Signer avec une agence WordPress ne dit rien, à lui seul, sur qui fait tourner le site au quotidien. Maintenance applicative, correctifs de sécurité, mises à jour de core, thèmes et extensions : trois périmètres distincts, souvent mélangés dans les devis. Sans répartition claire, les incidents tombent dans un trou entre le client, l'hébergeur et l'agence.

Geek Tonic croise régulièrement des contrats où « maintenance » veut dire sauvegarde seule pour l'un, et patchs critiques sous 24 h pour l'autre. Voici comment séparer les rôles, lire une offre, et savoir qui pilote chaque lot après la mise en ligne.

Points clés à retenir

  • Maintenance, sécurité et mises à jour sont trois lots : exigez un tableau de responsabilités.
  • Un forfait sans SLA ni journal d'interventions laisse le site orphelin au premier incident.
  • Les mises à jour critiques se traitent vite ; les majeures de thème se testent sur staging.
  • Clarifiez qui gère DNS, SSL et boîtes mail — zones grises classiques.

Les trois périmètres à ne pas confondre

Maintenance : disponibilité, sauvegardes, corrections de bugs fonctionnels, petites évolutions. Sécurité : durcissement, surveillance, gestion des vulnérabilités, réaction en cas d'intrusion. Mises à jour : application des versions WordPress, extensions et thèmes, avec tests de non-régression.

Une agence peut tout prendre en charge, déléguer l'hébergement, ou ne couvrir que le correctif à la demande. L'essentiel est que chaque ligne soit écrite, avec un délai et un interlocuteur nommé.

Lire une offre de maintenance WordPress

Demandez explicitement :

  • Fréquence des sauvegardes (quotidienne minimale) et durée de rétention (14–30 jours).
  • Qui restaure en cas de panne, et en combien d'heures.
  • Ce qui est hors forfait : refonte de template, migration d'hébergeur, audit SEO.
  • Canal d'alerte : ticket, téléphone, astreinte ou heures ouvrées uniquement.

Un forfait à bas prix qui « inclut tout » sans engagement de délai est un signal d'alerte : en incident, personne ne sait qui agit en premier.

Sécurité et mises à jour : qui valide avant prod

Les correctifs de sécurité critiques (WordPress core, WooCommerce, formulaires) ne devraient pas attendre le mardi suivant. En revanche, une mise à jour majeure de thème se teste sur un staging : casse de CSS, conflit d'extension, perte de shortcodes.

Clarifiez dans le contrat qui applique les patchs (agence vs hébergeur managé), qui teste (agence, client métier, les deux), et la procédure de retour arrière (snapshot avant update).

Un modèle de répartition qui tient

Schéma courant et lisible : l'hébergeur gère l'infra et les sauvegardes serveur ; l'agence gère WordPress (updates, sécurité applicative, support) ; le client valide les contenus et les priorités métier. Toute zone grise doit être nommée une fois pour toutes.

Avant de signer, demandez un tableau d'une page : colonnes Maintenance / Sécurité / Mises à jour, lignes « qui exécute », « délai », « hors scope ». Si l'agence ne peut pas le remplir, le site restera sans pilote au premier incident critique.