Tierce maintenance applicative web : guide pratique pour agences

Tierce maintenance applicative web : guide pratique pour agences

La tierce maintenance applicative (TMA) est le cadre contractuel qui formalise la relation entre une agence web et ses clients dans la durée. À la différence d'un forfait de maintenance classique, elle impose des niveaux de service mesurables, des pénalités en cas de dépassement et des clauses de sortie qui protègent les deux parties.

Ce guide couvre la définition et les quatre types de TMA, les sept clauses qu'un contrat web doit contenir — avec le clausier type —, la structure optimale selon le CMS (WordPress, PrestaShop, Symfony, Laravel, Sylius) et l'argumentaire pour vendre la TMA à vos clients.

1. Définition et types de TMA
2. Ce que doit contenir un contrat TMA web
3. TMA par CMS
4. Vendre la TMA à vos clients

Définition et types de TMA web

Le CCAG-TIC — le cahier des clauses administratives générales applicable aux marchés publics de technologies de l'information — définit la tierce maintenance applicative comme des « prestations qui consistent à conserver un programme informatique dans un état lui permettant de remplir sa fonction ». Cette définition, rédigée pour la commande publique, fait référence dans les contrats privés du secteur numérique.

En pratique, la TMA web est le service par lequel une agence prend la responsabilité contractuelle de maintenir les applications de ses clients — sites, boutiques en ligne, outils métier — contre une redevance et selon des engagements de service formalisés. Ce qui la distingue d'un simple forfait : le prestataire s'engage sur des délais mesurables et accepte des pénalités s'il ne les tient pas.

Les 4 types de maintenance applicative

Un contrat TMA couvre tout ou partie de ces quatre types d'interventions :

• Corrective : résolution des anomalies et bugs détectés en production. C'est le périmètre minimum de tout contrat TMA.
• Adaptative : ajustement de l'application aux évolutions de son environnement — montée de version PHP, changement d'hébergeur, nouvelles exigences légales (RGPD, accessibilité numérique).
• Évolutive : développement de nouvelles fonctionnalités ou modification de l'existant à la demande du client.
• Préventive : actions planifiées pour réduire la probabilité d'incidents — mises à jour des composants, audits de sécurité, surveillance des dépendances obsolètes.

La maintenance corrective et préventive forment le socle de tout contrat. L'adaptative et l'évolutive s'ajoutent selon le périmètre négocié. Un contrat qui ne les liste pas explicitement laisse la porte ouverte aux litiges dès la première intervention dont le périmètre est contesté.

TMA, infogérance et maintenance web classique : les différences

L'infogérance couvre l'infrastructure : serveurs, réseau, disponibilité matérielle. Elle garantit que la machine tourne. La TMA porte exclusivement sur les applications : le code, les bases de données, les configurations applicatives. Elle garantit que le logiciel remplit sa fonction.

La maintenance web classique — le forfait mensuel vendu par la plupart des agences — se limite généralement aux mises à jour et aux sauvegardes, sans engagement de délai formalisé ni clause de pénalité. La TMA s'en distingue par sa dimension contractuelle : elle engage le prestataire sur des niveaux de service mesurables et prévoit des mécanismes de correction en cas de manquement.

Ce que doit contenir un contrat TMA web

Périmètre applicatif et niveaux de service P1/P2/P3

Le périmètre applicatif est la première clause à rédiger avec précision. Il liste les applications couvertes, les environnements (production, préproduction), les modules inclus et — point critique — les exclusions explicites : développements hérités non documentés, scripts tiers, modules abandonnés. Un périmètre flou est la première source de litige en TMA.

La classification des incidents par niveau de priorité structure l'engagement de service :

Niveau	Définition	Exemple web
P1 — Bloquant	Service vital indisponible, production à l'arrêt	Site hors ligne, tunnel de paiement cassé, base de données inaccessible
P2 — Majeur	Fonctionnalité importante dégradée, contournement limité	Moteur de recherche hors service, erreur bloquante sur le panier
P3 — Mineur	Anomalie circonscrite, pas d'impact sur l'activité immédiate	Décalage visuel sur une page secondaire, lien brisé hors chemin critique

Pour chaque niveau, le contrat fixe une GTI (Garantie de Temps d'Intervention : délai de prise en charge) et une GTR (Garantie de Temps de Résolution : délai de correction). À titre d'exemple, un incident bloquant peut engager une GTI d'une heure et une GTR de quatre heures. Les anomalies majeures se traitent généralement sous quelques jours ; les mineures au sprint de maintenance suivant.

La plage horaire mérite la même attention que les délais : une GTI de 4 heures ne vaut rien si le contrat ne précise pas qu'elle s'applique en jours ouvrés de 9 h à 18 h ou en 24 h/24. Ce point doit figurer noir sur blanc.

Le clausier type : les 7 clauses essentielles

Les sept clauses du clausier TMA couvrent le périmètre, les SLA par priorité, les pénalités, la réversibilité et la gouvernance.

Un contrat TMA web exécutable comprend au minimum ces sept clauses :

1. Périmètre applicatif : liste exhaustive des applications, modules, environnements et exclusions explicites. Sans cette liste, tout débordement de périmètre devient un sujet de négociation à chaque ticket.
2. SLA avec GTI et GTR par niveau de priorité : délais mesurables, plage horaire d'astreinte, méthode de calcul du temps d'indisponibilité (horodatage d'ouverture du ticket, accusé de réception écrit de prise en charge).
3. Pénalités : un SLA sans pénalités n'est qu'une promesse. La clause prévoit une déduction automatique sur la redevance mensuelle en cas de dépassement des GTI ou GTR, proportionnée à l'impact réel de l'incident. Un plafond est nécessaire : une clause pénale manifestement disproportionnée peut être réduite par un juge en droit français.
4. Réversibilité : engagement à restituer, à la fin du contrat, le code source sur un dépôt accessible, la documentation technique à jour, les scripts de déploiement et les paramètrages — dans un délai contractuellement fixé. Cette clause protège le client en cas de rupture, même conflictuelle.
5. Propriété intellectuelle : précise si les développements réalisés sous TMA sont cédés au client ou restent sous licence du prestataire. En France, les droits d'auteur sur un logiciel créé par un prestataire indépendant ne sont pas automatiquement transférés à l'acheteur — la cession doit être stipulée explicitement.
6. Confidentialité et RGPD : le prestataire accède aux données de production du client. Un accord de traitement des données (DPA) est requis si des données personnelles sont manipulées. Les accès doivent être nominatifs, tracés et révocables.
7. Gouvernance et reporting : interlocuteur dédié côté prestataire, fréquence des points de suivi (mensuelle recommandée), format du rapport mensuel (disponibilité, incidents traités, mises à jour effectuées, heures consommées versus quota inclus).

Tarification : forfait mensuel ou bon de commande ?

Deux structures de facturation coexistent sur le marché :

• Forfait mensuel : un montant fixe couvre un quota d'heures de maintenance corrective et préventive. Prévisible pour le client, stable pour l'agence. Adapté aux sites sollicités régulièrement et aux clients qui veulent une visibilité budgétaire sur l'année.
• Bon de commande à la demande : facturation au temps passé sur chaque intervention. Plus souple, mais moins engageant sur les délais — sans SLA adossé, le prestataire n'a pas de contrainte contractuelle sur sa réactivité.

Pour les sites WordPress, les contrats annuels de maintenance préventive s'établissent couramment entre 10 % et 20 % du prix initial du site internet hors hébergement. La maintenance curative se facture en supplément, au ticket ou par quota d'heures mensuel prépayé.

Pour les parcs multi-sites gérés par des agences, la page tarifs Sentinelo détaille les grilles en vigueur : de 49 € HT par site et par mois pour un parc de 5 à 10 sites, jusqu'à 32 € HT par site pour les parcs de 61 à 100 sites, technologie identique.

TMA par CMS : adapter le périmètre à la stack

WordPress

Le périmètre TMA WordPress standard couvre les mises à jour du core, des thèmes actifs et des extensions avec une sauvegarde préalable à chaque opération, la surveillance des connexions administrateur inhabituelles, la vérification périodique de l'intégrité des fichiers core et l'audit de sécurité mensuel ou trimestriel selon le niveau de risque du site.

Deux points de vigilance à préciser dans le contrat :

• Le traitement des extensions abandonnées ou incompatibles avec la dernière version de WordPress : signalement au client, gel de la mise à jour ou remplacement par une alternative viable ?
• Les extensions et thèmes à licence annuelle : si la licence expire, les mises à jour cessent d'être disponibles. La responsabilité du renouvellement doit être clairement attribuée — au client ou au prestataire selon le mode de facturation choisi.

Pour les agences qui maintiennent un parc WordPress, la page maintenance WordPress pour agences présente l'outillage disponible, notamment les mises à jour automatisées avec retour automatique du composant si le site cesse de répondre après une opération.

PrestaShop

Les mises à jour PrestaShop présentent plus de risques de régression que WordPress sur les boutiques fortement personnalisées. Les overrides de modules, les thèmes sur mesure et les personnalisations de l'API de panier peuvent entrer en conflit avec les nouvelles versions. Le périmètre TMA PrestaShop typique couvre les modules de paiement et de sécurité, avec les mises à jour du core planifiées au cas par cas selon la version cible.

Deux clauses à inclure spécifiquement pour PrestaShop :

• La décision de déclencher une mise à jour majeure et la procédure de recette (environnement de staging, liste de cas de test) avant mise en production.
• Le périmètre des modules tiers — modules PrestaShop Addons, modules développés par d'autres agences — et leur niveau de couverture respectif dans le contrat.

La page maintenance PrestaShop détaille les contrôles de sécurité effectués sur les boutiques, en complément du périmètre de mise à jour.

Symfony et Laravel

Sur Symfony et Laravel, la TMA porte principalement sur les dépendances Composer : audit régulier des CVE connus avec composer audit, identification des packages obsolètes avec composer outdated, et suivi des migrations de base de données lors des montées de version applicative. La compatibilité PHP est un point de vigilance supplémentaire à chaque changement de version sur l'environnement serveur.

Contrairement à WordPress, les mises à jour d'une application Symfony ou Laravel ne peuvent pas être entièrement automatisées : elles nécessitent une revue du code impacté, une adaptation des dépendances et des tests de non-régression avant déploiement en production. Le contrat doit préciser la fréquence des audits de dépendances (mensuelle recommandée), la procédure de qualification des correctifs de sécurité urgents et les responsabilités en cas de régression après un déploiement.

Pour les étapes détaillées, l'article Maintenir une application Symfony couvre la gestion des dépendances Composer, les migrations et la supervision de la CI/CD.

Sylius

Sylius cumule les contraintes de Symfony et celles d'un e-commerce : gestion des bundles métier, migrations de schéma liées aux nouvelles versions, compatibilité de l'API Platform avec les intégrations tierces (ERP, PIM, logistique). La TMA Sylius mérite une clause distincte sur le périmètre API : si des applications mobiles ou des partenaires externes consomment l'API en production, chaque montée de version doit inclure une phase de tests de compatibilité ascendante avant déploiement, avec une procédure de rollback définie.

Vendre la TMA à vos clients : argumentaire

L'objection la plus fréquente : « Mon site fonctionne bien, je n'ai pas besoin de maintenance. » La réponse adaptée dépend du profil du client :

• Client e-commerce : une panne d'une heure pendant un Black Friday ou les Fêtes se mesure en chiffre d'affaires perdu. La TMA avec GTI contractualisée, c'est la garantie d'une mobilisation en quelques heures, pas en quelques jours ou après un ticket resté sans réponse.
• Client avec outil métier Symfony ou Laravel : une application hors ligne bloque des équipes entières. L'argument décisif n'est pas le coût de la maintenance — c'est le coût de l'interruption de l'activité métier.
• Client vitrine : la valeur réside dans la maintenance préventive. Un site non mis à jour accumule des vulnérabilités connues et publiées, détectables par les outils de scan automatisés. Le rapport mensuel rend visible ce travail invisible.

Le rapport mensuel personnalisé est un outil de fidélisation sous-estimé. Il documente la disponibilité du mois, les mises à jour effectuées, les incidents traités et les heures consommées. Il transforme la maintenance — invisible quand elle fonctionne — en preuve concrète de valeur délivrée chaque mois.

Argument souvent négligé en phase de vente : la clause de réversibilité, lorsque vous vous engagez à la respecter, positionne votre agence comme un prestataire de confiance plutôt que captif. C'est un signal de transparence qui peut faire la différence face à un concurrent qui ne mentionne pas la sortie de contrat.

Pour déléguer la surveillance continue, les mises à jour automatisées et le reporting mensuel à un outil dédié, la page maintenance WordPress pour agences présente l'offre Sentinelo et ses conditions.