Infogérance WordPress : confier l’hébergement et la sécurité de son site
L'infogérance WordPress consiste à confier la gestion quotidienne et l'entretien de votre site à un prestataire spécialisé. C'est un peu comme confier sa voiture à un garagiste pour éviter de paniquer au moindre voyant allumé sur le tableau de bord. En déléguant l'hébergement et la sécurité, vous laissez des professionnels s'occuper de la surveillance technique, des sauvegardes régulières et des correctifs.
Un site laissé sans surveillance accumule rapidement des failles. Les extensions et les thèmes vieillissent vite, tandis que de nouvelles faiblesses techniques apparaissent tous les jours. Bien sûr, aucune offre ne peut promettre un risque zéro. Ce guide rassemble des repères concrets pour comparer les devis : le périmètre exact du contrat, les tests avant publication, la rapidité d'intervention et les conditions pour changer de prestataire.
À retenir
- Le périmètre technique doit être écrit noir sur blanc dans le contrat, avec la liste explicite des exclusions.
- Les sauvegardes doivent être externalisées et testées régulièrement pour garantir leur restauration en cas d'incident.
- Les correctifs de sécurité s'appliquent sur un environnement de test avant toute publication sur le site en production.
- Le contrat doit définir des délais d'intervention précis et assurer une sortie sans blocage technique ou juridique.
1. Distinguer hébergeur, hébergement managé et infogérance WordPress
Trois niveaux de responsabilité technique
L'hébergeur classique fournit simplement le matériel : la machine physique, le stockage des données et la connexion au réseau. De son côté, un hébergement WordPress managé automatise la surveillance du serveur, les copies de sauvegarde et certains réglages techniques, comme le détaille la documentation de WordPress.com.
L'infogérance va plus loin.
Aussi appelée tierce maintenance applicative (TMA), elle prend directement soin du site : elle gère l'affichage, le thème graphique et la compatibilité des extensions. Pour une activité professionnelle, faire appel à une TMA WordPress évite de se retrouver démuni face à un bug de code qu'un hébergeur refusera de traiter.
Qui intervient en cas d'incident ?
L'intervenant change selon votre contrat : l'hébergeur classique surveille la machine physique, la formule managée gère les services web, et une TMA (qui assure le suivi régulier du code) répare vos pages et vos extensions. Voici quelques exemples concrets de répartition des rôles.
| Incident | Hébergeur classique | Hébergement managé | Infogérance / TMA |
|---|---|---|---|
| Piratage | Peut restaurer les fichiers bruts | Peut isoler l'accès au serveur | Peut nettoyer le code et colmater la faille |
| Panne de site | Peut vérifier le réseau et le VPS | Peut redémarrer les services web | Peut corriger les conflits d'extensions |
| Page cassée après mise à jour | Généralement hors périmètre | Peut rétablir l'ancienne version | Peut adapter le code du thème ou du module |
| Extension abandonnée | Généralement aucun suivi | Peut émettre une alerte de sécurité | Peut remplacer l'outil et tester le parcours |
Pensez à faire préciser par écrit si l'équipe intervient sur vos pages et vos extensions, ou uniquement sur la disponibilité du serveur.
2. Écrire le périmètre du contrat : ce qui est inclus ou exclu
Pour éviter les mauvaises surprises le jour d'un problème, un accord d'assistance doit séparer clairement ce qui fait partie du forfait et ce qui réclame un supplément. En règle générale, la veille automatique, l'installation des mises à jour de sécurité et les sauvegardes forment le socle de base.
Checklist des prestations à valider sur le devis
- Surveillance continue : un outil contrôle que le site reste accessible et alerte l'équipe technique s'il tombe.
- Mises à jour applicatives : le système met à niveau WordPress, vos thèmes et vos extensions après avoir vérifié qu'ils fonctionnent bien ensemble.
- Filtrage applicatif : mise en place d'un pare-feu web (WAF, ou Web Application Firewall) pour bloquer les attaques courantes.
- Délai d'intervention : les alertes de sécurité du CERT-FR sont des documents destinés à prévenir d'un danger immédiat. Face à ce type de menace, le temps mis pour réagir doit être fixé contractuellement.
Les exclusions fréquentes à repérer
Tout ce qui n'apparaît pas noir sur blanc dans votre contrat restera à votre charge. Les propositions commerciales excluent d'ailleurs fréquemment les demandes suivantes :
- La création de nouvelles fonctionnalités ou la refonte graphique des pages.
- Le paiement annuel des licences payantes pour vos extensions.
- La réparation d'un piratage déjà installé avant le début du contrat.
Un site entretenu avec rigueur répond naturellement aux critères de navigation rappelés dans la documentation sur les Core Web Vitals de Google. Ce confort technique aide les visiteurs au quotidien, mais aucun prestataire digne de confiance ne peut promettre la première place sur Google. Pour fixer ces engagements de façon transparente, passer par une agence web à Paris permet de formaliser chaque point sans ambiguïté.
Pour définir clairement le périmètre de maintenance de votre site et échanger sur sa faisabilité, présentez votre situation à notre équipe.
3. Exiger des sauvegardes réellement restaurables
La nécessité d'un test régulier
Une sauvegarde que personne n'a jamais essayé de restaurer n'est qu'un voeu pieux. Le guide d'hygiène informatique de l'ANSSI insiste d'ailleurs sur ce point : une vraie stratégie de sécurité comprend des tests réguliers de remise en route pour s'assurer que les fichiers fonctionnent vraiment.
Rien n'est pire que de découvrir un fichier corrompu au moment de réparer un crash, par exemple lors des mises à jour WordPress.
Cinq critères à faire inscrire au contrat
Avant de signer, vérifiez que ces cinq engagements figurent bien dans votre proposition :
- Fréquence : le rythme exact auquel vos pages, vos images et votre base de données sont archivées.
- Durée de conservation : le nombre de jours d'historique conservés pour pouvoir remonter dans le temps.
- Stockage externe : la présence d'une copie stockée ailleurs que sur le serveur principal de votre site.
- Test de restauration : le calendrier régulier des tests de réinstallation sur un serveur d'essai.
- Délai de rétablissement : le temps maximum prévu par l'équipe pour remettre le site en ligne après un incident.
4. Vérifier le test des correctifs de sécurité avant mise en ligne
Pour maintenir un site sans couper l'accès aux internautes, l'application des correctifs WordPress réclame un espace de préproduction (ou staging), c'est-à-dire une copie privée invisible du grand public.
Étape 1 : suivre la veille des vulnérabilités
Le technicien surveille les alertes de sécurité officielles pour classer les correctifs selon leur gravité.
Étape 2 : sauvegarder avant toute intervention
On réalise une copie intégrale de la base de données et des fichiers juste avant de modifier quoi que ce soit.
Étape 3 : tester la mise à jour en préproduction
Le correctif s'installe d'abord sur la copie de test afin de vérifier que tout fonctionne : formulaires, panier d'achat ou affichage des menus. Une agence comme Les Yétis, spécialiste du développement web, isole ces étapes pour protéger l'activité en cours sans perturber vos visiteurs.
Étape 4 : mettre en ligne après validation
Le transfert vers le site public se fait uniquement quand les vérifications techniques confirment qu'aucun conflit n'apparaît.
Étape 5 : prévoir le retour arrière
Si une panne imprévue survient après la mise en ligne, la procédure de restauration permet de remettre immédiatement l'ancienne version.
5. Comparer les engagements de service : SLA, GTI et GTR
Vérifiez la rapidité promise par votre prestataire dans son SLA (Service Level Agreement) : ce document d'engagement de service fixe les délais réels de prise en charge lors d'un souci technique.
Définir la GTI et la GTR
Deux sigles permettent de juger concrètement de la réactivité d'un support :
- La GTI (Garantie de Temps d'Intervention) : le délai maximum entre votre message d'alerte et le moment où un technicien se penche vraiment sur le problème.
- La GTR (Garantie de Temps de Rétablissement) : le délai garanti pour réparer la panne et rendre le site de nouveau accessible.
L'image du dépanneur automobile résume bien la différence : la GTI correspond à l'heure à laquelle la dépanneuse arrive sur place, tandis que la GTR marque le moment où la voiture repart. Un simple email automatique accusant réception de votre demande ne signifie pas que quelqu'un est déjà en train de chercher la panne.
Trois formules de couverture horaire
Le respect de ces délais varie selon les plages horaires inscrites dans votre accord :
| Formule | Couverture horaire | Traitement des incidents |
|---|---|---|
| Heures ouvrées | Jours ouvrés, aux horaires fixés au contrat | Reprise différée au jour ouvré suivant |
| Astreinte étendue | Soirs et week-ends, selon les créneaux convenus | Équipe mobilisable sur les créneaux sensibles |
| Support 24/7 | En continu, sans interruption | Prise en charge à tout moment |
Demandez toujours quelles pénalités s'appliquent en cas de retard, ainsi que le tarif horaire facturé si l'intervention dépasse le cadre prévu.
6. Comprendre ce qui fait varier le prix d'une infogérance
Le coût d'un contrat dépend avant tout du temps humain passé sur votre plateforme et des outils mobilisés pour veiller dessus. Pour comparer deux propositions, regardez ce que le prestataire fournit vraiment chaque mois.
La complexité technique et la couverture horaire
Un site vitrine de quelques pages demande bien moins d'attention qu'une boutique en ligne avec des comptes clients et des paiements par carte. De même, une équipe disponible uniquement du lundi au vendredi sur les heures de bureau coûtera moins cher qu'une astreinte d'urgence mobilisable en pleine nuit.
Le périmètre d'intervention et les dépassements
Si l'hébergeur surveille ses machines, l'infogérance s'occupe de la vie de votre site : essais sur serveur de test, sauvegardes et dépannages. Pour anticiper vos dépenses annuelles, consultez la grille liée au tarif de maintenance WordPress et vérifiez d'emblée le montant des heures hors forfait.
7. Prévoir la réversibilité du contrat avant de signer
La clause de réversibilité protège votre liberté en vous permettant de quitter un prestataire sans risquer de perdre votre outil de travail. Ce passage de relais doit être organisé dès le premier jour.
Les actifs à récupérer impérativement
Vous devez rester propriétaire de l'ensemble de vos éléments :
- Accès d'administration : serveur d'hébergement, base de données et console d'administration WordPress.
- Code source et données : archive propre de vos fichiers et de l'ensemble des contenus.
- Actifs légaux : nom de domaine et licences d'outils enregistrés directement à votre nom.
- Documentation : résumé des développements réalisés pour aider le repreneur éventuel.
Modalités de restitution et préavis
Fixez à l'avance la durée du préavis, le délai accordé pour vous restituer les codes d'accès et les frais éventuels pour monter l'archive. Si vous envisagez de changer d'agence web, cette organisation évite les blocages relationnels et les coupures de site inutiles.
Pour aller plus loin
- Agence SEO WordPress : optimiser votre visibilité technique sur les moteurs de recherche
- WordPress with composer : industrialiser la gestion de vos extensions
- Mode maintenance WordPress : sécuriser vos opérations de mise à jour sans pénaliser votre référencement
- Agence Web WordPress : confier la conception et le suivi technique de votre site
Votre site WordPress maintenu par l'équipe qui l'a conçu, avec Les Yétis
Les Yétis conçoivent, développent et maintiennent votre site avec une seule et même équipe : WordPress, Next.js ou Payload CMS selon le besoin, avec la performance et le SEO pensés dès le cadrage. Parlez-nous de votre projet ou de votre site actuel, nous vous disons honnêtement ce qui est faisable.
FAQ : infogérance WordPress
Que se passe-t-il si mon site WordPress est piraté pendant le contrat ?
La prise en charge dépend des clauses de réparation inscrites dans votre contrat. Si la formule comprend cette garantie, le développeur isole le site, réinstalle une copie saine, change tous les identifiants et referme la porte d'entrée utilisée par l'attaquant. Si cette option n'est pas mentionnée, ce travail de nettoyage fera l'objet d'un devis supplémentaire.
Le support d'infogérance intervient-il la nuit et le week-end ?
Non, pas systématiquement : une présence technique 24h/24 reste une prestation spécifique, à vérifier dans les clauses du devis. Sur une formule de base, les robots de surveillance surveillent le serveur nuit et jour, mais les développeurs interviennent aux heures de bureau habituelles.
Un prestataire peut-il reprendre un site WordPress créé par une autre agence ?
Oui, un nouveau professionnel peut récupérer la gestion de votre site, généralement après avoir réalisé un état des lieux complet. Cet audit initial permet de regarder comment le thème a été développé, quelles extensions tournent et si le serveur convient. Si le site a manqué d'entretien par le passé, une remise à niveau s'impose avant de lancer le suivi mensuel.
Les demandes d'évolution graphique ou fonctionnelle sont-elles incluses ?
Non, la création de nouvelles pages, les modifications visuelles ou l'ajout d'options ne font pas partie de l'infogérance ordinaire. L'abonnement sert d'abord à surveiller, sauvegarder, mettre à jour et sécuriser le site. Pour faire évoluer l'affichage ou créer un nouvel outil, vous passerez par des tickets d'assistance à l'heure ou par un devis dédié.
Peut-on souscrire une infogérance si le site est déjà piraté ?
Oui, mais le technicien devra d'abord assainir la situation avant de démarrer l'abonnement. L'équipe commence par isoler le site, supprimer les morceaux de code suspects, recréer les mots de passe et remettre en place des fichiers propres. Dès que le site refonctionne normalement, la maintenance courante prend le relais pour éviter toute récidive.