Pourquoi confier la maintenance de son site web à un infogérant ?

Un site web n’est pas seulement un ensemble de pages, un design et un nom de domaine.

Derrière ce que voit l’utilisateur, il y a une application, un serveur web, un système d’exploitation, une base de données, des comptes, des certificats, des sauvegardes, des dépendances et parfois plusieurs services externes. Cet ensemble doit rester disponible, performant, restaurable et sécurisé dans la durée.

C’est précisément la différence entre faire évoluer un site et exploiter le système qui le fait fonctionner.

Une agence web est généralement la mieux placée pour travailler sur l’identité visuelle, l’expérience utilisateur, le contenu, le référencement, les parcours de conversion et les évolutions fonctionnelles. Un infogérant intervient sur une autre couche : disponibilité du service, maintenance du système, supervision, sauvegardes, sécurité et gestion des incidents.

Ces métiers ne s’opposent pas. Ils se complètent.

La maintenance web ne se résume pas à cliquer sur « Mettre à jour »

Le mot « maintenance » est souvent utilisé pour désigner des réalités très différentes.

Il peut s’agir de modifier un contenu, corriger un affichage, faire évoluer un formulaire ou mettre à jour une extension. Il peut aussi s’agir de corriger le système d’exploitation, renouveler un certificat, diagnostiquer une hausse de latence, restaurer une base de données ou traiter une vulnérabilité critique.

Dans le premier cas, on travaille principalement sur le site et ses fonctionnalités. Dans le second, on exploite une infrastructure exposée sur Internet.

Une maintenance complète doit donc répondre à plusieurs questions :

• qui maintient le CMS, le framework, les thèmes et les extensions ?
• qui maintient le système, le serveur web, la base de données et les composants réseau ?
• qui reçoit les alertes et intervient en cas d’indisponibilité ?
• qui vérifie les sauvegardes et sait restaurer ?
• qui suit les vulnérabilités des composants réellement installés ?
• qui documente les changements, les accès et les dépendances ?
• qui prend la main lorsqu’un incident traverse plusieurs couches ?

Si les réponses sont floues, la maintenance repose moins sur une organisation que sur la disponibilité et la bonne volonté des personnes présentes le jour où un problème survient.

Des mises à jour régulières, mais surtout maîtrisées

Un site web dépend rarement d’un seul logiciel. Il faut souvent maintenir :

• le CMS ou le framework ;
• les extensions, modules et thèmes ;
• les bibliothèques applicatives ;
• le langage d’exécution ;
• le serveur web ;
• la base de données ;
• le système d’exploitation ;
• les composants de sécurité et d’exposition.

Une mise à jour régulière réduit la dette technique et la durée pendant laquelle une vulnérabilité connue reste exploitable. Mais une bonne maintenance ne consiste pas à tout mettre à jour aveuglément.

Il faut connaître les versions installées, identifier les dépendances, évaluer l’impact, disposer d’une sauvegarde exploitable, prévoir un retour arrière et contrôler les fonctions importantes après l’intervention.

Pour une boutique, par exemple, la page d’accueil qui répond ne suffit pas à valider une maintenance. Il faut aussi vérifier le panier, l’authentification, le paiement, les emails et les échanges avec les services tiers utiles au parcours.

Le risque d’une mauvaise prise en charge

Deux extrêmes sont dangereux.

Le premier consiste à repousser les mises à jour jusqu’à conserver des composants obsolètes, parfois non supportés et exposés à des failles publiques.

Le second consiste à automatiser tous les changements sans contrôle. Une incompatibilité peut alors casser un formulaire, une extension, le paiement ou l’administration sans être détectée immédiatement.

Le bon rythme associe donc régularité, préparation, contrôle et capacité de retour arrière. Le NIST décrit d’ailleurs le patch management comme une forme de maintenance préventive qui doit être organisée, priorisée et vérifiée.

Supervision : détecter avant que l’utilisateur ne signale le problème

Un site peut sembler fonctionner tout en étant déjà dégradé.

Il peut répondre lentement, retourner des erreurs sur certaines pages, ne plus envoyer les formulaires, approcher d’une saturation disque ou utiliser un certificat proche de l’expiration. Sans supervision, ces dérives restent invisibles jusqu’à ce qu’un utilisateur, un client ou un moteur de recherche les rencontre.

Une supervision utile couvre plusieurs niveaux :

• disponibilité : le site et ses pages importantes répondent-ils ?
• latence : le temps de réponse dérive-t-il ?
• parcours critiques : formulaire, connexion, panier ou API fonctionnent-ils réellement ?
• nom de domaine et DNS : l’échéance, la résolution et les enregistrements attendus sont-ils corrects ?
• certificat TLS : est-il valide, correctement déployé et renouvelé à temps ?
• infrastructure : processeur, mémoire, disque, réseau et services restent-ils dans une zone saine ?
• application : le volume d’erreurs ou de réponses anormales augmente-t-il ?
• sauvegardes : les tâches prévues se terminent-elles correctement ?

Superviser ne signifie pas seulement recevoir une alerte. Il faut aussi la qualifier, connaître le contexte et savoir qui intervient.

Le risque d’une mauvaise prise en charge

Sans supervision, l’entreprise découvre souvent l’incident par l’extérieur :

• un client appelle parce que le site ne répond plus ;
• une campagne renvoie vers une page en erreur ;
• un formulaire commercial est cassé depuis plusieurs jours ;
• un certificat expiré bloque les visiteurs ;
• un disque plein arrête la base de données ;
• une latence croissante dégrade progressivement la conversion et le référencement.

Une supervision trop bruyante n’est guère meilleure. Si chaque variation génère une alerte, les équipes finissent par ne plus distinguer les vrais incidents. Les seuils, les priorités et les procédures doivent être adaptés au site et à ses enjeux.

Nous avons détaillé cette logique dans notre article sur la supervision et le monitoring d’une infrastructure saine.

Des sauvegardes que l’on sait réellement restaurer

Une sauvegarde n’est utile que si elle couvre le bon périmètre et si sa restauration fonctionne.

Pour un site web, il faut généralement protéger :

• les fichiers applicatifs et médias utiles ;
• la base de données ;
• les configurations nécessaires à la remise en service ;
• les éléments non reproductibles ;
• la documentation de restauration ;
• selon le contexte, certaines clés ou certains secrets dans un dispositif sécurisé distinct.

La fréquence doit être cohérente avec le volume de changements et la valeur du service. Un site vitrine mis à jour chaque mois n’a pas le même besoin qu’une boutique qui enregistre des commandes toute la journée.

Les copies doivent également être isolées de la production, conservées selon une rétention connue, surveillées et testées. Une restauration de contrôle permet de vérifier le contenu, la procédure, les accès et le temps réellement nécessaire pour revenir en ligne.

Le risque d’une mauvaise prise en charge

Les sauvegardes défaillantes présentent souvent les mêmes défauts :

• elles sont stockées sur le même serveur que le site ;
• elles ne couvrent que les fichiers, mais pas la base de données ;
• elles échouent depuis plusieurs semaines sans alerte ;
• leur rétention est trop courte ou inconnue ;
• elles contiennent déjà la compromission que l’on cherche à supprimer ;
• personne n’a les accès ou la procédure pour les restaurer ;
• aucun test n’a jamais vérifié leur intégrité.

Dans ce cas, « nous avons des sauvegardes » devient une hypothèse découverte comme fausse au pire moment.

Une stratégie sérieuse fixe aussi les objectifs de reprise : combien de données peut-on accepter de perdre et combien de temps le service peut-il rester indisponible ? Notre article sur le PRA, le RTO et le RPO approfondit cette différence.

Comprendre le système et les enjeux métier

La maintenance devient réellement efficace lorsque l’exploitant comprend ce qu’il maintient.

Deux sites techniquement proches peuvent avoir des niveaux de criticité très différents. L’un sert de vitrine institutionnelle. L’autre porte des commandes, des réservations ou un espace client indispensable à l’activité. Les priorités de supervision, de sauvegarde et d’intervention ne peuvent pas être identiques.

Un infogérant doit donc connaître :

• l’architecture et les dépendances du site ;
• les périodes sensibles pour l’activité ;
• les parcours qui ne doivent pas être interrompus ;
• les personnes à prévenir ;
• les accès et responsabilités de chaque intervenant ;
• les contraintes de mise à jour ;
• les procédures de restauration et de retour arrière ;
• les limites de capacité de l’infrastructure.

Cette compréhension permet de prendre de meilleures décisions. Une alerte sur un formulaire de contact n’a pas la même priorité qu’une alerte sur un blog interne. Une maintenance acceptable un dimanche soir peut être impossible pendant une campagne commerciale.

Le risque d’une mauvaise prise en charge

Sans connaissance du système, les interventions deviennent ponctuelles et isolées.

Un composant est redémarré sans comprendre sa dépendance à un autre service. Une mise à jour est lancée pendant une période métier critique. Un serveur est dimensionné au ressenti. Plusieurs prestataires disposent d’accès anciens que personne n’ose supprimer.

Le risque principal est alors l’allongement du diagnostic. Chacun connaît sa partie, mais personne ne dispose d’une vue complète. L’incident rebondit entre l’hébergeur, l’agence, l’éditeur d’une extension et le propriétaire du site pendant que le service reste dégradé.

L’infogérance apporte de la valeur quand elle crée cette continuité de connaissance : inventaire, documentation, historique des changements et point de contact responsable de l’exploitation.

Sécurité : protéger toute la chaîne, pas seulement le CMS

La sécurité d’un site ne s’arrête pas à son interface d’administration.

Elle dépend aussi du système, du serveur web, de la base de données, des droits de fichiers, des comptes techniques, du chiffrement, des journaux, des sauvegardes, des dépendances et de la manière dont le service est exposé à Internet.

Une maintenance sérieuse inclut notamment :

• la réduction des comptes et accès inutiles ;
• l’authentification renforcée sur les accès sensibles ;
• la suppression des composants abandonnés ;
• le maintien de versions supportées ;
• le durcissement de l’exposition ;
• l’analyse des comportements inhabituels ;
• la réaction aux vulnérabilités ;
• la préparation d’une procédure en cas de compromission.

L’ANSSI rappelle qu’une attaque contre un site peut viser directement son propriétaire, mais aussi utiliser ce site pour piéger ses visiteurs, ses clients ou ses partenaires.

Le risque d’une mauvaise prise en charge

Un site compromis peut servir à injecter du contenu frauduleux, détourner des formulaires, héberger du phishing, envoyer du spam, dégrader le référencement, voler des comptes ou faciliter un rebond vers d’autres systèmes.

Le risque ne dépend pas uniquement de la taille de l’entreprise. Beaucoup d’attaques recherchent automatiquement des versions vulnérables et des configurations faibles sur Internet.

Un petit site vitrine peut donc être compromis non parce qu’un attaquant a choisi sa marque, mais simplement parce qu’il a trouvé une faille exploitable.

Pour les CMS très répandus, cette discipline est particulièrement importante. Nous l’avons détaillée dans notre article Maintenance WordPress : une obligation en 2026.

Suivi des CVE : transformer l’alerte en action

Une CVE est un identifiant public associé à une vulnérabilité connue. Mais recevoir une alerte ne suffit pas.

Il faut encore :

1. déterminer si le composant est réellement présent ;
2. identifier sa version et sa configuration ;
3. évaluer l’exposition et l’impact métier ;
4. vérifier si un correctif ou une mitigation existe ;
5. préparer et appliquer la remédiation ;
6. contrôler que la version active est bien corrigée ;
7. documenter l’intervention.

Cette veille doit couvrir l’ensemble de la chaîne : application, extensions, bibliothèques, langage, serveur web, base de données, système et composants d’exposition.

Le risque d’une mauvaise prise en charge

Sans inventaire fiable, une équipe reçoit beaucoup d’alertes mais ne sait pas lesquelles la concernent. À l’inverse, une veille limitée au seul CMS peut ignorer une faille critique du système ou d’une dépendance.

Le résultat est soit une fatigue d’alertes sans action, soit une fenêtre d’exposition inutilement longue.

Notre article sur le suivi quotidien des CVE explique pourquoi les vulnérabilités publiques sont suivies à la fois par les défenseurs et par les attaquants.

Le rythme de cette veille devient également plus exigeant à mesure que les outils d’IA accélèrent la découverte, l’analyse et parfois l’exploitation des vulnérabilités. Nous avons analysé ce changement dans L’IA en cybersécurité : remède et accélérateur de crise. Le sujet opérationnel reste le même : disposer des personnes et des procédures capables de qualifier puis de corriger, au lieu d’accumuler les alertes.

Agence web et infogérant : deux expertises complémentaires

Une agence web maîtrise des compétences essentielles à la réussite d’un site :

• stratégie et production de contenu ;
• identité visuelle et design ;
• expérience utilisateur ;
• intégration et développement ;
• référencement naturel ;
• acquisition et conversion ;
• évolutions fonctionnelles.

Certaines agences disposent aussi d’administrateurs système expérimentés, d’une équipe d’exploitation structurée ou d’un partenariat solide avec un hébergeur ou un infogérant. Dans ce cas, elles peuvent proposer un service très complet et cohérent.

Dans d’autres situations, l’administration système est ajoutée à l’offre pour simplifier la vie du client. L’intention est légitime : fournir un interlocuteur unique. Mais elle peut conduire des équipes spécialisées dans la création et la visibilité à endosser des responsabilités d’exploitation qui demandent d’autres outils, d’autres procédures et une disponibilité différente.

Le sujet n’est donc pas de déterminer quel métier serait « meilleur ». Il est de vérifier que chaque responsabilité est portée par une personne compétente, équipée et clairement engagée sur le résultat attendu.

Une collaboration saine peut fonctionner ainsi :

• l’agence conçoit et fait évoluer l’expérience, le contenu et les fonctionnalités ;
• l’infogérant exploite le serveur, la disponibilité, les sauvegardes et la sécurité ;
• les deux partagent la documentation utile et coordonnent les changements ;
• le client sait immédiatement qui contacter selon le type d’incident.

Cette organisation protège aussi le travail de l’agence. Un site disponible, rapide, supervisé et restaurable offre un meilleur socle aux efforts de design, de contenu et de SEO. C’est le prolongement de notre analyse sur le lien entre SEO et infrastructure maîtrisée.

Les risques à clarifier avant de signer une maintenance

Le nom du prestataire compte moins que la précision du service proposé.

Avant de confier la maintenance d’un site, il faut demander :

Sujet	Question à poser	Risque si le périmètre reste flou
Mises à jour	Quels composants sont maintenus, à quelle fréquence et avec quel contrôle ?	Versions obsolètes ou mises à jour cassantes sans retour arrière
Supervision	Quelles sondes existent, qui reçoit les alertes et dans quel délai intervient-on ?	Indisponibilité ou dégradation découverte par les utilisateurs
Sauvegardes	Que couvre la sauvegarde, où est-elle stockée et quand a eu lieu le dernier test de restauration ?	Copies incomplètes, compromises ou impossibles à restaurer
Sécurité	Qui maintient le système, les accès et les composants exposés ?	Angle mort entre la maintenance applicative et l’hébergement
CVE	Comment les alertes sont-elles corrélées avec les versions réellement déployées ?	Vulnérabilité connue laissée ouverte ou alertes jamais qualifiées
Incidents	Qui pilote lorsque plusieurs couches sont impliquées ?	Renvoi de responsabilité et temps de rétablissement allongé
Documentation	Les accès, dépendances, changements et procédures sont-ils tenus à jour ?	Dépendance à une personne et diagnostic plus lent
Réversibilité	Le client conserve-t-il ses accès, ses données et une documentation exploitable ?	Blocage lors d’un changement de prestataire ou d’une urgence

Une réponse précise à ces questions vaut davantage qu’une promesse générale de « maintenance complète ».

Quand confier la maintenance à un infogérant ?

L’intervention d’un infogérant devient particulièrement pertinente lorsque :

• le site porte directement des ventes, des réservations ou des leads ;
• une indisponibilité a un impact métier mesurable ;
• l’hébergement dépasse le simple forfait mutualisé ;
• plusieurs applications ou services dépendent les uns des autres ;
• personne en interne ne porte l’administration système ;
• les sauvegardes et restaurations ne sont pas régulièrement testées ;
• les responsabilités entre agence, hébergeur et client sont floues ;
• le suivi des vulnérabilités repose sur des actions ponctuelles ;
• la croissance du trafic exige un pilotage des performances et de la capacité.

Cela ne signifie pas que tous les sites ont besoin du même niveau de service. Un site vitrine simple et une plateforme e-commerce critique n’ont ni la même architecture, ni les mêmes contraintes, ni les mêmes délais d’intervention.

Le rôle de l’infogérant est justement de partir des enjeux réels pour construire un périmètre cohérent, sans complexité inutile.

Notre approche

Chez Forget About IT, nous abordons un site web comme un service qui doit rester exploitable dans la durée.

Notre travail porte sur les couches souvent invisibles pour l’utilisateur :

• compréhension de l’architecture et des dépendances ;
• supervision de la disponibilité, des performances et des échéances ;
• maintenance régulière et contrôlée ;
• sauvegardes isolées et restaurations vérifiées ;
• durcissement et maîtrise des accès ;
• veille CVE, qualification et remédiation ;
• documentation et suivi des changements ;
• coordination avec l’agence ou l’équipe qui fait évoluer le site.

L’objectif n’est pas de remplacer les compétences de l’agence web. Il est de fournir un socle d’exploitation clair, maintenu et surveillé pour que le travail applicatif, éditorial, graphique et SEO reste disponible.

Conclusion

Confier la maintenance de son site web à un infogérant, c’est attribuer l’exploitation technique à une équipe dont c’est le métier.

Les bénéfices sont concrets :

• des mises à jour régulières et pilotées ;
• une supervision qui détecte les dérives plus tôt ;
• des sauvegardes réellement restaurables ;
• une meilleure compréhension du système et des enjeux métier ;
• une sécurité suivie sur toute la chaîne ;
• une veille CVE transformée en actions ;
• des responsabilités plus claires en cas d’incident.

Une agence web et un infogérant ne répondent pas au même besoin, mais leur collaboration peut produire un service beaucoup plus solide. L’agence fait vivre le site. L’infogérant veille à ce que son socle reste disponible, maintenable et sécurisé.

Si votre site est devenu important pour votre activité et que sa maintenance repose encore sur des responsabilités floues, un pré-audit permet d’identifier les angles morts et de définir un périmètre adapté.

• Découvrir notre offre d’infogérance
• Nous contacter
• Prendre rendez-vous

Sources

• NIST SP 800-40 Rev. 4 - Guide to Enterprise Patch Management Planning
• ANSSI / MesServicesCyber - Sécuriser un site web
• ANSSI / MesServicesCyber - Guide d’hygiène informatique
• CISA - Known Exploited Vulnerabilities Catalog

FAQ : maintenance de site web et infogérance

Que couvre la maintenance d’un site web par un infogérant ?

Elle couvre généralement l’exploitation technique : mises à jour pilotées, supervision de la disponibilité et des performances, sauvegardes testées, sécurité, suivi des CVE, documentation et réaction aux incidents.

Une agence web peut-elle assurer la maintenance d’un site ?

Oui. Certaines agences disposent des compétences système et des procédures adaptées, en interne ou grâce à un partenaire. L’important est de distinguer clairement la maintenance applicative de l’administration du système qui héberge le site.

Pourquoi les mises à jour automatiques ne suffisent-elles pas ?

Une mise à jour peut créer une incompatibilité ou nécessiter une action sur le serveur. Il faut connaître les dépendances, disposer d’une sauvegarde restaurable, prévoir un retour arrière et contrôler les fonctions importantes après intervention.

Que faut-il superviser ?

Au minimum : disponibilité, latence, parcours critiques, nom de domaine, DNS, certificat TLS, erreurs, ressources du serveur et exécution des sauvegardes.

Comment reconnaître une sauvegarde fiable ?

Elle couvre les fichiers, la base de données et les configurations utiles. Elle est isolée de la production, soumise à une rétention connue, surveillée et régulièrement testée par une restauration.

Pourquoi le suivi des CVE fait-il partie de la maintenance ?

Un site dépend de nombreux composants susceptibles d’être vulnérables. Il faut corréler les alertes avec les versions réellement utilisées, prioriser selon l’exposition, appliquer les correctifs ou mitigations et vérifier la remédiation.