En bref : un contrat de maintenance de site web axé sur la sécurité fait en sorte que les mises à jour, les sauvegardes et la surveillance ne dépendent pas du hasard. Nous assurons le suivi durable de vos sites web et serveurs PHP, maintenons l'état à jour, testons la restauration et réagissons selon un déroulement convenu lorsqu'une nouvelle faille est connue. Vous recevez régulièrement un rapport compréhensible.
Pourquoi la sécurité doit faire partie du contrat de maintenance de site web
De nombreux contrats de maintenance couvrent les mises à jour du CMS et s'arrêtent là. PHP2Shell a montré que cela ne suffit pas : les failles CVE-2026-109618 et CVE-2026-109619 se trouvent dans PHP lui-même, pas dans le CMS. Une mise à jour de WordPress ou de Shopware ne les referme pas. Qui n'entretient que le CMS n'a pas le véritable danger en vue.
S'y ajoute le facteur temps. Entre la pré-annonce par php.net le 20 octobre 2026 et la publication des correctifs le 21 octobre s'est écoulé un jour ; selon des reportages de médias, une première tentative d'attaque observée avait déjà eu lieu le 17 octobre. Dans de telles situations, seul un déroulement établi à l'avance aide, ainsi que quelqu'un qui a l'accès et sait quels systèmes sont concernés. Qui ne cherche les identifiants, n'appelle les prestataires et ne clarifie les responsabilités qu'en cas d'urgence perd précisément le temps que les attaquants exploitent.
Un autre point est souvent sous-estimé : des sauvegardes qui n'ont jamais été restaurées sont une promesse sans preuve. Seul un test de restauration montre si une sauvegarde est complète et combien de temps dure réellement le retour à l'exploitation.
Pour qui un contrat de maintenance de sécurité vaut la peine
Un contrat de maintenance axé sur la sécurité convient surtout aux entreprises dont le site web ou la boutique est critique pour l'activité, mais qui n'ont pas leur propre administration pour les serveurs et PHP. Typiques sont les commerçants en ligne, cabinets, études d'avocats et entreprises moyennes avec des portails clients, mais aussi des organismes publics avec plusieurs présences web.
Il est tout aussi judicieux lorsque la responsabilité est aujourd'hui répartie sur de nombreuses épaules : une agence a construit le site web, un hébergeur fournit le serveur, un ancien collaborateur connaissait les accès. Dans de telles configurations, il apparaît vite, lors de situations comme PHP2Shell, que personne n'est clairement responsable. Le contrat crée un point fixe qui est au courant et a le droit d'agir.
Pour un seul petit site web sans formulaires ni données clients, une étendue plus légère peut suffire. Nous le clarifions lors de l'inventaire.
Ce que comprend le contrat de maintenance de sécurité
- Mises à jour : système d'exploitation, serveur web, PHP, CMS, extensions et dépendances, selon un rythme fixe et en plus en cas de failles critiques
- Redémarrage et preuve : après les mises à jour de PHP, redémarrage de tous les workers avec contrôle qu'aucun ancien processus ne tourne
- Sauvegardes : selon la règle 3-2-1, avec test de restauration régulier. Les bases figurent sous Sauvegardes selon la règle 3-2-1.
- Surveillance : intégrité des fichiers, connexions, processus et journaux, comme décrit sous Supervision de sécurité pour serveurs web
- Cycle de vie : planification anticipée avant qu'une version de PHP n'atteigne la fin de sa prise en charge, par exemple PHP 8.2 le 31 décembre 2026
- Déroulement d'urgence : étapes convenues pour les cas graves, accès et interlocuteurs immédiatement connus en cas d'incident
- Rapport : synthèse régulière avec les mises à jour installées, les événements et les recommandations
Qui est responsable de quoi ?
De nombreuses failles de sécurité ne naissent pas techniquement, mais organisationnellement : chacun pense qu'un autre s'en occupe. C'est pourquoi nous consignons les responsabilités par écrit. Un exemple typique :
| Tâche | Hébergeur | Agence | PHP SOS | Vous |
|---|---|---|---|---|
| Matériel, réseau, centre de données | oui | |||
| Système d'exploitation et mises à jour de PHP | selon le contrat | oui | ||
| CMS et extensions | oui | après concertation | ||
| Contenus et comptes utilisateur | oui | |||
| Surveillance et déroulement d'urgence | oui | validations |
La répartition réelle dépend de vos contrats. Surtout avec les serveurs gérés, il vaut la peine de regarder précisément ce que le fournisseur prend réellement en charge, voir Serveur géré : clarifier la responsabilité. Les agences avec de nombreux sites clients trouveront un modèle adapté sous Partenaire de sécurité pour agences.
Comment PHP SOS aide-t-il concrètement ?
- Inventaire : nous recensons tous les sites web, serveurs, versions, accès, sauvegardes et contrats existants.
- Sécurisation initiale : les mises à jour en attente et les faiblesses connues sont d'abord corrigées, avant que le suivi continu ne commence.
- Convention : nous consignons par écrit l'étendue, le rythme, les responsabilités et le déroulement d'urgence, y compris la question de savoir quand on vous consulte avant des modifications.
- Suivi continu : mises à jour, sauvegardes, surveillance et rapports selon le plan, et, en cas de failles critiques, en plus selon le déroulement d'urgence convenu.
- Revue annuelle : nous vérifions ensemble si le contrat correspond toujours à votre paysage de systèmes.
Ce dont nous avons besoin et ce que nous ne promettons pas
Nous avons besoin d'accès administratifs durables, d'une personne de contact habilitée à décider, d'un contact avec l'hébergeur et l'agence ainsi que d'informations sur les modifications prévues de vos applications. Nous gérons les accès séparément pour chaque client et documentons qui y a accès. Si vous prévoyez des modifications de vos systèmes, par exemple une nouvelle boutique, un autre site web ou un changement d'hébergeur, prévenez-nous tôt afin que les mises à jour, les sauvegardes et la surveillance évoluent avec eux.
Nous ne promettons pas que vos systèmes ne seront jamais attaqués. Un contrat de maintenance réduit le risque et fait en sorte qu'en cas d'urgence, on agisse vite et de façon ordonnée. Les prix et les délais de réaction, nous ne les indiquons pas de façon générale, mais les fixons dans l'offre après l'inventaire. Comment préparer en outre l'urgence sur le plan organisationnel, Établir un plan d'urgence informatique pour serveurs web le décrit.
Questions fréquentes
Que comprend un contrat de maintenance de site web axé sur la sécurité ?
Au minimum les mises à jour du serveur, de PHP, du CMS et des extensions, des sauvegardes régulières avec test de restauration, une surveillance de sécurité et une règle claire pour les urgences. Il est aussi important de consigner par écrit qui est responsable de quoi.
Le contrat de maintenance remplace-t-il mon agence ou mon hébergeur ?
Pas nécessairement. Nous travaillons souvent avec l'agence et l'hébergeur et prenons en charge la partie sécurité. L'essentiel est que les responsabilités soient réparties sans lacune et que rien ne reste en suspens entre les parties.
Que se passe-t-il lorsqu'une faille critique comme PHP2Shell est connue ?
Nous examinons alors lesquels de vos systèmes sont concernés, installons les mises à jour selon le déroulement convenu ou mettons en place des mesures transitoires, et vous informons de l'état. La rapidité de cette réaction, nous la fixons ensemble dans le contrat.
Existe-t-il un prix forfaitaire ?
L'étendue dépend du nombre et du type de vos systèmes. Après un inventaire, nous établissons une offre qui décrit précisément ce qui est inclus.