Un site WordPress n'est pas un objet qu'on livre et qu'on oublie. C'est un assemblage de pièces qui vivent chacune leur vie : le cœur de WordPress, un thème, souvent une dizaine d'extensions ou plus, une version de PHP chez l'hébergeur. Chacune publie des correctifs, chacune peut casser les autres.
Deux dates rendent le sujet concret cet automne. Le Patchstack State of WordPress Security in 2026 a recensé 11 334 nouvelles failles dans l'écosystème WordPress en 2025, dont 91 % dans des extensions. Et le 31 décembre 2026, PHP 8.2 ne recevra plus de correctifs de sécurité : beaucoup de sites de TPE tournent encore dessus.
Ce guide fait le tour de la maintenance d'un site WordPress : ce qu'elle doit couvrir, combien elle coûte vraiment (prix relevés en octobre 2026), ce que vous risquez sans, et comment lire un contrat avant de signer. Le calculateur plus bas vous dit quel niveau vous faut, y compris quand la réponse est « faites-le vous-même ».
« Maintenance » veut tout et rien dire. Certaines offres à moins de 20 € par mois cliquent sur « Tout mettre à jour » une fois par mois ; d'autres incluent des heures de développement et un délai d'intervention garanti. Voici les huit postes qu'une maintenance complète doit couvrir. Servez-vous-en comme grille pour comparer.
1. Les mises à jour du cœur, des extensions et du thème. C'est la base, et c'est là que les offres diffèrent le plus. Une bonne maintenance ne met pas tout à jour d'un coup en production : elle lit les notes de version, teste les mises à jour importantes sur une copie du site (la « préproduction », ou staging), puis vérifie les pages clés après coup. Sur un site vitrine, une mise à jour par semaine suffit ; les correctifs de sécurité critiques passent le jour même.
2. Les sauvegardes, et surtout le test de restauration. Une sauvegarde qu'on n'a jamais restaurée est une hypothèse. Exigez une sauvegarde quotidienne des fichiers et de la base de données, stockée hors de votre hébergement (si le serveur tombe, la sauvegarde ne tombe pas avec), conservée au moins 30 jours, et un test de restauration à intervalles réguliers.
3. La sécurité. Pare-feu applicatif, analyse des fichiers à la recherche de code malveillant, comptes administrateurs nettoyés, double authentification, alerte quand une extension installée a une faille connue. Le dernier point compte le plus : les attaques arrivent vite après la publication d'une faille (on y revient).
4. La surveillance de disponibilité. Un service vérifie toutes les quelques minutes que votre site répond, et prévient quelqu'un s'il tombe. Sans cela, ce sont vos clients qui découvrent la panne. Le même outil peut surveiller l'expiration du certificat SSL et du nom de domaine.
5. La performance. Cache, poids des images, extensions qui ralentissent tout, base de données à nettoyer. Un site qui s'alourdit mois après mois perd des visiteurs et du référencement naturel. Nous détaillons les indicateurs de Google dans notre guide des Core Web Vitals.
6. La mise à niveau de PHP. Le poste le plus oublié. WordPress recommande aujourd'hui PHP 8.3 ou plus. Passer d'une version à l'autre peut casser une vieille extension : il faut tester avant, chez l'hébergeur ou en préproduction. Un prestataire sérieux le planifie avant les dates de fin de support, pas après.
7. Les petites modifications de contenu. Changer des horaires, ajouter une réalisation, remplacer une photo, corriger une faute sur la page des tarifs. Les forfaits complets incluent un volume d'heures pour cela ; les forfaits de base, non.
8. Le rapport. Un compte rendu mensuel ou trimestriel, lisible par un non-technicien : ce qui a été mis à jour, les sauvegardes faites, les incidents, la disponibilité du mois, ce qui est à prévoir. C'est votre preuve que le travail est fait.
Un site WordPress sans suivi ne casse pas le lendemain. Il se dégrade lentement, et c'est ce qui rend le problème difficile à voir. Le schéma ci-dessous montre l'ordre habituel : les mises à jour décrochent en premier, puis la sécurité, puis les sauvegardes dont plus personne ne sait si elles marchent.
Concrètement, les risques se rangent en cinq familles.
Les failles dans les extensions. C'est de loin la première. D'après Patchstack, 91 % des failles découvertes en 2025 concernaient des extensions, et 9 % des thèmes. Le même rapport note que près de la moitié n'avaient pas de correctif disponible au moment de leur publication, et que pour les failles les plus attaquées, la première exploitation est arrivée en cinq heures (médiane). Attendre la mise à jour mensuelle, c'est laisser la porte ouverte des semaines.
Les extensions abandonnées. Une extension qui n'est plus mise à jour par son auteur ne recevra jamais de correctif. Il faut la repérer et la remplacer, ce qu'aucune mise à jour automatique ne fera.
La casse silencieuse. Une mise à jour casse le formulaire de contact, et personne ne s'en rend compte pendant trois semaines. C'est un scénario classique, et coûteux pour un artisan : le site s'affiche, mais les demandes de devis n'arrivent plus.
La sauvegarde qui ne restaure pas. Archive incomplète, stockée sur le même serveur que le site, ou extension de sauvegarde désactivée depuis des mois. On le découvre le jour où on en a besoin.
Les pannes et la lenteur. Un certificat SSL expiré affiche un avertissement de sécurité à vos visiteurs. Un site lent ou souvent indisponible perd des positions sur Google. Si votre site a déjà disparu des résultats, notre liste des 10 causes vous aidera à trouver laquelle.
Nous avons relevé des offres publiques en octobre 2026. Les fourchettes ci-dessous sont des ordres de grandeur hors TVA ; les prix exacts changent souvent, vérifiez-les sur la page du prestataire.
| Option | Prix relevé | Ce que vous obtenez | Ce qui manque souvent |
|---|---|---|---|
| DIY avec un outil | WP Umbrella : 1,99 €/site/mois, +2 € pour la sécurité, +2,49 € pour les sauvegardes horaires. ManageWP : base gratuite (sauvegarde mensuelle), options à 1 ou 2 $/site/mois | Mises à jour en un clic, sauvegardes, surveillance, rapports | Le diagnostic quand ça casse, le test après mise à jour |
| Outils de l'hébergeur | Chez o2switch, WP Tiger est inclus dans l'hébergement (mises à jour, sauvegardes) | Pratique, sans surcoût | C'est vous qui cliquez : aucun humain ne suit votre site |
| Maintenance vendue par un hébergeur spécialisé | WPServeur : 1 390 € HT par an, ou 116 € HT/mois avec engagement d'un an | Mises à jour mensuelles, interventions incluses (une par semaine) | Lié à cet hébergeur |
| Freelance | Le plus souvent 30 à 80 € HT/mois (offres à partir de 29 ou 39 € HT chez de nombreux indépendants et petites agences) | Mises à jour contrôlées, sauvegardes, rapport | Délai d'intervention rarement garanti, peu d'heures incluses |
| Agence spécialisée | Exemple : Maintenance WP propose 39, 69, 169 et 259 € HT/mois ; 1 h d'intervention et un délai de 48 à 72 h à 69 €, 2 h et 24 h à 169 €, 3 h à 259 € | Heures incluses, délai écrit, préproduction sur les offres hautes | Les heures non utilisées ne sont pas toujours reportées |
Ce qui fait le prix, ce n'est pas le nombre de clics sur « mettre à jour ». Ce sont trois choses : le temps humain inclus (tests, vérification, petites modifications), le délai d'intervention garanti et la responsabilité en cas de problème (qui répare, et à quel prix). Une offre à 19 € et une offre à 169 € n'achètent pas le même service, même si les deux s'appellent « maintenance WordPress ».
Pour remettre ces montants dans le budget global d'un site, voyez combien coûte un site web en 2026 : sur plusieurs années, la maintenance devient une ligne qui compte. C'est aussi un des coûts cachés que nous détaillons dans ce que livrent vraiment les sites à bas prix.
Pour un petit site vitrine, le DIY est une option raisonnable, pas un pis-aller. WordPress met à jour seul les versions mineures de son cœur depuis la version 3.7, et vous pouvez activer les mises à jour automatiques extension par extension depuis la version 5.5. UptimeRobot surveille gratuitement jusqu'à 50 adresses toutes les 5 minutes. Un outil comme WP Umbrella ou ManageWP regroupe le reste pour quelques euros.
Le DIY tient la route si vous cochez ces quatre cases :
Si la dernière case vous fait hésiter, c'est la partie à déléguer en priorité.
Cinq questions, une réponse : faire soi-même, une maintenance basique ou une maintenance complète, avec la fourchette de prix et le minimum à exiger.
Avant de signer, posez le contrat à côté de cette liste. Chaque ligne absente est une question à poser par écrit.
Trois exclusions reviennent presque partout, et ce n'est pas anormal : le développement de nouvelles fonctionnalités, les licences des extensions payantes (souvent refacturées) et les dégâts causés par une modification faite par vous sans prévenir. L'exclusion qui doit vous alerter, c'est le nettoyage après piratage sans aucun prix annoncé : c'est précisément le moment où vous aurez besoin d'aide.
Les offres annuelles sont un peu moins chères. Maintenance WP annonce deux mois offerts sur un abonnement annuel ; WP Umbrella applique 10 % de remise si vous payez un an d'avance ; chez WPServeur, la formule mensuelle à 116 € HT impose de toute façon un engagement d'un an.
Notre conseil : commencez au mois si l'offre le permet. Trois mois suffisent pour juger le prestataire sur pièces : les rapports arrivent-ils, répond-il quand vous écrivez, le site va-t-il mieux ? Ensuite, passez à l'année si le service vous convient. Dans tous les cas, notez la date de reconduction dans votre agenda.
Si votre site vient d'être mis en ligne, la question se pose un peu plus tard : les premières semaines ont leur propre liste de vérifications, détaillée dans ce qu'il faut surveiller pendant les 30 jours après le lancement.
Chaque site que nous livrons inclut 30 jours de support après la mise en ligne. Ensuite, nous proposons des plans de maintenance adaptés au projet, sur trois niveaux :
Le prix dépend du site : nombre de pages, extensions, boutique ou non. Il est fixé après un court appel et convenu par écrit, hors TVA, comme le reste de nos tarifs. Et si vous préférez gérer vous-même, c'est prévu : le forfait de maintenance est une option que vous pouvez refuser dans l'estimateur.
Prix et offres relevés sur les pages publiques des prestataires cités en octobre 2026, hors TVA. Ils évoluent souvent : la page du prestataire fait foi. Chiffres de sécurité : Patchstack, State of WordPress Security in 2026. Mis à jour le 5 octobre 2026.
En octobre 2026, comptez 0 à 10 € par mois en outils si vous le faites vous-même, 30 à 80 € HT par mois chez un freelance ou pour un forfait d'entrée de gamme, 80 à 300 € HT en agence, et souvent 170 à 350 € HT pour une boutique WooCommerce. L'écart vient surtout des heures incluses, du délai d'intervention garanti et des tests avant mise à jour.
Au minimum : les mises à jour du cœur, des extensions et du thème, des sauvegardes externalisées avec un test de restauration, une surveillance de sécurité et de disponibilité, la mise à niveau de la version PHP et un rapport régulier. Vérifiez aussi le délai d'intervention, les heures incluses et ce qui est exclu, en particulier le nettoyage après piratage.
Oui, pour un site vitrine simple avec peu d'extensions, si vous faites les mises à jour chaque semaine et si vous savez restaurer une sauvegarde. Des outils gratuits ou à quelques euros par mois automatisent l'essentiel. Le DIY devient risqué pour une boutique en ligne ou un site avec beaucoup d'extensions.
Non. Depuis WordPress 3.7 les mises à jour mineures du cœur sont automatiques, et depuis WordPress 5.5 vous pouvez activer celles des extensions et des thèmes. Mais personne ne vérifie que le site fonctionne encore après, et les sauvegardes, la version PHP et la surveillance restent à votre charge.
L'annuel coûte souvent l'équivalent de 10 mois sur 12 ou environ 10 % de moins, mais vous engage. Commencez au mois le temps de juger le prestataire, puis passez à l'année si le service vous convient. Lisez la clause de reconduction et de résiliation.
Nous prenons un nombre limité de projets chaque trimestre. Dites-nous ce que vous construisez.
Site pour un studio de coiffure, ongles et cosmétique à Saint-Gall, avec tarifs, galerie et réservation en un geste.
Site trilingue pour une entreprise d’escorte de convois exceptionnels au Kosovo, avec pages services, reconnaissance d’itinéraires et permis de transport.
Dates, plateforme agréée, 4 nouvelles mentions, amendes 2026 : tout ce que l'artisan et la TPE doivent faire avant le 1er septembre 2027, en 10 étapes.
Comment faire le SEO d'un nouveau site, dans l'ordre : indexation, vrais mots-clés, bases on-page et techniques, contenu qui répond aux requêtes. Sans blabla.