Maintenance d'un site de mairie sous WordPress : obligations, GTR et budget.

Une commune de 20 000 habitants publie chaque semaine des actualités, des arrêtés, un agenda, des menus de cantine, des offres d'emploi. Ses habitants y font leurs démarches, y inscrivent leurs enfants, y signalent un problème. Quand le site tombe, c'est un guichet qui ferme. Quand il est piraté, ce sont des données d'administrés qui fuient et une image institutionnelle qui s'abîme. La maintenance n'est donc pas une option technique : c'est la condition de la continuité du service public numérique.

Ce guide s'adresse aux directeurs généraux des services, responsables communication et élus qui doivent choisir ou renouveler un prestataire de maintenance pour un site WordPress de collectivité. Il s'appuie sur six ans de maintenance du site de la ville de Lagny-sur-Marne, détaillés dans cette étude de cas.

Pourquoi un site de mairie ne se maintient pas comme un site d'entreprise

Un site d'entreprise qui tombe une nuit perd quelques prospects. Un site de mairie qui tombe un lundi matin bloque des inscriptions à la cantine, une publication d'arrêté, une alerte de coupure d'eau. Les différences sont structurelles :

• La continuité de service est une obligation, pas un confort. Le contrat de maintenance doit donc engager un délai de rétablissement, pas seulement « faire de son mieux ».
• Le site traite des données personnelles d'administrés : formulaires de contact, portail famille, newsletter, signalements. Une fuite engage la responsabilité de la collectivité au titre du RGPD.
• Le site est soumis à l'obligation d'accessibilité numérique (RGAA), avec des sanctions depuis 2024, ce qui conditionne la façon de publier.
• La neutralité et la traçabilité : qui a modifié quoi, quand, et pourquoi, doit pouvoir être retrouvé. Un prestataire qui intervient sans documenter met la collectivité en difficulté le jour d'une passation ou d'un contrôle.
• L'achat est encadré par le code de la commande publique : devis, seuils, mise en concurrence, durée du marché.

Conséquence : une offre de maintenance « grand public » (mises à jour automatiques, support par ticket, aucun engagement de délai) ne répond pas au besoin d'une collectivité, même petite.

Les obligations qui pèsent sur le site d'une collectivité

Trois familles d'obligations encadrent un site public, et la maintenance doit les intégrer plutôt que les découvrir après coup.

Accessibilité numérique (RGAA)

Les sites des collectivités doivent être conformes au Référentiel général d'amélioration de l'accessibilité et publier une déclaration d'accessibilité, avec l'affichage de l'état de conformité dès la page d'accueil, ainsi qu'un schéma pluriannuel et un plan annuel. Depuis le 1er janvier 2024 (ordonnance n° 2023-859), les manquements peuvent être sanctionnés après mise en demeure : jusqu'à 25 000 € pour les obligations déclaratives et 50 000 € pour la non-conformité, renouvelables si le manquement persiste au-delà de six mois. L'Arcom constate les manquements, y compris par collecte automatisée. La maintenance a un rôle direct : chaque mise à jour du thème, chaque nouveau bloc et chaque contenu publié par les agents peut améliorer ou dégrader l'accessibilité.

Données personnelles (RGPD)

Formulaires, inscriptions, newsletter, cookies : le site doit informer les usagers, limiter les données collectées et leur durée de conservation, et les protéger. Côté maintenance, cela se traduit par des formulaires qui ne stockent pas indéfiniment les envois, des comptes d'administration maîtrisés, des sauvegardes sécurisées et une capacité à réagir (et à documenter) en cas d'incident. Le délégué à la protection des données de la collectivité doit pouvoir s'appuyer sur le prestataire.

Mentions et transparence

Mentions légales, politique de confidentialité, gestion des cookies, publication des documents budgétaires et des délibérations : le site doit rester en règle, et la maintenance doit garantir que ces pages et ces documents restent accessibles après chaque mise à jour.

Ce que doit couvrir une maintenance WordPress de collectivité

Le périmètre minimal, tel que je le pratique pour le site de Lagny-sur-Marne :

• Mises à jour du cœur WordPress, des extensions et du thème, planifiées et testées lorsque le changement est sensible, avec sauvegarde préalable et retour arrière possible. Les extensions abandonnées par leur éditeur sont remplacées.
• Montées de version PHP : les versions de PHP ont une durée de vie limitée ; un site sur une version qui ne reçoit plus de correctifs de sécurité est exposé. Chaque montée de version demande d'adapter le code du thème, surtout s'il est sur mesure.
• Sécurité : veille sur les vulnérabilités publiées, durcissement de l'administration, revue des comptes et des rôles, pare-feu applicatif, blocage de l'exécution de PHP dans les dossiers d'envoi, surveillance des modifications de fichiers.
• Sauvegardes des fichiers et de la base, et surtout restauration testée : une sauvegarde jamais restaurée n'est qu'une hypothèse.
• Supervision de la disponibilité et des erreurs, avec alerte, pour détecter un incident avant qu'un administré ne le signale.
• Assistance à la publication pour les agents : aide à la mise en page, intégration de documents, gabarits, conseils d'accessibilité.
• Évolutions : nouvelle rubrique, nouveau formulaire, intégration d'un service en ligne, chiffrées et planifiées.
• Documentation de chaque intervention et un point régulier avec la collectivité.

Ce qui n'en fait pas partie, et doit être nommé pour éviter les malentendus : la rédaction des contenus, la refonte graphique, l'hébergement lui-même (sauf si le prestataire le porte), la production de la déclaration d'accessibilité par un audit RGAA complet (une prestation distincte, que la maintenance prépare et entretient).

GTI, GTR, astreinte : ce qu'il faut écrire dans le contrat

Deux sigles structurent l'engagement d'un prestataire :

• GTI, garantie de temps d'intervention : le délai maximal entre le signalement (ou la détection) d'un incident et le début de l'intervention.
• GTR, garantie de temps de rétablissement : le délai maximal pour remettre le service en état. C'est l'engagement qui compte pour une collectivité.

Pour être utiles, ces garanties doivent préciser :

• La classification des incidents : critique (site inaccessible, piratage, fuite de données), majeur (une fonctionnalité essentielle en panne : formulaire, portail, recherche), mineur (défaut d'affichage, lien cassé).
• Des délais par niveau, en heures ouvrées ou calendaires. Un ordre de grandeur réaliste pour une commune : GTI de 2 à 4 heures ouvrées et GTR de 8 à 24 heures pour un incident critique, GTR de 2 à 5 jours ouvrés pour un incident mineur.
• La plage de couverture : jours et heures ouvrés, avec ou sans astreinte le week-end. L'astreinte 7j/7 existe mais se paie ; la plupart des communes de taille moyenne n'en ont pas besoin si la supervision et les sauvegardes sont solides.
• Le canal de signalement (téléphone, e-mail dédié) et l'interlocuteur.
• Les exclusions : panne de l'hébergeur, incident causé par une modification non autorisée, cas de force majeure.
• Ce qui se passe si le délai n'est pas tenu : pénalités ou avoir, proportionnés.

Un prestataire qui refuse d'écrire une GTR vous dit quelque chose : il n'a pas la supervision, les sauvegardes ou la disponibilité nécessaires pour la tenir.

Les failles les plus fréquentes sur les sites de mairies

Les sites de collectivités que j'audite présentent presque toujours les mêmes faiblesses, et presque jamais les plus spectaculaires :

• Une version de PHP obsolète, parce que le thème sur mesure livré par l'agence d'origine « ne passe pas » sur une version récente et que personne n'a voulu toucher au code.
• Des extensions abandonnées, encore actives, qui ne reçoivent plus de correctifs. Un constructeur de pages ou un slider non mis à jour est une porte ouverte classique.
• Des comptes d'anciens agents, stagiaires ou prestataires toujours actifs avec des droits d'administrateur.
• L'exécution de PHP autorisée dans le dossier des fichiers envoyés, qui transforme un formulaire de dépôt de document en point d'entrée.
• Des sauvegardes qui existent sur le papier, mais stockées sur le même serveur, jamais testées, ou interrompues depuis des mois.
• Un thème sur mesure figé depuis la livraison, avec du code qui ne suit plus l'évolution de WordPress.

Aucune de ces failles ne demande une refonte. Toutes se corrigent dans le cadre d'une maintenance sérieuse. Pour aller plus loin : le guide complet de sécurisation WordPress, et que faire si le site est déjà piraté.

L'assistance à la publication, la partie la plus utilisée

Dans les faits, les services communication sollicitent plus souvent leur prestataire pour une question de publication que pour une panne : un PDF qui ne s'intègre pas, une actualité dont la mise en page se dérègle, une galerie à créer, un bloc d'alerte à afficher en page d'accueil, un nouveau format d'événement. L'assistance à la publication est donc un poste à part entière du contrat, pas une tolérance.

Elle fonctionne bien quand elle combine un interlocuteur joignable (e-mail et téléphone, pas seulement un portail de tickets), des gabarits et blocs réutilisables pour les contenus récurrents, et des conseils de bonnes pratiques : poids et texte alternatif des images, hiérarchie des titres, PDF accessibles. Ces conseils servent à la fois l'accessibilité, le référencement et la lisibilité. Le prestataire qui aide les agents à bien publier réduit mécaniquement le nombre d'incidents.

Reprendre un site créé par une autre agence

La situation la plus courante : le site a été créé il y a cinq ou huit ans par une agence, sur un thème sur mesure, et la relation s'est distendue. Reprendre la maintenance ne suppose aucune refonte, à condition de procéder dans l'ordre :

1. Récupérer les accès : administration WordPress, hébergement, FTP ou SSH, base de données, nom de domaine, services tiers (newsletter, portail famille).
2. Auditer : versions de WordPress, PHP et extensions, état du thème, comptes, sauvegardes, hébergement, performance, accessibilité, journaux d'erreurs.
3. Remettre à niveau : montée de version PHP et adaptation du code, remplacement des extensions abandonnées, nettoyage des comptes, mise en place des sauvegardes et de la supervision.
4. Documenter l'état initial et les interventions, puis passer en maintenance courante avec GTR.

C'est exactement le chemin suivi pour Lagny-sur-Marne : un site WordPress à thème sur mesure, conçu par un autre prestataire, maintenu et sécurisé depuis six ans sans jamais interrompre le service.

Devis ou marché public ? Les seuils en 2026

La maintenance d'un site est une prestation de services soumise au code de la commande publique. Depuis le 1er avril 2026, le seuil de dispense de publicité et de mise en concurrence préalables pour les fournitures et services est relevé de 40 000 à 60 000 € HT (décret n° 2025-1386). En dessous, la collectivité peut contracter sur devis, en veillant à choisir une offre pertinente, à faire bon usage des deniers publics et à ne pas fractionner artificiellement son besoin. Beaucoup de collectivités demandent plusieurs devis par prudence, ce qui est une bonne pratique.

Deux points d'attention :

• Le seuil s'apprécie sur la durée totale du marché, reconductions comprises. Une maintenance à 3 000 € HT par an sur quatre ans reconductibles, c'est un besoin de 12 000 € HT.
• Le besoin s'apprécie par catégorie homogène : la maintenance du site peut être regroupée avec d'autres prestations numériques de même nature. Vérifiez avec votre service des marchés.

Au-delà du seuil, la consultation doit prévoir des documents de consultation mis à disposition gratuitement et des échanges électroniques avec les candidats. Dans les deux cas, demandez au prestataire un devis détaillé par poste, un mémoire technique (méthode, GTR, sécurité, sauvegardes, références) et ses attestations (URSSAF, fiscale, assurance RC professionnelle). Si vous préparez un cahier des charges, ce modèle comporte une partie dédiée aux collectivités.

Combien coûte la maintenance d'un site de mairie ?

Le prix dépend du périmètre (GTR, plage de couverture, volume d'assistance), de la complexité du site (thème sur mesure, services en ligne, multisite) et de l'état de départ. Mes repères, pour un site WordPress :

Un contrat annuel reconductible, avec un préavis raisonnable, convient à la plupart des communes ; il permet d'inscrire la dépense au budget et de garder un interlocuteur stable. Le détail de mon offre est sur la page maintenance WordPress.

Questions fréquentes