Une boutique PrestaShop ne tombe jamais en panne le mardi matin. Elle tombe le vendredi à 18 h 40, pendant une opération commerciale, quand le module de paiement refuse toutes les cartes et que la seule personne qui connaît le serveur est en vacances. À ce moment précis, ce qui décide de la suite n’est ni ton hébergeur ni ta chance : c’est ce que tu as signé, ou pas signé, six mois plus tôt.
Le contrat de maintenance PrestaShop est le document le plus mal lu du e-commerce français. On le compare au prix, on regarde le nombre d’heures incluses, on signe. Et le jour de l’incident, on découvre que la sauvegarde vit sur le même serveur que le site, que « support réactif » n’engage à rien, et que le module développé sur mesure appartient au prestataire.
Ce guide déplie la question ligne par ligne : ce que la maintenance couvre vraiment, ce que le marché facture en 2026, les quatorze clauses qu’un contrat sérieux contient, les neuf pièges qui reviennent le plus souvent, et les douze questions à envoyer à ton prestataire actuel pour savoir en quinze minutes si tu es couvert ou juste facturé.
La réponse courte. Un contrat de maintenance PrestaShop coûte entre 50 et 600 € HT par mois selon le niveau de service, ou 60 à 120 € de l’heure en régie. Il doit contenir au minimum : le périmètre exact (core, modules, thème, serveur), les correctifs de sécurité avec un délai chiffré, des sauvegardes externalisées avec test de restauration, un monitoring du tunnel de commande, un SLA à deux niveaux en heures ouvrées définies, un volant d’heures dont le report est précisé, un rapport mensuel, la liste des exclusions, et la propriété du code avec les conditions de réversibilité.
Sommaire
- Maintenance PrestaShop : de quoi on parle exactement
- Pourquoi 2026 est une mauvaise année pour improviser
- Ce que coûte l’absence de contrat
- Les quatre niveaux de maintenance et leurs prix réels
- Forfait, régie ou ticket : comment trancher
- Les 14 lignes que ton contrat doit contenir
- À quoi ressemble une vraie année de maintenance
- Les 9 clauses qui coûtent cher
- Écrire un SLA qui veut dire quelque chose
- Sauvegardes : la seule question qui compte
- Ce qui n’est jamais inclus, et c’est normal
- PrestaShop, WordPress, WooCommerce : ce qui change
- Audite ton contrat actuel en 15 minutes
- Comment je travaille
- Questions fréquentes
1. Maintenance PrestaShop : de quoi on parle exactement
Le mot recouvre quatre métiers différents, et l’essentiel des malentendus vient de là. Quand ton prestataire dit « maintenance » et que tu entends « on s’occupe de tout », vous parlez rarement de la même chose.
Les quatre familles
La maintenance corrective répare ce qui est cassé : le formulaire de contact qui n’envoie plus rien, la commande qui reste bloquée en attente de paiement, le PDF de facture qui sort vide. C’est la seule que tout le monde a en tête.
La maintenance préventive évite la panne avant qu’elle arrive : appliquer les correctifs de sécurité, surveiller l’espace disque, purger les logs, vérifier que les sauvegardes tournent, tester la restauration. Elle ne se voit jamais, ce qui la rend difficile à vendre et facile à couper. C’est pourtant elle qui fait la différence entre une boutique qui tient cinq ans et une boutique qu’il faut refaire.
La maintenance adaptative suit l’écosystème : PHP change de version, un transporteur modifie son API, la réglementation impose un bouton de rétractation, une plateforme de paiement déprécie sa méthode d’intégration. Personne ne l’a demandée, elle s’impose.
La maintenance évolutive ajoute des fonctionnalités. C’est du développement, pas de la maintenance, même quand on la vend dans le même forfait sous forme d’heures incluses.
Ce que la maintenance n’est pas
Elle n’est pas l’hébergement. Ton hébergeur garantit que la machine tourne, pas que ton PrestaShop est à jour. Un serveur impeccable peut héberger une boutique truffée de failles.
Elle n’est pas l’infogérance système, qui couvre l’OS, PHP, MySQL, les certificats et la supervision serveur. Sur un mutualisé, l’hébergeur s’en charge. Sur un VPS, c’est une ligne à part, et une ligne oubliée.
Elle n’est pas la refonte, ni le marketing, ni le SEO. Un contrat de maintenance qui promet aussi « l’optimisation du référencement » dilue les trois. Vérifie combien d’heures sont réellement fléchées.
Elle n’est pas non plus la migration de version majeure. Passer de 1.7 à 8, ou de 8.2 à 9, se chiffre en jours de recette, pas en heures de forfait. J’ai détaillé la méthode dans mon guide de migration PrestaShop 1.7 vers 9 sans perdre le SEO.
2. Pourquoi 2026 est une mauvaise année pour improviser
Trois chantiers se télescopent cette année, et aucun ne se règle en une soirée.
La branche 8.2 vit en support étendu
Depuis la sortie de PrestaShop 9, la branche 8.2 ne reçoit plus que des correctifs de sécurité et de bugs critiques. Cette phase s’arrête à la sortie de PrestaShop 10 : ce jour-là, 8.2 n’est plus maintenue du tout. Si tu es en 8.2, tu n’as pas un problème immédiat, tu as une échéance. La différence, c’est que l’échéance se prépare et que le problème se subit.
Le rythme réel des correctifs de sécurité
Sur la seule année 2026, la branche 8.2 a reçu plusieurs publications de sécurité. Un aperçu, avec les scores CVSS annoncés par le projet :
| Version | Faille corrigée | Sévérité |
|---|---|---|
| 8.2.4 | Énumération de comptes par temps de réponse sur le login front-office | 5,3 / 10 |
| 8.2.5 | XSS stocké via variables non échappées dans les templates du back-office | 7,7 / 10 |
| 8.2.6 | XSS stocké dans la vue Service client du back-office | 9,3 / 10 |
| 8.2.8 | Injection de formule dans les exports CSV | 8,3 / 10 |
| 8.2.8 | SSRF via les URL d’images à l’import CSV | 8,2 / 10 |
| 8.2.8 | Usurpation d’adresse IP via l’en-tête X-Forwarded-For | 7,3 / 10 |
| 8.2.8 | Injection SQL via les filtres de listes du back-office | 6,5 / 10 |
Regarde la ligne 8.2.6 : un XSS stocké à 9,3 dans la vue Service client, c’est-à-dire une page que ton équipe ouvre tous les jours. Le correctif existe depuis sa publication. La question n’est pas de savoir si PrestaShop fait son travail, il le fait. La question est de savoir qui, chez toi, applique le patch dans les jours qui suivent. Sans contrat, la réponse est presque toujours « personne, on verra ce week-end », et ce week-end n’arrive jamais.
Pour ce qui suit la faille, c’est-à-dire l’injection de code dans le tunnel de paiement, j’ai écrit un guide complet de détection de skimmer sur PrestaShop et un article plus large sur la sécurisation d’une boutique PrestaShop. La surveillance de l’intégrité des fichiers est le complément qui manque à 90 % des contrats.
PrestaShop 9.2 arrive, et il change le tunnel
PrestaShop 9.2 est disponible en production depuis le 30 septembre 2026 (après feature freeze du 9 juillet et un mois de bêta). Elle apporte un One Page Checkout natif, un assistant « Ask AI » en back-office et le système d’Extra Properties pour étendre les entités du core proprement. J’en ai détaillé les conséquences dans mon article sur PrestaShop 9.2, One Page Checkout et Extra Properties.
Pour un contrat de maintenance, ça se traduit simplement : si tu paies aujourd’hui un module de checkout en une page, tu vas devoir arbitrer. Et si tu as fait développer des champs personnalisés à coups d’overrides, tu as une dette à rembourser. Ces arbitrages appartiennent à la maintenance adaptative, celle que personne ne budgète.
La facturation électronique est entrée en vigueur
Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA en France doivent être capables de recevoir des factures électroniques. L’obligation d’émission suit selon la taille de l’entreprise. Pour une boutique, ça veut dire un raccordement à une plateforme agréée, des formats structurés à produire, et un composant supplémentaire dans la chaîne. Tout est détaillé dans mon guide sur la facturation électronique pour PrestaShop et WordPress. Un module de plus, c’est une ligne de plus à maintenir, à tester après chaque montée de version, et à surveiller quand la plateforme change son API.
PHP, et les licences que tout le monde oublie
Les versions de PHP se périment plus vite que les boutiques. Passer une boutique en PHP 8.4 casse régulièrement des modules anciens, comme je l’ai constaté côté WordPress dans mon test de compatibilité PHP 8.4 des plugins. Ajoute à ça les licences annuelles des modules payants, qui expirent en silence : le module continue de tourner, mais tu ne reçois plus ses mises à jour de sécurité. C’est un angle mort classique, que j’ai abordé dans le guide des modules PrestaShop indispensables.
3. Ce que coûte l’absence de contrat
La maintenance se vend mal parce qu’elle s’oppose à un coût invisible. Rendons-le visible.
L’arrêt
Une boutique à 300 000 € de chiffre d’affaires annuel génère en moyenne 822 € par jour. Trois jours d’arrêt, et tu as dépensé l’équivalent d’un an de contrat standard, sans compter les paniers qui ne reviennent pas et les campagnes payantes qui tournent dans le vide pendant l’incident. Le calcul est volontairement simpliste : il ignore la saisonnalité, et un arrêt le 25 novembre coûte plusieurs fois la moyenne.
Le piratage
Le nettoyage d’une boutique compromise se facture généralement entre 1 500 et 4 000 € selon la profondeur de l’infection, et ça n’inclut ni la notification CNIL si des données personnelles ont fuité, ni la reconstruction de la confiance client, ni le déréférencement Google si le site a servi à du spam. Ajoute le risque contractuel avec ton prestataire de paiement, qui peut suspendre ton compte marchand le temps de l’enquête. Un skimmer dans le checkout, c’est-à-dire quelques lignes de JavaScript qui recopient les numéros de carte, tourne parfois pendant des mois sans que rien ne paraisse anormal côté marchand.
La dette de version
C’est le coût le plus sournois. Une boutique maintenue passe de version en version par petits sauts. Une boutique abandonnée trois ans se retrouve en 1.7 sur PHP 7.4, avec quinze modules dont l’éditeur a disparu, et la seule sortie devient une refonte à cinq chiffres. La maintenance ne fait pas économiser de l’argent sur l’année, elle évite le mur.
4. Les quatre niveaux de maintenance et leurs prix réels
J’ai relevé les offres publiques du marché français en septembre 2026. Les prestataires ne s’accordent ni sur le vocabulaire ni sur le périmètre, mais les paliers de prix, eux, se ressemblent.
| Niveau | Prix HT / mois | Contenu typique | Pour qui |
|---|---|---|---|
| Veille | 50 à 120 € | Mises à jour mineures du core et des modules, sauvegarde hebdomadaire, monitoring de disponibilité, support au fil de l’eau | Boutique jusqu’à 100 k€ de CA, catalogue simple, peu de modules |
| Standard | 120 à 300 € | Tout le niveau veille, plus sauvegardes quotidiennes, tests après mise à jour, 1 à 2 h d’intervention incluses, rapport mensuel | Boutique de 100 à 500 k€, une quinzaine de modules, un ou deux transporteurs |
| Avancé | 300 à 600 € | Correctifs sans limite raisonnable, optimisation de performance mensuelle, réponse sous 4 h ouvrées, interlocuteur nommé | Boutique de 500 k€ à 2 M€, ERP connecté, développements spécifiques |
| Critique | 600 € et plus | Astreinte élargie, environnement de recette permanent, feuille de route trimestrielle, SLA contractuel avec engagement | Boutique où une heure d’arrêt se compte en milliers d’euros |
| Régie | 60 à 120 € / h | Tu paies ce qui est fait, rien d’autre | Boutique stable, ou marchand qui a déjà une compétence technique en interne |
Deux remarques sur ces chiffres. D’abord, un freelance spécialisé se situe en général sous le prix d’une agence à périmètre équivalent, parce qu’il n’y a pas de chef de projet à refacturer entre toi et la personne qui corrige. Ensuite, les écarts de prix à niveau annoncé identique s’expliquent presque toujours par une seule variable : les heures incluses. Un contrat à 99 € sans heure incluse et un contrat à 249 € avec quatre heures ne se comparent pas, ils ne vendent pas la même chose.
5. Forfait, régie ou ticket : comment trancher
Le débat revient à chaque renouvellement. Voici comment je le tranche avec mes clients.
Le forfait mensuel a un mérite que la régie n’aura jamais : il finance le travail que personne ne demande. Les correctifs de sécurité, la vérification des sauvegardes, la purge des logs, personne ne t’appelle pour ça. En régie, ces tâches ne sont jamais commandées, donc jamais faites. Le forfait a un défaut symétrique : les mois calmes, tu paies pour rien de visible.
La régie convient si tu as déjà quelqu’un en interne qui suit la boutique, et que tu achètes du renfort ponctuel. Elle devient un piège dès que le prestataire n’est pas engagé sur un délai : le jour de l’incident, tu es un client parmi d’autres, et tu passes après ceux qui ont signé un SLA.
Le ticket à l’unité a sa place pour un besoin isolé et cadré : un bug identifié, un module à installer, une correction de faille précise. C’est exactement ce que couvre mon ticket d’intervention. Ça ne remplace pas un contrat, ça sert de porte d’entrée.
Le seuil de bascule, en pratique : en dessous de 100 000 € de chiffre d’affaires annuel, la régie ou une formule de veille suffit. Entre 100 000 et 500 000 €, le forfait standard devient rentable dès le premier incident évité. Au-dessus, la vraie question n’est plus le prix du contrat mais le délai d’intervention garanti.
6. Les 14 lignes que ton contrat doit contenir
Prends ton contrat actuel et coche. S’il en manque plus de quatre, tu as un devis, pas un contrat.
1. Le périmètre exact
Quelles versions, quels modules, quel thème, quel serveur. Un contrat qui dit « votre site PrestaShop » ne dit rien. Le bon niveau de détail : le core, la liste nominative des modules couverts, le thème avec sa version, et une mention explicite du serveur, inclus ou exclu.
2. Les correctifs de sécurité, avec un délai
« Mises à jour de sécurité appliquées dans les 48 heures suivant la publication d’un correctif critique » est une phrase engageante. « Veille sécurité » n’en est pas une. Demande aussi ce qui se passe quand PrestaShop publie un correctif hors des heures ouvrées, ce qui est arrivé plus d’une fois.
3. Les mises à jour du core et des modules
Avec la distinction entre versions mineures, incluses, et versions majeures, facturées. Et une règle pour les modules tiers dont la licence a expiré : qui prévient, qui paie, sous quel délai.
4. Les sauvegardes, en quatre paramètres
Fréquence, lieu de stockage hors serveur principal, durée de rétention, et délai de restauration garanti. Une sauvegarde sans délai de restauration écrit ne vaut rien : tu ne sais pas si tu récupères ta boutique en deux heures ou en deux jours.
5. Le test de restauration
La ligne que presque personne n’écrit. Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une garantie. Exige un test réel au moins trimestriel, sur un environnement séparé, avec un compte rendu.
6. Le monitoring, et son périmètre
La disponibilité de la page d’accueil ne suffit pas. Un site peut répondre 200 pendant que le tunnel de commande est cassé. Le monitoring utile surveille un parcours d’achat complet, les erreurs 500, l’expiration du certificat SSL et celle du nom de domaine.
7. L’environnement de recette
Où sont testées les mises à jour avant la production ? Si la réponse est « directement en ligne, la nuit », change de prestataire. Un staging à jour, c’est la différence entre une mise à jour et un pari.
8. Le SLA, à deux niveaux minimum
Voir la section suivante, c’est le sujet le plus maltraité de tous.
9. Le volant d’heures et son report
Combien d’heures incluses, ce qui les consomme, ce qui n’est pas décompté (un correctif de bug relève-t-il des heures incluses ou de la garantie ?), et si les heures non consommées se reportent. Le report est rare, mais il se négocie, souvent sur un trimestre glissant.
10. Le rapport mensuel
Lisible par quelqu’un qui n’est pas développeur : ce qui a été fait, la disponibilité du mois, les mises à jour appliquées, l’état des sauvegardes, les points à surveiller. Sans rapport, tu paies un abonnement dont tu ne peux rien dire au bout d’un an.
11. L’interlocuteur, et son suppléant
Qui tu appelles, et qui répond quand cette personne est absente. Le point faible du freelance, il faut le dire honnêtement, c’est la continuité. Un bon contrat freelance prévoit ce qui se passe en cas d’indisponibilité : un confrère identifié, ou un accès documenté que tu peux transmettre.
12. Les exclusions, écrites
Un contrat qui ne dit pas ce qu’il ne couvre pas est un contrat qui te le dira le jour de la facture.
13. La propriété du code et des accès
Tout ce qui est développé pour toi t’appartient, et les accès sont à ton nom, pas à celui du prestataire. Le nom de domaine surtout : vérifie aujourd’hui qui est le titulaire du tien, la surprise est fréquente.
14. La réversibilité
À la fin du contrat, restitution des accès, des sauvegardes et de la documentation sous un délai chiffré. Sans clause de sortie, tu es captif, et le prix du renouvellement s’en ressentira.
Les deux lignes juridiques qu’on oublie
Ton prestataire accède à des données personnelles de clients : il est sous-traitant au sens du RGPD, ce qui impose un contrat de sous-traitance conforme à l’article 28. Et vérifie son attestation de responsabilité civile professionnelle. Ces deux documents prennent cinq minutes à demander, et ils disent beaucoup sur le sérieux d’en face.
7. À quoi ressemble une vraie année de maintenance
Un contrat n’est pas une assurance : il y a du travail dedans, réparti dans le temps. Voilà le rythme réel.
Le quotidien doit être automatisé : sauvegarde de la base et des fichiers, surveillance de la disponibilité et du tunnel, alerte sur les erreurs 500 et sur les modifications de fichiers non prévues. Si quelqu’un fait ça à la main, tu paies un humain pour le travail d’un cron.
Le mensuel est semi-manuel : appliquer les mises à jour de modules après lecture des notes de version, purger les logs et le cache, vérifier les performances, écrire le rapport. Une à deux heures pour une boutique standard.
Le trimestriel est là où se joue la vraie qualité : test de restauration réel, revue des performances mobiles, revue des accès back-office, c’est-à-dire supprimer les comptes des prestataires partis et des salariés qui ne sont plus là. Cette revue-là remonte plus de problèmes que toutes les autres réunies. Pour la partie perf, mon pack performance couvre le chantier quand il devient trop lourd pour un forfait.
L’annuel est stratégique : plan de version, revue des licences de modules, audit de sécurité complet, et un point sur ce que la boutique devra encaisser l’année suivante. C’est le moment où l’on décide de migrer vers PrestaShop 9, pas le jour où la 8.2 cesse d’être maintenue.
8. Les 9 clauses qui coûtent cher
1. « Interventions illimitées »
Toujours suivi de « dans la limite du raisonnable », et le raisonnable, c’est celui du prestataire. Demande le nombre d’heures moyen constaté sur un client comparable, et ce qui se passe au-delà.
2. Les heures qui expirent en silence
Deux heures incluses par mois non reportables, sur une boutique stable, c’est vingt-quatre heures payées et peut-être six consommées. Négocie un report trimestriel, ou baisse le forfait.
3. La sauvegarde sur le même serveur
Très répandu, parce que c’est gratuit. Inutile face à un ransomware, une erreur de manipulation ou une défaillance de l’hébergeur. Exige une copie externalisée.
4. Le SLA en jours ouvrés flous
« Nous nous engageons à traiter votre demande dans les meilleurs délais » n’engage personne. « Sous 48 heures » sans préciser ouvrées ou calendaires te fait perdre le week-end.
5. Le module maison qui te tient
Le prestataire a développé un module de livraison spécifique, il en garde la propriété, et la licence s’éteint à la fin du contrat. Tu ne changes plus de prestataire, tu déménages. Fais écrire la cession des droits dès le devis.
6. L’engagement de 24 mois à tacite reconduction
Acceptable si le prix est bas et le contenu clair. Toxique quand le prestataire ne rend pas de compte : tu paies deux ans un service dont tu ne peux rien vérifier. Douze mois avec préavis de deux mois est un bon équilibre.
7. L’absence de test de restauration
Je le remets ici parce que c’est le piège le plus fréquent et le plus grave. La sauvegarde est planifiée, tout le monde est rassuré, et le jour de la restauration on découvre que le dump de la base est tronqué depuis huit mois.
8. L’hébergement inclus qui n’est pas inclus
Beaucoup de contrats mentionnent la « supervision serveur » sans couvrir l’infogérance. Le jour où PHP doit passer une version majeure, tu découvres que ça n’est dans le périmètre de personne.
9. Le prestataire qui détient le domaine
Ce n’est pas une clause, c’est pire : c’est un oubli. Vérifie le titulaire de ton nom de domaine dans le whois maintenant, avant d’en avoir besoin.
9. Écrire un SLA qui veut dire quelque chose
Un SLA utile tient en quatre éléments : une classification des incidents, un délai de prise en charge, un délai de rétablissement, et une plage horaire.
| Niveau | Exemples | Prise en charge | Contournement ou correctif |
|---|---|---|---|
| P1, bloquant | Site inaccessible, paiement refusé, commandes non enregistrées, faille exploitée | 4 h ouvrées | 8 h ouvrées |
| P2, majeur | Transporteur indisponible, e-mails transactionnels non envoyés, back-office inaccessible | 1 jour ouvré | 3 jours ouvrés |
| P3, mineur | Affichage cassé sur une page, export à corriger, texte à modifier | 3 jours ouvrés | Prochaine fenêtre de maintenance |
Trois précisions à faire figurer. Les heures ouvrées, définies précisément : 9 h – 18 h du lundi au vendredi hors jours fériés, par exemple. Le régime des périodes de pointe : Black Friday, soldes, fêtes de fin d’année, où un SLA standard ne suffit pas et où l’astreinte se facture. Et le canal d’alerte : un incident P1 signalé par e-mail à 19 h ne sera pas vu, il faut un numéro ou un canal dédié.
Sur les pénalités, sois pragmatique. Chez un freelance ou une petite structure, une clause pénale se négocie rarement et elle ne répare rien : ce que tu veux, c’est que le site reparte, pas 200 € d’avoir. Le vrai levier, c’est la clause de sortie sans préavis en cas de manquement répété au SLA.
10. Sauvegardes : la seule question qui compte
Pose-la telle quelle à ton prestataire : « la dernière fois que tu as restauré ma boutique sur un environnement de test, c’était quand, et combien de temps ça a pris ? ». Une réponse hésitante te dit tout.
Le cadre à exiger tient en cinq points. Une sauvegarde quotidienne de la base et des fichiers pour une boutique active, hebdomadaire seulement si le catalogue ne bouge pas. Une copie hors serveur principal, chez un autre fournisseur si possible. Une rétention d’au moins 30 jours, parce qu’une compromission se découvre rarement le jour même. Un délai de restauration écrit, c’est ton RTO. Et un test réel trimestriel, documenté.
Ajoute une exigence que peu de contrats prévoient : la sauvegarde doit être immuable ou au moins inaccessible depuis le serveur du site. Si un attaquant qui prend la main sur ta boutique peut aussi effacer tes sauvegardes, tu n’as pas de sauvegardes, tu as une copie.
11. Ce qui n’est jamais inclus, et c’est normal
Un contrat honnête exclut explicitement une bonne partie des choses. Les licences des modules payants, à renouveler chaque année, restent à ta charge. L’hébergement aussi. Les migrations majeures se chiffrent en projet. Le remplacement d’un module devenu incompatible après une montée de version n’est pas un bug, c’est un achat. La refonte graphique et les nouvelles fonctionnalités sortent du périmètre par définition. Les interventions liées à une manipulation du client ou d’un tiers, également : si quelqu’un installe un module trouvé sur un forum et casse la production, ce n’est pas de la maintenance, c’est du dépannage.
Un prestataire qui n’exclut rien ne s’engage sur rien. La liste d’exclusions est un signe de sérieux, pas de mesquinerie.
12. PrestaShop, WordPress, WooCommerce : ce qui change
Les trois plateformes ne demandent pas le même effort, et les contrats devraient le refléter.
Sur PrestaShop, le risque principal vient des overrides et des modules tiers. Le core est solide, mais chaque montée de version rejoue la question de la compatibilité de vingt modules. La maintenance y est un travail de recette autant que de correction, ce qui explique que les tarifs soient plus élevés que sur WordPress.
Sur WordPress, le volume de mises à jour est plus important mais chacune est plus légère, et l’automatisation couvre davantage de terrain. Le risque se déplace vers les plugins abandonnés et les thèmes premium jamais mis à jour. Détails sur ma page freelance WordPress.
Sur WooCommerce, tu cumules les deux : le rythme WordPress et la complexité e-commerce, avec des mises à jour majeures de WooCommerce qui touchent régulièrement le tunnel. Voir freelance WooCommerce.
Un point commun : sur les trois, le monitoring doit surveiller le parcours d’achat, pas la page d’accueil. Et le suivi de l’indexation compte autant que le suivi technique, sujet que j’ai traité dans le guide Google Search Console pour PrestaShop.
13. Audite ton contrat actuel en 15 minutes
Copie ces douze questions, envoie-les à ton prestataire, et compare les réponses à ce que tu viens de lire. Les réponses évasives sont des réponses.
- Quelle version de PrestaShop tourne actuellement, et quel est le dernier correctif de sécurité appliqué ?
- Mes sauvegardes sont stockées où, avec quelle rétention, et quand as-tu restauré pour de vrai la dernière fois ?
- Combien de temps prend une restauration complète, mesuré, pas estimé ?
- Que surveille exactement le monitoring, et qui reçoit l’alerte à 22 h ?
- Où sont testées les mises à jour avant la production ?
- Quel est le délai de prise en charge d’un incident bloquant, en heures, et sur quelle plage ?
- Combien d’heures ai-je consommées ces six derniers mois ?
- Quels modules ne sont plus maintenus par leur éditeur sur ma boutique ?
- Quelles licences de modules expirent dans les douze prochains mois ?
- Qui est titulaire de mon nom de domaine, et qui détient les accès administrateur ?
- Le code développé pour moi m’appartient-il, et sous quelle licence ?
- Si j’arrête demain, sous quel délai je récupère accès, sauvegardes et documentation ?
Un prestataire sérieux répond aux douze en une heure. S’il faut trois relances, tu connais déjà le comportement que tu auras le jour de l’incident.
14. Comment je travaille
Je suis Arnaud Mérigeau, freelance PrestaShop et WordPress, certifié PrestaShop Experts, basé à Bordeaux, missions partout en France. Plus de quinze ans sur ces socles, et l’essentiel de mon temps passé sur des boutiques que je n’ai pas construites moi-même. C’est utile : je passe autant de temps à lire du code écrit par d’autres qu’à en écrire.
Trois formules, sans engagement de 24 mois.
| Formule | Prix HT / mois | Ce qu’il y a dedans |
|---|---|---|
| Veille | 89 € | Correctifs de sécurité du core sous 48 h, mises à jour mineures, sauvegarde quotidienne externalisée, monitoring de disponibilité et du tunnel, rapport mensuel |
| Sérénité | 219 € | Tout Veille, plus 2 h d’intervention incluses reportables sur le trimestre, mises à jour de modules testées sur staging, test de restauration trimestriel, revue de performance |
| Critique | 449 € | Tout Sérénité, plus 4 h incluses, SLA bloquant sous 4 h ouvrées, astreinte pendant les opérations commerciales, feuille de route trimestrielle |
Ce que je mets systématiquement dans le contrat, et que tu peux exiger de n’importe qui d’autre : sauvegarde hors serveur avec test de restauration réel, correctifs de sécurité sous 48 heures, staging pour toute mise à jour, rapport mensuel lisible, propriété totale du code de ton côté, et réversibilité sous 5 jours ouvrés à la fin du contrat.
Ce que je ne fais pas : promettre de l’illimité, facturer une astreinte 24/7 que je ne pourrais pas tenir seul, ni maintenir une 1.6 indéfiniment sans plan de sortie. Sur ce dernier point, autant le dire tôt : si ta boutique est en 1.6 ou en 1.7 sur un PHP obsolète, la bonne dépense n’est pas un contrat de maintenance, c’est une migration.
Pour démarrer, trois entrées possibles. Un ticket d’intervention si tu as un problème isolé et que tu veux tester la collaboration. Le pack performance si le sujet est la vitesse. Ou directement le formulaire de contact avec l’URL de ta boutique, sa version, et ce qui t’inquiète : je réponds sous 24 h ouvrées avec un premier diagnostic. Tu peux aussi regarder mes réalisations et ma page freelance PrestaShop, ou l’article qui explique quel profil appeler selon le chantier.
Si tu veux vérifier ma méthode avant de me parler, tout est public : ma politique de sécurité pour les thèmes et modules, mon guide de optimisation du back-office et le reste du blog.
15. Questions fréquentes
Combien coûte un contrat de maintenance PrestaShop en 2026 ?
Entre 50 et 120 € HT par mois pour une formule de veille (mises à jour mineures, sauvegardes, monitoring), 120 à 300 € pour un contrat standard avec sauvegardes quotidiennes et une à deux heures d’intervention incluses, 300 à 600 € pour un contrat avancé avec SLA et correctifs illimités. Au-delà de 600 €, on parle d’astreinte et de pilotage continu. En régie, compte 60 à 120 € de l’heure.
La maintenance PrestaShop est-elle obligatoire ?
Aucune loi ne t’oblige à signer un contrat. En revanche, si tu encaisses des paiements par carte, la conformité PCI-DSS impose de corriger les vulnérabilités connues, et le RGPD t’impose de garantir la sécurité des données clients. Une boutique non mise à jour te met en défaut sur les deux, et ton assureur le sait.
Que se passe-t-il si je ne mets jamais à jour PrestaShop ?
Les failles publiées restent ouvertes, et elles sont publiques. En 2026, PrestaShop a corrigé sur la seule branche 8.2 un XSS stocké noté 9,3 sur 10, une injection de formule dans les exports CSV notée 8,3 et une SSRF notée 8,2. Les kits d’exploitation suivent les publications de failles de très près. Le scénario type, c’est le skimmer injecté dans le tunnel de paiement, qui siphonne les numéros de carte pendant des semaines.
Quelle différence entre maintenance, TMA et infogérance ?
La maintenance couvre le maintien en condition opérationnelle de l’application : correctifs, mises à jour, sauvegardes. La TMA (tierce maintenance applicative) ajoute les évolutions fonctionnelles avec un volant d’heures. L’infogérance concerne le serveur : système, PHP, base de données, supervision. Trois périmètres distincts, souvent vendus en bloc sans que personne ne sache qui fait quoi le jour de la panne.
Faut-il un contrat de maintenance pour une petite boutique ?
Si ta boutique fait moins de 30 000 € de chiffre d’affaires annuel, un contrat à 200 € par mois n’a pas de sens. Prends une formule de veille, ou paie à l’intervention. Le seuil de bascule se situe autour de 100 000 € de CA : à ce niveau, une journée d’arrêt coûte déjà plus cher qu’un mois de contrat standard.
Les mises à jour majeures sont-elles incluses dans la maintenance ?
Presque jamais, et c’est normal. Passer de 1.7 à 8, ou de 8.2 à 9.x, c’est un projet : recette des modules, thème à reprendre, plan de redirections, tests de commande. Ça se chiffre à part. Un contrat sérieux inclut en revanche la préparation : inventaire des modules, détection des incompatibilités, calendrier.
Mon hébergeur fait déjà des sauvegardes, ça suffit ?
Non. Les sauvegardes hébergeur vivent souvent sur la même infrastructure que le site, elles sont rarement testées, et leur rétention est courte. Un ransomware ou une suppression accidentelle propagée les emporte avec le reste. Exige une copie hors serveur, une rétention d’au moins 30 jours, et surtout un test de restauration réel au moins une fois par trimestre.
Qu’est-ce qu’un SLA correct pour une boutique PrestaShop ?
Deux niveaux minimum. Incident bloquant, c’est-à-dire site inaccessible ou paiement cassé : prise en charge sous 4 heures ouvrées, correctif ou contournement sous 8 heures. Incident standard : prise en charge sous 24 heures ouvrées. Et surtout des heures ouvrées définies noir sur blanc, avec une règle claire pour le week-end et le Black Friday.
Puis-je changer de prestataire de maintenance facilement ?
Seulement si ton contrat le prévoit. Vérifie trois points avant de signer : la propriété du code développé pour toi, la restitution des accès et des sauvegardes sous un délai chiffré, et l’absence de module propriétaire chiffré qui cesse de fonctionner à la fin du contrat. Sans ces clauses, tu n’as pas un prestataire, tu as un propriétaire.
PrestaShop 8.2 est-il encore maintenu en 2026 ?
Oui, mais en support étendu : la branche 8.2 ne reçoit plus que des correctifs de sécurité et de bugs critiques, et cette période s’arrête à la sortie de PrestaShop 10. Concrètement, tu peux rester en 8.2 encore un moment, à condition d’appliquer chaque patch. Rester en 8.2 sans les appliquer, c’est le pire des deux mondes.
Combien d’heures de maintenance faut-il prévoir par mois ?
Pour une boutique standard avec une vingtaine de modules, compte 1 à 2 heures par mois de travail réel hors incident : mises à jour, vérifications, rapport. Une boutique avec ERP, marketplace et développements spécifiques tourne plutôt entre 4 et 8 heures. Un prestataire qui annonce l’illimité vend en réalité une moyenne, et reprendra la main quand tu dépasseras.
Que faire si ma boutique PrestaShop est piratée maintenant ?
Coupe le tunnel de commande plutôt que le site entier, change tous les mots de passe back-office, FTP et base, fais une copie forensique avant tout nettoyage, puis cherche le point d’entrée avant de restaurer. Restaurer une sauvegarde sans identifier la faille te fait réinstaller le problème. Si tu es dans cette situation, écris-moi avec l’URL.
La facturation électronique change-t-elle mes besoins de maintenance ?
Oui. Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent être en mesure de recevoir des factures électroniques. Pour une boutique, ça veut dire un raccordement à une plateforme agréée, des formats structurés à produire, et un module de plus à maintenir dans la durée.
Maintenance en interne ou externalisée ?
En interne, il te faut quelqu’un qui suive les publications de sécurité PrestaShop, sache lire un log, et soit disponible quand ça casse. Si cette personne existe déjà chez toi, garde la maintenance en interne et achète du renfort ponctuel. Sinon, l’externalisation coûte moins cher qu’un demi-poste, et elle est joignable en août.
Pour finir
Un contrat de maintenance ne se juge pas au prix mensuel. Il se juge à trois choses : ce qui est écrit sur les sauvegardes, ce qui est écrit sur les délais, et ce qui est écrit sur la sortie. Le reste est de la mise en forme.
Si ton contrat actuel ne contient aucune de ces trois choses, tu ne paies pas une maintenance, tu paies une présence. Et le vendredi à 18 h 40, une présence ne répond pas.
Envoie-moi l’URL de ta boutique avec sa version et ton contrat actuel s’il y en a un. Je te dis en vingt minutes si tu es couvert, sur-facturé, ou les deux.