Contrat de maintenance PrestaShop : le guide pour ne pas signer n'importe quoi

Sommaire

• À quoi ça sert : un contrat de maintenance PrestaShop protège votre boutique contre les failles de sécurité, les pannes et les pertes de revenus liées à un bug non traité.
• Ce qu’il doit inclure : mises à jour (core + modules), sauvegardes avec délai de restauration garanti, monitoring, SLA chiffré et heures d’intervention définies.
• Ce qu’il faut éviter : les contrats sans SLA écrit, sans délai de restauration garanti, sans liste d’exclusions claire : et ceux qui ne précisent pas à qui appartient le code produit.

---

Pourquoi un contrat de maintenance PrestaShop est indispensable

Beaucoup de marchands signent un contrat de maintenance “pour avoir quelqu’un à appeler”. C’est une erreur de cadrage. Un bon contrat, c’est avant tout un filet de sécurité structuré : pas un numéro de téléphone.

Voici pourquoi c’est non-négociable.

Sécurité : les failles qui coûtent cher

PrestaShop est open source. Ses failles sont publiques, référencées sous forme de CVE (Common Vulnerabilities and Exposures, c’est-à-dire des identifiants publics de failles de sécurité), et accessibles à n’importe qui : y compris aux pirates.

En 2024-2025, plusieurs vulnérabilités critiques ont été activement exploitées. La CVE-2024-34716 (XSS via le formulaire de contact) permettait d’exécuter du code malveillant dès qu’un administrateur ouvrait un fichier piégé. La CVE-2024-36680, une injection SQL via un module tiers, a conduit à la compromission de plus de 5 000 boutiques, revendues ensuite sur le dark web.

Le vrai problème, ce ne sont pas les failles du core PrestaShop. Ce sont les modules tiers : souvent développés sans audit de sécurité, parfois abandonnés par leur éditeur : qui multiplient les points d’entrée. En 2025, une nouvelle faille critique (CVE-2025-51586) permettait encore de contourner l’authentification administrative.

Sans suivi régulier, votre boutique accumule silencieusement des vulnérabilités connues. Et les scripts d’attaque automatisés les trouvent avant vous.

Performance : ce qui ralentit une boutique sans suivi

Une boutique non maintenue se dégrade progressivement. C’est rarement spectaculaire : c’est justement le problème.

Un module obsolète qui alourdit les requêtes SQL. Un cache mal configuré après une mise à jour partielle. Des images non optimisées qui s’accumulent. Résultat : le temps de chargement augmente, le taux de conversion baisse, le SEO décroche.

Sans monitoring actif, vous ne le voyez pas venir. Vous le constatez six mois plus tard en regardant vos stats Analytics.

Continuité : quand un bug bloque les commandes

Le scénario le plus coûteux, c’est le bug silencieux sur le tunnel de commande. Le client arrive, ajoute au panier, clique sur “payer” : et rien ne se passe. Ou pire : la commande est créée côté back-office, mais le paiement ne passe pas.

Sans contrat avec un SLA défini, vous attendez. Vous envoyez un email. Vous relancez. Et pendant ce temps, vous perdez des ventes.

---

Ce qu’un bon contrat doit obligatoirement couvrir

Voici ce que je vérifie systématiquement avant de valider un contrat : qu’il soit le mien ou celui d’un confrère.

Mises à jour (core, modules, thème)

Le contrat doit préciser quelles mises à jour sont incluses : core PrestaShop, modules natifs, modules tiers, thème.

Ce n’est pas la même chose. Mettre à jour le core sans vérifier la compatibilité des modules peut casser la boutique. Mettre à jour un module de paiement sans tester le tunnel de commande, c’est risqué.

Un bon contrat distingue :

• Mises à jour mineures / patches de sécurité : appliquées rapidement, souvent incluses dans le forfait.
• Mises à jour majeures (ex. passage de PrestaShop 8 à 9, sorti en juin 2025) : ces migrations sont des projets à part entière, avec audit préalable, environnement de pré-production, et tests complets. Elles ne sont généralement pas incluses dans un forfait mensuel standard : voir mon guide dédié à la migration PrestaShop 1.7 vers 8 pour comprendre l’ampleur de ce type de chantier.

Point de vigilance : vérifiez que le contrat précise si les mises à jour de modules tiers payants sont incluses : et qui prend en charge le coût des nouvelles licences si nécessaire.

Sauvegardes : fréquence et restauration

La clause que je vois le plus souvent manquer dans les contrats d’agence : le délai de restauration garanti après incident. Sans ça, “sauvegarde incluse” ne veut rien dire.

Un contrat sérieux précise :

• La fréquence des sauvegardes (quotidienne minimum pour une boutique active)
• Le lieu de stockage (distant, hors serveur principal)
• La durée de rétention (7 jours minimum, 30 jours idéalement)
• Le délai de restauration garanti en cas d’incident (4h ? 24h ? 48h ?)

Sans délai contractualisé, la sauvegarde existe peut-être : mais elle ne vous protège pas vraiment.

Surveillance et monitoring

Le monitoring, c’est ce qui transforme une maintenance réactive en maintenance proactive.

Un contrat solide inclut :

• Surveillance de disponibilité (alerte si le site tombe)
• Monitoring des performances (temps de chargement, erreurs serveur)
• Veille sécurité (nouvelles CVE affectant votre version de PrestaShop et vos modules)

Temps de réponse garanti (SLA)

Le SLA (Service Level Agreement) transforme une promesse verbale en obligation contractuelle mesurable. C’est la colonne vertébrale du contrat.

Un SLA bien rédigé distingue au minimum deux niveaux :

Niveau	Définition	Délai de réponse
Critique	Boutique inaccessible, tunnel de paiement bloqué	1h à 4h
Standard	Bug fonctionnel non bloquant, question technique	24h à 48h

Sans SLA écrit, “réactivité” ne veut rien dire juridiquement. J’ai vu des contrats promettre une “intervention rapide” sans aucun chiffre. C’est inutilisable en cas de litige.

Heures d’intervention incluses

Combien d’heures de développement sont comprises dans le forfait mensuel ? Pour quoi faire exactement ?

Un contrat clair précise :

• Le volume d’heures incluses par mois
• Ce qui est considéré comme intervention incluse (corrections de bugs, mises à jour) vs. hors forfait (nouvelles fonctionnalités, refonte graphique)
• Le report des heures non consommées (ou non)

---

Les 3 types de contrats : lequel choisir ?

Il n’y a pas de modèle universel. Tout dépend de votre volume d’activité, de la stabilité de votre boutique et de votre besoin en développement.

Forfait mensuel (heures incluses)

Le plus courant pour les PME/TPE actives. Vous payez un montant fixe chaque mois en échange d’un volume d’heures et d’un ensemble de prestations définies (mises à jour, monitoring, sauvegardes, support).

• Visibilité budgétaire totale
• Relation continue avec le prestataire
• Heures non utilisées souvent perdues
• Peut être surdimensionné pour une boutique peu évolutive

Contrat annuel à prix fixe

Variante du forfait mensuel, avec engagement sur 12 mois en échange d’un tarif réduit. Pertinent si votre boutique est stable et que vous avez une bonne visibilité sur vos besoins.

• Tarif négocié plus avantageux
• Engagement du prestataire sur la durée
• Moins de flexibilité si vos besoins évoluent
• Résiliation souvent coûteuse

Régie (heures à la demande)

Vous achetez un stock d’heures, utilisables quand vous en avez besoin. Pas d’engagement mensuel.

• Flexibilité maximale
• Adapté aux boutiques très stables ou aux petits budgets
• Aucune garantie de réactivité (le prestataire n’est pas “en veille” pour vous)
• Pas de monitoring proactif inclus par défaut
• Coût à l’heure souvent plus élevé qu’en forfait

---

Ce que j’inclus dans mes contrats de maintenance

Je ne vais pas publier une grille tarifaire ici : ce n’est pas l’objet. Mais je peux être transparent sur ce que je considère comme le minimum non-négociable dans chaque contrat que je propose.

Mises à jour de sécurité appliquées dans les 48h après publication d’une CVE critique.

Sauvegardes quotidiennes stockées hors serveur, avec délai de restauration garanti écrit noir sur blanc.

Monitoring de disponibilité 24/7 avec alerte immédiate.

SLA écrit avec deux niveaux (critique / standard) et des délais chiffrés.

Rapport mensuel synthétique : actions réalisées, état de la boutique, recommandations.

Propriété du code : tout développement réalisé dans le cadre du contrat vous appartient. Toujours.

Je travaille en tant que freelance maintenance PrestaShop: ce qui signifie un interlocuteur unique, une connaissance fine de votre boutique, et une réactivité que les structures plus grandes ont du mal à garantir.

---

Les 5 clauses à vérifier avant de signer

Prenez le contrat. Cherchez ces 5 points. S’ils sont absents ou flous, demandez des précisions avant de signer.

1. Les exclusions

Tout contrat a des exclusions. Ce qui compte, c’est qu’elles soient listées explicitement. Les plus fréquentes : modules développés par des tiers, hébergement, interventions suite à une manipulation du client. Si les exclusions ne sont pas listées, tout litige sera interprété en faveur du prestataire.

2. Les délais d’intervention

On l’a vu : sans SLA chiffré, “réactivité” ne signifie rien. Vérifiez que le contrat distingue au moins deux niveaux d’urgence avec des délais précis.

3. La propriété du code

Qui possède le code développé pendant la durée du contrat ? Si le contrat ne le précise pas, c’est souvent le prestataire qui conserve les droits : ce qui peut bloquer votre transition vers un autre prestataire. Exigez une clause claire : le code produit dans le cadre du contrat vous appartient.

4. Les conditions de résiliation

Quelle est la durée de préavis ? Y a-t-il des pénalités ? Que se passe-t-il avec les accès (FTP, back-office, hébergement) à la fin du contrat ? Un bon contrat prévoit une période de transition et la restitution de tous les accès dans un délai défini.

5. L’hébergement : inclus ou non ?

Certains contrats incluent l’hébergement, d’autres non. Si l’hébergement est inclus, vérifiez : qui est propriétaire du serveur ? Que se passe-t-il si vous résiliez le contrat de maintenance : perdez-vous aussi l’hébergement ? Pouvez-vous migrer votre boutique librement ?

---

Freelance ou agence pour sa maintenance PrestaShop ?

C’est la question que j’entends le plus souvent. Et j’ai un avis tranché : pas parce que je suis freelance, mais parce que j’ai vu les deux fonctionner (et dysfonctionner) de près.

Réactivité et interlocuteur unique

Avec un freelance, vous avez une seule personne qui connaît votre boutique de fond en comble : son historique, ses modules, ses particularités, ses fragilités. Pas besoin de réexpliquer le contexte à chaque incident.

Avec une agence, vous avez souvent un chef de projet qui transmet à un développeur qui n’a jamais touché votre boutique. En situation de crise : un bug bloquant un vendredi soir : cette chaîne de communication coûte du temps. Du temps = des ventes perdues.

Tarifs et flexibilité

Les agences ont des structures de coûts plus lourdes. Ça se répercute sur les tarifs. Un freelance spécialisé PrestaShop peut offrir un niveau d’expertise équivalent : souvent supérieur sur votre stack spécifique : à un coût plus compétitif.

La flexibilité est aussi un avantage réel : un freelance peut ajuster le périmètre du contrat plus facilement qu’une agence qui a des process rigides.

Mon avis tranché

Pour une boutique PrestaShop de taille PME/TPE, un freelance spécialisé est presque toujours le meilleur choix. Pas par chauvinisme : par logique opérationnelle.

Je pense sincèrement qu’une agence ne peut pas offrir la même réactivité qu’un freelance dédié sur un incident critique : et j’en ai la preuve chaque semaine.

La relation directe change tout en situation d’urgence. Quand votre tunnel de paiement tombe un samedi matin, vous voulez joindre quelqu’un qui connaît votre boutique et peut intervenir dans l’heure : pas ouvrir un ticket dans un extranet et attendre le lundi.

Ce que j’observe systématiquement : les marchands qui ont eu une mauvaise expérience avec une agence reviennent souvent vers un freelance pour exactement cette raison. La réactivité et la connaissance du projet.

Cela dit, une agence peut avoir du sens si vous avez des besoins très larges (développement, marketing, design) et préférez un interlocuteur unique pour tout. Dans ce cas, vérifiez que la maintenance est gérée par un développeur PrestaShop dédié : pas externalisée à un généraliste.

---

Mon avis d’expert

Quelle est la pire situation que tu aies vue sur une boutique sans contrat de maintenance ?

La pire situation, c’est une boutique en difficulté avec une absence totale de réactivité du prestataire et des engagements non tenus. Le marchand pense être couvert, mais personne ne répond vraiment, les problèmes s’accumulent, la fiabilité se dégrade et chaque relance devient une source de stress. C’est exactement ce qu’un contrat clair doit éviter.

Comment tu gères concrètement une alerte CVE critique un week-end ?

Sur un contrat de maintenance cadré, je suis joignable par WhatsApp ou SMS en cas d’urgence réelle. Si une CVE critique concerne la boutique, je vérifie rapidement l’exposition, les modules concernés et la priorité d’action, puis j’interviens ou je sécurise temporairement dans la foulée.

Qu’est-ce qui te fait refuser de signer un contrat de maintenance avec un client ?

Je refuse si le périmètre n’est pas parfaitement clair pour les deux parties. Un contrat de maintenance doit éviter les frustrations, pas en créer : les attentes, les délais, les exclusions, les accès et les responsabilités doivent être expliqués librement et validés avant de commencer.

---

FAQ