Ce qui se passe après la mise en ligne : maintenance et sécurité

Un site se dégrade sans que personne n'y touche

C'est le point le moins intuitif, et le plus coûteux à ignorer. Un site que personne ne modifie ne reste pas identique : autour de lui, tout bouge. Les navigateurs évoluent, les versions de PHP sont retirées du support, les extensions publient des correctifs de sécurité, les certificats expirent, les API changent de version.

Un site abandonné pendant deux ans ne se dégrade pas doucement. Il fonctionne, fonctionne encore, puis tombe d'un coup — le jour où l'hébergeur retire la version de PHP qu'il utilisait, ou le jour où quelqu'un exploite une faille publiée dix-huit mois plus tôt.

Les pannes qui reviennent le plus souvent

• Le formulaire ne part plus. Personne ne s'en aperçoit, parce qu'un formulaire cassé ne produit pas d'erreur visible : il produit un silence. Les demandes cessent d'arriver et on conclut que le marché est calme.
• Le certificat a expiré. Le navigateur affiche un avertissement rouge en plein écran. Pour un visiteur qui ne vous connaît pas, c'est un site dangereux, et il repart.
• Le nom de domaine n'a pas été renouvelé. Le site disparaît entièrement, les adresses e-mail avec lui. C'est la panne la plus brutale et la plus évitable.
• Le site a été piraté. Le plus souvent pas pour vous nuire : pour héberger des pages de spam sur votre domaine. Vous l'apprenez quand Google marque votre site comme dangereux.
• Une mise à jour a cassé une page. Une extension mise à jour sans test, une mise en page qui saute. Réparable en une heure — si quelqu'un regarde.

La question qui compte : qui détient quoi ?

Au Maroc comme ailleurs, le scénario le plus fréquent n'est pas technique. Un site est construit par un prestataire ou un indépendant. Le domaine est enregistré à son nom, l'hébergement payé avec sa carte, les accès sont dans sa boîte mail. Deux ans plus tard, il a changé de métier ou ne répond plus.

À ce moment-là, l'entreprise ne peut plus rien faire : ni corriger, ni migrer, ni même récupérer son propre nom de domaine sans une procédure. Le problème n'a jamais été la maintenance ; il a été la propriété.

Vérifiez donc, aujourd'hui, quatre choses : le domaine est-il enregistré au nom de l'entreprise ? L'hébergement est-il sur un compte de l'entreprise ? Quelqu'un en interne a-t-il les accès administrateur ? Une sauvegarde existe-t-elle ailleurs que chez l'hébergeur ? Si l'une des réponses est non, c'est le premier chantier — avant tout contrat de maintenance.

Ce que doit couvrir un contrat

Un contrat de maintenance utile est explicite sur cinq points. Un contrat qui dit « maintenance du site » sans les détailler ne vous protège de rien.

• Les mises à jour : lesquelles, à quelle fréquence, et testées avant application.
• Les sauvegardes : fréquence, durée de conservation, et — le point qu'on oublie — une restauration déjà testée. Une sauvegarde jamais restaurée est une hypothèse.
• La surveillance : qui est prévenu si le site tombe, et sous quel délai.
• Le délai d'intervention : un site marchand arrêté un samedi n'a pas le même coût qu'une page vitrine. Le contrat doit le refléter.
• Ce qui n'est pas inclus : les évolutions. Ajouter une page n'est pas de la maintenance, et confondre les deux est la source de la moitié des désaccords.

Le choix technique change la charge

Toutes les architectures ne demandent pas le même entretien. Un site construit sur un gestionnaire de contenu avec une dizaine d'extensions présente une dizaine de sources de mise à jour et autant de dépendances susceptibles de casser. Un site statique — des pages générées puis servies telles quelles — n'a ni base de données à protéger ni extensions à mettre à jour.

Ce n'est pas un argument pour ou contre une technologie : c'est un coût de possession à intégrer au moment du choix, pas à découvrir deux ans plus tard.

La vérification mensuelle, en dix minutes

Que la maintenance soit externalisée ou non, ces cinq points se vérifient depuis un téléphone et détectent la quasi-totalité des pannes silencieuses avant qu'elles ne coûtent quelque chose.

• Envoyez-vous un message par le formulaire du site. Le seul test qui compte : est-ce qu'il arrive. C'est la panne la plus fréquente et la plus invisible.
• Regardez le cadenas dans la barre d'adresse. Un avertissement signifie un certificat expiré ou mal renouvelé.
• Vérifiez la date d'expiration du domaine. Elle se lit publiquement, et le rappel automatique de l'hébergeur part souvent sur une adresse e-mail que plus personne ne relève.
• Ouvrez trois pages sur un téléphone, en données mobiles. Pas en wifi, pas sur un ordinateur. C'est la condition réelle de vos visiteurs.
• Cherchez site:votredomaine.ma sur Google. Une chute brutale du nombre de pages indexées signale un problème que rien d'autre ne montre.

Questions fréquentes

Et chez Noor Studio Agency ?

Nous livrons les sites avec le domaine et l'hébergement au nom du client, les accès transmis, et une note écrite de ce qui doit être surveillé. Un site dont vous ne détenez pas les clés n'est pas vraiment le vôtre.