Contrat de maintenance PHP : clauses, prix et modèle à copier

Ce que le contrat doit prévoir pour chaque mise à jour

Une mise à jour annuelle, préparée, reste maîtrisable. Un saut de plusieurs versions majeures oblige à réécrire des pans entiers, souvent dans l’urgence et la panique.

Faites écrire ces cinq étapes dans la partie préventive :

1. une vérification automatique des dépendances à chaque cycle, pour repérer chaque vulnérabilité connue ;
2. la réalisation de tests automatisés sur les parcours critiques et les principaux navigateurs ;
3. un déploiement en préproduction avant la production, avec retour arrière possible ;
4. des journaux d’erreurs relus, car un message d’erreur répété annonce souvent une panne ;
5. une supervision : disponibilité, espace disque, expiration des certificats, tâches en échec.

Un certificat expiré suffit à faire afficher par chaque navigateur une alerte « site non sécurisé » à tous les visiteurs concernés. La supervision le voit avant eux, ce qui laisse le temps de corriger.

Les navigateurs eux-mêmes changent plusieurs fois par an. Un script qui fonctionnait peut cesser de bien afficher un formulaire après une mise à jour du navigateur.

Avec zéro test automatisé, chaque mise à jour devient un pari. Prestataire et client préfèrent alors ne rien toucher, et le logiciel se fige. Dans ce cas, la première mission utile est d’écrire des tests sur les parcours essentiels.

Le volet RGPD du contrat

Votre prestataire de maintenance accède à vos données personnelles : il est donc sous-traitant au sens du RGPD. L’article 28 du RGPD impose alors un contrat écrit qui fixe ses obligations.

Sur ce sujet, la CNIL publie un guide du sous-traitant avec des exemples de clauses. Ce qu’elle demande d’y trouver :

• l’objet, la durée et la finalité du traitement, les données et les personnes concernées ;
• l’obligation d’agir uniquement sur vos instructions documentées ;
• une obligation de confidentialité pour chaque personne qui accède aux données ;
• les mesures de sécurité des données, et l’alerte en cas de violation ;
• la suppression ou la restitution des données en fin de contrat ;
• votre droit d’audit, et votre droit d’être informé de tout sous-traitant ultérieur.

Pensez aussi à vérifier où sont stockées les sauvegardes, et sur quels serveurs. Des copies de votre base partagées sur un serveur hors de l’Union européenne relèvent d’autres règles du RGPD. Un hébergement web managé et sécurisé en France, par exemple dans un centre de données près de Paris, simplifie ce point.

Quel prix pour la maintenance PHP ?

Comptez 15 à 25 % du coût de développement initial par an. Notre guide sur le budget à prévoir pour maintenir un SaaS détaille cette règle. Une application métier sur mesure à 40 000 € représente donc entre 6 000 et 10 000 € de maintenance annuelle.

Les fourchettes publiées par des agences françaises vont de 2 500 à 25 000 € par an selon la taille du site ou de l’outil.

Trois modes de facturation coexistent :

Le taux journalier d’un développeur senior en France se situe entre 500 et 800 €. La formule la plus équilibrée pour un logiciel vivant : un forfait pour le socle (correctifs, sauvegardes, supervision) et un crédit d’heures pour les évolutions.

Les offres portent souvent des noms rassurants : « Essentiel », « Sérénité », « Premium ». La sérénité ne tient pas au nom de la formule, mais aux engagements écrits dessous.

Une formule « Sérénité » sans délai chiffré n’offre aucune sérénité le jour de la panne. Une sauvegarde testée apporte plus de sérénité qu’un slogan.

Ce qui fait varier le prix

• La taille du site ou de l’outil, et le nombre d’intégrations externes.
• L’âge du logiciel et la dette technique accumulée depuis sa création.
• La présence de tests automatisés et de documentation.
• La criticité métier, qui fixe les délais d’intervention.
• Les heures de support attendues, astreinte comprise, et les services concernés.
• L’hébergement, partagé ou dédié, géré par l’agence ou par vous.

Le vrai calcul : contrat ou dépannage à la demande

Sans contrat, la maintenance ne coûte rien, jusqu’au jour où l’hébergeur retire votre version de PHP. La mise à niveau se fait alors en urgence, sur plusieurs versions d’un coup. Elle revient plus cher : le travail nécessaire est plus long, et l’urgence se facture plus cher.

Le mode de facturation compte moins que l’incitation qu’il crée. Un prestataire payé au temps passé n’a aucun intérêt à rendre votre outil simple à maintenir. Le contrat compense par des engagements de résultat : délais, rapports, documentation.

Pour comparer ce que propose chaque agence, demandez le périmètre, les délais, les exclusions et la fréquence des points d’étape. Un prix bas sur un périmètre flou coûte plus cher à l’usage. Le moins cher à la signature est rarement le moins cher sur trois ans.

Choisir un prestataire : à Paris ou à distance ?

La proximité compte moins que les clauses. Une mise à jour, un correctif ou une restauration se font à distance, que l’équipe soit à Paris, à Lyon ou à Nantes.

Chercher une agence à Paris rassure, mais un prestataire de Paris n’intervient pas plus vite qu’un autre. Ce qui fait la différence :

• des délais écrits, avec des heures ouvrées calées sur l’heure de Paris ;
• un interlocuteur nommé, ou un CTO externalisé pour PME qui pilote l’agence à votre place ;
• une expertise prouvée sur votre framework, avec des cas clients concernés à vérifier ;
• des rapports réguliers, lisibles côté business, sans bagage technique.

Un prestataire installé hors de France peut convenir, à condition que l’astreinte suive l’heure de Paris et que le volet données personnelles soit traité. Un expert joignable seulement la nuit, heure de Paris, ne peut pas vous aider quand le site tombe à 10 h.

Les signaux d’alerte dans un contrat

• « Maintenance illimitée » : cache presque toujours un périmètre étroit, défini ailleurs.
• Zéro délai chiffré : « dans les meilleurs délais » n’engage personne.
• Mises à jour de version en option : elles arriveront quand même, au prix de l’urgence.
• Code ou hébergement au nom du prestataire : impossible de partir sans son accord.
• Engagement long sans clause de sortie, ou résiliation pénalisante.
• Zéro rapport : vous payez sans savoir ce qui a été fait.
• Zéro sauvegarde testée : la restauration reste une hypothèse.

Un contrat qui coche plusieurs cases n’est pas à dénoncer demain. Notre conseil : renégociez-le pendant que la relation fonctionne encore.

Les questions à poser avant de signer

Les points à vérifier avec chaque candidat, et les réponses à obtenir par écrit :

1. Qui détient le code, les accès et la documentation ?
2. Qu’est-ce qui est inclus au forfait, et facturé à part ?
3. Quels délais de prise en charge et de rétablissement, mesurés comment ?
4. À quelle fréquence les correctifs sont-ils appliqués, et quels environnements sont concernés ?
5. Comment les sauvegardes sont-elles testées ?
6. Qui remplace mon interlocuteur en cas d’absence ?
7. Que se passe-t-il si je change de prestataire dans un an ?

Résilier ou changer de prestataire en cours de contrat

C’est là que la clause de réversibilité prouve sa valeur. Avec elle, un outil PHP se reprend presque toujours sans repartir de zéro. Sans elle, tout se négocie, y compris l’accès à votre propre code.

Commencez par vérifier le préavis de résiliation, puis récupérez le code, les accès, les données et le dossier technique avant d’annoncer votre départ. Le diagnostic de réversibilité d’application montre en quelques minutes ce qui vous manque.

Le nouvel intervenant commence par un état des lieux : versions, dépendances, tests, failles. L’audit de code source avant mise en production sert à ça, et vaut aussi pour reprendre un projet.

Confier votre maintenance PHP à PeakLab

Nous reprenons la maintenance d’applications Laravel, Symfony ou PHP maison, y compris quand une autre agence les a construites. Agence PHP de développement web sur mesure basée à Paris, nous intervenons avec des contrats qui écrivent noir sur blanc les sept engagements ci-dessus.

Ce que vous obtenez :

• le code, l’hébergeur et le nom de domaine à votre nom dès le premier jour ;
• une prise en charge chiffrée selon la gravité ;
• les mises à jour de PHP et du framework planifiées avant chaque fin de support ;
• chaque correctif testé en préproduction, appliqué en production, puis garanti 30 jours ;
• un compte rendu régulier : interventions, mises à jour, heures consommées ;
• en option, l’hébergement managé PeakLab Cloud dès 99 € par mois, supervision et support inclus.

Comment démarrer

1. Un échange gratuit de 30 minutes pour comprendre votre outil et votre contrat actuel.
2. Un état des lieux technique : versions, dépendances, tests, failles.
3. Une proposition chiffrée, avec périmètre, niveaux de service et calendrier des mises à jour.
4. La reprise, transition organisée avec votre prestataire actuel.

Chez Rocketform, client PeakLab, l’audit de performance et de sécurité a classé les risques par priorité avant la mise en ligne. Nos clients nous notent 4,4 sur 5 sur Trustpilot.

Par où commencer

Première étape : ressortez votre contrat et relisez-le avec la liste des sept engagements.

Deuxième étape : relevez la version de PHP et du framework en production, et comparez-la au calendrier ci-dessus. Une date approche, ou un point manque sur votre site ou votre outil ? Parlons-en : notre contrat couvre les sept engagements, et vous signez en toute sérénité.

Demander un devis de maintenance →