Que comprend un service de maintenance de site web? Les tâches qui empêchent une vieille extension de devenir un problème de Loi 25

Votre site web a exactement le même air que le jour de son lancement, et quelqu'un vous demande maintenant des frais mensuels pour l'entretenir. La vraie question : que fait la maintenance de site web pour un site qui ne semble jamais changer? Réponse : le site change sous vos pieds chaque semaine, dans des extensions et des logiciels de serveur que vous ne voyez jamais. Une partie de ce travail ne peut pas attendre la visite du mois. Et au Québec, un formulaire qui laisse fuir les coordonnées de vos clients entraîne des obligations légales.

Que comprend la maintenance d'un site web?

Un service complet de maintenance de site web couvre huit tâches, et une seule, les petites modifications de contenu, se remarque de l'extérieur. Les conseils de sécurité de Google aux propriétaires de sites commencent par la tâche la moins glamour. Il faut dresser la liste de tous les logiciels et de toutes les extensions du site, puis suivre leurs numéros de version et leurs mises à jour. Toutes les autres lignes ci-dessous dépendent de cette liste. Les extensions (on dit aussi plugiciels) sont les modules qui font fonctionner votre formulaire de réservation, votre galerie photo ou votre page de contact.

Liste de vérification de la maintenance, tâche par tâche

Chaque ligne donne une tâche, sa fréquence, la panne qu'elle prévient et sa source.

| Tâche | Fréquence | Ce qu'elle prévient | Source | |---|---|---|---| | Tenir la liste de chaque extension, thème et version | À chaque changement | Ne pas savoir quoi corriger quand une faille est annoncée | Google Search Central | | Installer les correctifs de sécurité des extensions et des thèmes | Dans les heures suivant le correctif | Une faille publique utilisée contre votre site | Patchstack, données 2025 | | Désactiver ou remplacer une extension sans correctif | Le jour où la faille devient publique | Les 46 % de failles de 2025 sans correctif à la divulgation | Patchstack, données 2025 | | Mettre à jour le logiciel principal du site | Chaque mois, plus tôt si c'est urgent | Prendre du retard sur la plateforme qui fait tout tourner | Google Search Central | | Confirmer que l'hébergeur a corrigé ses serveurs | Chaque mois | Un site à jour sur un serveur qui ne l'est pas | Google Search Central | | Sauvegarder le site et tester une restauration | Sauvegarde planifiée, test chaque mois | Une sauvegarde qui échoue le jour où il la faut | Notre recommandation | | Envoyer un message test dans chaque formulaire | Chaque mois et après chaque mise à jour | Des demandes perdues dans un formulaire brisé | Notre recommandation | | Consigner chaque incident de sécurité | Au moment où il survient | Un trou dans le registre qu'exige la loi québécoise | P-39.1, art. 3.8 |

Pour comparer, notre page Hébergement + Maintenance détaille ce que nous couvrons.

En combien de temps une extension non corrigée est-elle exploitée?

Selon les données 2025 de Patchstack, la médiane pondérée entre la divulgation publique d'une faille WordPress et sa première exploitation est de 5 heures. Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème WordPress en 2025, contre 7 966 dans son décompte de 2024. Les extensions en comptaient 91 % et les thèmes 9 %, alors que le cœur de WordPress n'en avait que six, toutes de faible priorité. Pire : 46 % n'avaient aucun correctif du développeur le jour où la faille est devenue publique, contre 33 % dans les données de 2024.

Deux mises en garde gardent ces chiffres honnêtes. Patchstack vend de la protection de sécurité pour WordPress. Lisez donc ces chiffres comme le décompte d'une seule entreprise, tiré de sa propre base de données, et non comme un recensement de l'industrie. Ils décrivent aussi uniquement les sites WordPress; un site construit autrement a une autre liste de pièces mobiles.

Le constat pratique tient malgré tout. Le risque loge dans les extensions, et le chronomètre part dès qu'une faille est annoncée. Un forfait qui installe les mises à jour une fois par mois laisse des semaines d'exposition face à une horloge qui se compte en heures.

Qu'arrive-t-il à un site web que personne n'entretient?

Un site sans entretien fait tourner des extensions qui vieillissent chaque semaine. Chaque nouvelle faille annoncée dans l'une d'elles reste ouverte jusqu'à ce que quelqu'un la referme. Le propriétaire l'apprend généralement en dernier. Selon Google, s'il détecte un logiciel malveillant sur un site, le propriétaire reçoit une notification dans Search Console. Encore faut-il que quelqu'un ait configuré Search Console et la consulte. Le système Safe Browsing de Google protège aussi les internautes en affichant des avertissements sur les sites dangereux : un client peut donc tomber sur le problème avant vous.

Certaines pannes ne sont même pas des attaques. Une mise à jour peut briser votre formulaire de contact sans vous afficher la moindre erreur : les messages cessent tout simplement d'arriver. Sur la plupart des sites de petites entreprises, ce formulaire est le principal chemin par lequel un visiteur devient un client potentiel. Trois semaines de silence ressemblent alors à une période tranquille.

L'objection habituelle : une petite entreprise ne vaut pas la peine d'être attaquée. L'attaque vise l'extension et non l'entreprise, donc une faille dans un module de réservation est la même faille sur le site d'une boulangerie et sur celui d'une chaîne d'hôtels.

Pourquoi un formulaire de contact piraté est un problème de Loi 25 au Québec

Au Québec, l'accès non autorisé aux renseignements personnels que recueille votre site est un incident de confidentialité. La règle vient de la Loi sur la protection des renseignements personnels dans le secteur privé, articles 3.5 à 3.8, ajoutés par la Loi 25. Les noms, courriels et numéros de téléphone qui dorment dans une boîte de réception de formulaire ou une base de données de réservations en font partie. Dès qu'une entreprise a des motifs de croire qu'un incident s'est produit, la loi lui demande ce qui suit :

1. Prendre des mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que l'incident se reproduise.
2. S'il y a un risque de préjudice sérieux, aviser promptement la Commission d'accès à l'information et les personnes concernées.
3. Inscrire l'incident dans un registre, que l'entreprise doit tenir pour tout incident de confidentialité, sérieux ou non.

Pour juger si le risque est sérieux, on pèse la sensibilité des renseignements, les conséquences appréhendées et la probabilité qu'ils soient utilisés à mauvais escient. L'article 3.7 exige aussi de consulter la personne responsable de la protection des renseignements personnels dans votre entreprise. Devant un incident réel, c'est cette personne et votre avocat qui tranchent. Corriger à temps est la mesure Loi 25 la moins chère d'un site : chaque attaque évitée est une inscription au registre que vous n'écrirez jamais. Un robot conversationnel qui recueille des coordonnées de clients tombe sous les mêmes règles; notre article sur ce qu'un chatbot IA fait vraiment pour une petite entreprise couvre ce volet.

Ce dont un petit site n'a pas besoin dans un forfait de maintenance

La maintenance de site web devrait être taillée à la mesure de votre site, et un petit site en demande moins. Si votre site compte cinq pages, fait tourner une poignée d'extensions et change deux fois par année, vous n'avez pas besoin d'un forfait bâti autour de modifications illimitées ou d'une refonte mensuelle. Il vous faut la liste, les correctifs de sécurité, une copie de sauvegarde que quelqu'un a déjà restaurée et un formulaire que quelqu'un a déjà testé.

Commencez par compter avant de comparer des offres d'entretien de site web. Demandez à la personne qui a construit votre site combien d'extensions il utilise et qui installe leurs correctifs de sécurité aujourd'hui. Chaque extension est une ligne de plus sur la liste des correctifs, et une liste plus courte veut dire moins à entretenir et moins à payer.

Deux questions à poser avant de signer

La maintenance d'un site web n'a jamais consisté à ranger un site fini. C'est corriger, au rythme de l'horloge des pirates.

Si quelqu'un vous vend un service de maintenance de site web, posez-lui deux questions. Quand un correctif de sécurité sort pour une extension de mon site, combien d'heures avant qu'il soit installé? Et si mon formulaire de contact est un jour piraté, qui m'aide à inscrire l'incident dans mon registre Loi 25? Un fournisseur qui répond « à la prochaine visite mensuelle » et « quel registre? » vous vend une copie de sauvegarde et un courriel par mois.