes ou à la réputation de l’entreprise. Plus un site pèse sur le chiffre d’affaires, moins il est sensé de l’entretenir au hasard.
Zen Webmaster peut prendre en charge un suivi technique régulier : sauvegardes, mises à jour, vérification des formulaires, sécurité de base, analyse des journaux du serveur, contrôle des erreurs, vitesse, petites corrections et un rapport clair.
Si vous voulez voir concrètement ce qu’inclut la maintenance, vous pouvez consulter la page maintenance de site et nos tarifs.
Si vous avez le temps et l’envie, une partie de ce contrôle peut se faire vous-même. Mais si le site doit fonctionner comme un véritable outil de travail, mieux vaut qu’il soit suivi par un processus clair et une personne responsable de son bon état technique.
Derniers articles
