Sécurité et maintenance : les clauses à exiger dans votre contrat d'agence web

L'information disponible se limite à l'intitulé d'une communication institutionnelle consacrée au renforcement de la cybersécurité des établissements de santé. Nous n'en tirons aucun chiffre ni aucun constat particulier. Ce que ce thème rappelle utilement à une entreprise ordinaire, c'est que la sécurité informatique relève d'un dispositif organisé et non d'une bonne volonté implicite du prestataire.

Dans la relation entre une entreprise et son agence web, la sécurité est souvent une zone grise. Le site est livré, il fonctionne, et personne ne s'interroge sur ce qui se passe ensuite : qui applique les mises à jour du système de gestion de contenu, qui surveille les extensions, qui vérifie que les sauvegardes existent réellement et qu'elles peuvent être restaurées. Ces tâches ne sont pas incluses par défaut dans une prestation de création.

Le premier point à contractualiser est donc le périmètre de la maintenance. Distinguez la maintenance corrective, qui répare ce qui casse, la maintenance évolutive, qui ajoute des fonctions, et la maintenance de sécurité, qui applique les correctifs. Faites préciser la fréquence des mises à jour, le délai maximal d'application d'un correctif critique et ce qui se passe si une mise à jour casse une fonctionnalité existante.

Le deuxième point concerne les sauvegardes. Une clause utile indique la fréquence des sauvegardes, leur durée de conservation, leur localisation, et surtout l'existence d'un test de restauration périodique. Une sauvegarde jamais testée n'est pas une sauvegarde, c'est une hypothèse. Demandez que la dernière restauration testée soit mentionnée dans le compte rendu de maintenance.

Le troisième point est le délai d'intervention en cas d'incident. Un engagement de service écrit doit préciser les horaires de disponibilité, le canal de signalement, le délai de prise en charge et le délai de rétablissement visé, en distinguant les niveaux de gravité. À défaut, vous découvrirez le fonctionnement réel du support un vendredi soir, au pire moment.

Le quatrième point touche aux données personnelles. Dès que votre site collecte des données de clients ou de prospects, votre prestataire agit généralement comme sous-traitant au sens de la réglementation, ce qui suppose un contrat encadrant ce traitement. Demandez où sont hébergées les données, qui y a accès chez le prestataire, et comment vous seriez informé en cas de violation de données.

Le cinquième point est la maîtrise de vos accès. Le nom de domaine, l'hébergement et les comptes d'administration doivent être détenus par votre entreprise, avec des comptes nominatifs pour les intervenants externes et une procédure de retrait des accès au départ d'une personne. Cette hygiène élémentaire évite deux situations classiques : le prestataire injoignable qui détient votre domaine, et l'ancien collaborateur dont l'accès n'a jamais été supprimé.

Enfin, prévoyez la sortie. Une clause de réversibilité doit organiser la restitution du code, des contenus, des bases de données et des accès dans un format exploitable, dans un délai défini et à un coût connu à l'avance. Négociée à la signature, elle est presque toujours acceptée ; demandée au moment d'une rupture, elle devient un rapport de force.