Maintenance de site web : ce qui casse quand personne ne regarde

Le jour de la mise en ligne, tout fonctionne. Le formulaire envoie les messages, le certificat est valide, les extensions sont à jour, les statistiques s'accumulent. Puis tout le monde passe à autre chose. C'est normal : un site web est un outil, pas un projet permanent. Le problème, c'est que le site, lui, continue de vivre dans un environnement qui bouge sans arrêt. Dans nos services web, la maintenance est la ligne la moins spectaculaire de l'offre, et c'est pourtant celle qui empêche les mauvaises surprises.

L'idée reçue derrière la plupart des sites abandonnés tient en une phrase : « il fonctionne, donc il continuera de fonctionner ». C'est vrai pour un marteau. C'est faux pour un site, parce qu'un site n'existe pas seul : il repose sur des logiciels qui reçoivent des correctifs, des certificats qui expirent, des services de Google et de Meta qui changent leurs règles, et des visiteurs dont les attentes évoluent.

Cet article fait le tour de ce qui casse réellement quand personne ne regarde, dans l'ordre où ça fait mal. Avec, à la fin, une liste honnête de ce qu'une maintenance mensuelle compétente devrait contenir, que vous la fassiez vous-même ou que vous la payiez.

La réponse courte, pour les pressés

La maintenance d'un site web consiste à surveiller et à entretenir un site après sa mise en ligne, parce que son environnement se dégrade même si son contenu ne change pas. Quatre choses cassent sans prévenir. Les dépendances logicielles : en 2025, Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème WordPress, dont 91 % dans les extensions. Les formulaires, qui peuvent cesser d'envoyer les messages sans afficher la moindre erreur. Les échéances techniques : depuis le 15 mars 2026, un certificat TLS vaut au maximum 200 jours, et ce plafond tombera à 47 jours en 2029, selon le CA/Browser Forum. Enfin, les services tiers, que Google ou Meta retirent régulièrement, comme Universal Analytics, supprimé avec ses données en juillet 2024. Une maintenance mensuelle compétente comprend les mises à jour de sécurité, un test réel de chaque formulaire, la surveillance des échéances, des sauvegardes dont la restauration a été testée et la mise à jour du contenu. Sa vraie valeur : quelqu'un est responsable de regarder.

Les dépendances : le sol bouge sous le site

Commençons par le mécanisme le plus documenté. La majorité des sites de PME tournent sur WordPress, et un site WordPress moyen empile une dizaine d'extensions. Chacune est un logiciel maintenu, ou non, par un tiers. En 2025, Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème WordPress, en hausse de 42 % sur un an. La répartition dit tout : 91 % dans les extensions, 9 % dans les thèmes, et 6 vulnérabilités seulement dans le cœur de WordPress. Le logiciel principal est solide ; ce sont les modules ajoutés qui ouvrent les portes.

Le chiffre le plus inconfortable du même rapport : 46 % de ces vulnérabilités n'avaient pas de correctif au moment de leur divulgation publique. Autrement dit, appliquer les mises à jour ne suffit pas toujours ; il faut aussi savoir quelles extensions retirer quand leur auteur a cessé de répondre.

Les sites sur mesure n'échappent pas à cette logique, ils la déplacent : dépendances JavaScript, versions de framework, correctifs de sécurité du langage. La différence n'est pas d'être à l'abri, c'est d'avoir une chaîne de dépendances plus courte et choisie. Dans les deux cas, la conclusion est la même : votre site n'a pas changé, mais son environnement change chaque semaine. L'immobilité est une exposition, pas une protection.

Le formulaire qui échoue en silence

C'est le motif le plus coûteux, parce qu'il est invisible des deux côtés. Un formulaire de contact dépend d'une chaîne : le champ que le visiteur remplit, le filtre antipourriel, le service qui envoie le courriel, la boîte qui le reçoit, et le filtre de cette boîte. Chaque maillon peut casser sans rien afficher. La page se charge, le bouton confirme « message envoyé », et rien n'arrive.

Le scénario type se déroule ainsi. Une mise à jour ou un changement de fournisseur de courriel casse l'envoi en février. Personne ne le voit, puisque l'absence de messages ne déclenche aucune alerte. En mai, le propriétaire se demande pourquoi les demandes ont ralenti et blâme la conjoncture. La panne est découverte par hasard, trois mois et un nombre inconnaissable de clients perdus plus tard. C'est le pire genre de perte : elle ne laisse aucune trace à additionner.

La parade n'a rien de sorcier, elle demande de la constance : envoyer un vrai message dans le formulaire chaque mois et vérifier qu'il arrive, et idéalement une surveillance automatique qui alerte quand le volume tombe à zéro pendant une période inhabituelle.

Les échéances silencieuses : certificats et domaines

Un certificat TLS expiré transforme votre site en avertissement de sécurité plein écran. Et la marge d'erreur rétrécit : en avril 2025, le CA/Browser Forum, l'organisme qui réunit navigateurs et autorités de certification, a voté la réduction progressive de la durée de vie des certificats. Depuis le 15 mars 2026, un certificat vaut au maximum 200 jours, contre 398 auparavant. Ce sera 100 jours en 2027, puis 47 jours en 2029. Le renouvellement manuel, déjà risqué, devient intenable : la seule réponse sérieuse est l'automatisation, plus une surveillance qui vérifie que l'automatisation fonctionne.

Le nom de domaine est l'échéance cousine, en pire. Un domaine expiré, c'est le site ET le courriel qui tombent d'un coup, et, passé le délai de grâce, un domaine que n'importe qui peut racheter. Le renouvellement automatique règle l'essentiel du problème, à deux conditions : que la carte de crédit au dossier ne soit pas expirée elle-même, et que les courriels de rappel n'aboutissent pas dans une boîte que personne ne consulte. Si votre domaine, votre hébergement et votre courriel sont éparpillés entre trois fournisseurs, notre article sur ce que vous payez vraiment dans l'hébergement aide à remettre de l'ordre.

Les tiers qui bougent : Google, Meta et les autres

Votre site dépend de services que vous ne contrôlez pas, et ces services se retirent sur préavis, pas sur permission. L'exemple que toutes les PME ont vécu : Universal Analytics. Google a cessé de traiter les données le 1er juillet 2023, puis a fermé l'accès et supprimé les données historiques à compter du 1er juillet 2024. Les entreprises qui n'avaient ni migré vers GA4 ni exporté leur historique ont perdu des années de données. Le site, lui, affichait zéro erreur pendant tout ce temps.

Le mécanisme est général : cartes Google Maps intégrées, flux Instagram, passerelles de paiement, modules de réservation, pixels publicitaires. Tout cela évolue par versions, et les anciennes versions finissent retirées. Un site sans maintenance accumule ces intégrations mortes : le flux Instagram vide, la carte qui affiche un message d'erreur, le pixel qui ne mesure plus rien. Chaque cas isolé est mineur. L'accumulation, elle, dit au visiteur que personne ne s'occupe de cet endroit.

La dérive du contenu et les sauvegardes d'espoir

Deux dégradations plus discrètes. La première : le contenu dérive. Les heures d'ouverture changent, un employé part, un prix monte, un service disparaît. Le site, lui, affiche l'état de 2024. Chaque écart est petit, mais l'effet cumulatif se mesure en appels perdus et en confiance entamée : un visiteur qui repère une information périmée applique un rabais de crédibilité à tout le reste de la page.

La seconde : les sauvegardes. Presque tous les hébergeurs « font des sauvegardes ». Presque personne n'a jamais restauré la sienne. Or une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est un espoir. Les questions qui comptent : la copie inclut-elle la base de données ET les fichiers ? Existe-t-il une copie hors de chez l'hébergeur, pour survivre à une faillite ou à un compte compromis ? Quelqu'un a-t-il déjà chronométré une restauration complète ? Le bon moment pour répondre n'est pas le jour où le site est tombé.

Ce qu'une maintenance mensuelle compétente contient

Si vous gérez votre site vous-même, voici la routine honnête, sans logiciel magique. Une fois par mois : appliquer les mises à jour de sécurité, puis cliquer à travers les pages clés pour vérifier que rien n'a cassé. Envoyer un vrai message dans chaque formulaire et confirmer sa réception. Vérifier les dates d'expiration du certificat et du domaine, et l'état du renouvellement automatique. Ouvrir les statistiques pour confirmer que les données arrivent encore. Relire les pages principales à la recherche d'informations périmées. Vérifier que la dernière sauvegarde existe et, une fois par trimestre, en restaurer une dans un environnement de test.

Deux heures par mois, peut-être trois sur WordPress. Aucune de ces étapes n'exige un expert. La difficulté n'est pas technique : c'est de le faire le premier mardi de chaque mois, y compris quand tout va bien, y compris pendant les vacances. La maintenance échoue rarement par incompétence ; elle échoue par abandon, au troisième mois, quand rien n'a cassé aux deux premiers.

Où un abonnement gagne sa vie

Un contrat de maintenance n'achète pas de la magie technique. Il achète deux choses précises : de la surveillance automatisée (disponibilité, formulaires, certificats, sauvegardes) qui ramène le délai de détection de trois mois à quelques minutes, et un responsable désigné, dont c'est le travail de regarder même quand tout va bien. C'est la logique de notre modèle d'abonnement : le fournisseur qui héberge et entretient votre site a intérêt à ce qu'il reste en santé, parce qu'il en répond chaque mois. Bonus discret : un site entretenu vieillit mieux, ce qui repousse la refonte et son budget.

Soyons honnêtes sur le cas inverse : un site vitrine statique, sans formulaire ni commerce, qui sert de carte d'affaires, peut se contenter d'une vérification annuelle. L'abonnement gagne sa vie quand le site produit quelque chose, des demandes, des ventes, des réservations, parce que c'est là que trois mois de panne silencieuse coûtent réellement de l'argent.

Si vous ne savez pas dans quel état est votre site en ce moment, c'est exactement la question à laquelle un audit répond : formulaires, certificats, sauvegardes, versions, contenu. Le nôtre est gratuit et sans obligation.

→ Demander un audit de votre site