Maintenance applicative et hébergement des sites web

Le titulaire assure la maintenance préventive, corrective et évolutive des sites et de leur solution logicielle, comprenant les outils, modules, plugins, fonctionnalités et développements spécifiques. La maintenance préventive et l’assistance technique relèvent du forfait ; les interventions correctives et évolutions sont réalisées sur commande.

La maintenance préventive comprend la vérification du fonctionnement, le suivi de l’exploitation et des tickets lors d’un point bimensuel de 30 minutes, ainsi que la mise à jour de la documentation après correction. Les correctifs de sécurité critiques (CVSS ≥ 7 ou équivalent) sont installés sous 72 heures après publication par l’éditeur ; les correctifs non critiques, sous 15 jours. Les mises à jour sont testées en préproduction avant déploiement.

Sont également prévus les scans automatiques de vulnérabilités avec rapport et recommandations, ainsi qu’un test d’intrusion annuel réalisé par un prestataire certifié ; le rapport et le plan de correction sont transmis sous 15 jours. Le titulaire veille aux certificats SSL/TLS, avec TLS 1.2 ou supérieur, et à la configuration des en-têtes HTTP sécurisés.

L’assistance technique est assurée par téléphone et par voie électronique. En cas d’incident de sécurité critique, une assistance 24 h/24 et 7 j/7, avec numéro d’urgence dédié et rappel maximal de 30 minutes, est requise. Le titulaire fournit un plan de réponse aux incidents dans les 30 jours suivant la signature. En cas d’incident avéré, il isole le système compromis et alerte l’Établissement sous une heure, fournit un diagnostic sous 24 heures, restaure les services sous 4 heures après colmatage et nettoyage des systèmes, puis remet un rapport post-incident sous 7 jours.

La maintenance corrective couvre les anomalies empêchant l’usage normal ou produisant des résultats erronés. Les délais de résolution sont de 4 heures ouvrées pour une anomalie bloquante, 3 jours ouvrés pour une majeure et 9 jours ouvrés pour une mineure. Chaque intervention donne lieu à un compte rendu écrit en français sous 5 jours ouvrés après résolution ; la documentation de référence est mise à jour sans surcoût. Les évolutions comprennent les mises à jour des modules, bases et fichiers de données, paramètres et configurations, les tests, l’installation et la documentation associée. Les demandes spécifiques peuvent inclure développements, interfaces, évolutions de contenus et de gabarits, optimisation SEO/GEO, accessibilité, performances ou transfert de compétences. Elles donnent lieu à des spécifications, un planning, une documentation, une version testable et une version de mise en production.

Hébergement et exploitation

L’architecture cible doit être similaire à l’infrastructure actuelle, en optimisant performances, ressources, coûts et nombre de serveurs, notamment par conteneurs. L’infrastructure actuelle comprend Nginx, PHP 8.2, MariaDB 10.5, Drupal 10.6.17 (migration vers Drupal 11 en cours), Redis, Varnish 7.3, Valkey 8.0 et Solr 8.11. Les ressources actuelles sont de 4,11 CPU, 6 Go de RAM et 240 Go par environnement, avec production, préproduction et développement ; les données d’usage indiquées sont 2,5 To de bande passante mensuelle moyenne, 55 millions de requêtes mensuelles et 500 000 pages vues par mois. Les données, traitements et systèmes d’accès et d’administration sont hébergés dans l’Union européenne, en France de préférence.

La disponibilité attendue est d’au moins 99,95 % par mois entre 7 h et 24 h et 99 % entre 24 h et 7 h. Une astreinte d’urgence est requise 24 h/24 et 7 j/7 ; le délai maximal de rétablissement est de 4 heures, entre 9 h et 19 h, pour une coupure ou un incident bloquant. Les interventions de maintenance sont, dans la mesure du possible, effectuées entre 24 h et 7 h, avec information par courriel une semaine à l’avance. Un module de supervision en temps réel, des alertes, ainsi qu’un accès aux dossiers de fichiers et médias du serveur sont mis à disposition de l’Établissement.

Les exigences de sauvegarde sont précisées à plusieurs endroits du cahier technique : la maintenance préventive prévoit des sauvegardes complètes quotidiennes et incrémentielles, chiffrées et hors ligne, géographiquement distinctes, avec test de restauration au moins semestriel et RTO maximal de 4 heures ; les exigences d’hébergement prévoient au minimum une sauvegarde incrémentielle quotidienne et une complète hebdomadaire, la conservation des 7 dernières images quotidiennes et des 4 dernières hebdomadaires, ainsi qu’une sauvegarde mensuelle dans un datacenter distant en France. Une copie à plat de la base et des fichiers est mise à disposition chaque mois par SFTP. Les sauvegardes sont chiffrées et protégées contre l’altération ou la suppression accidentelle ; un test de restauration est réalisé au moins trimestriellement avec rapport.

Sécurité, conformité et réversibilité

La sécurité comprend notamment WAF et notifications, blocage des tentatives massives de connexion, détection proactive d’anomalies, journalisation exportable, traçabilité des modifications et des tests de sécurité, vérification de compatibilité et rollback automatique en cas d’échec. Les vulnérabilités introduites pendant le développement sont corrigées avant mise en production. Le noyau du CMS n’est pas modifié ; les modules standards stables sont privilégiés et tout module spécifique est soumis à validation et documenté. Les sites doivent rester maintenables par un tiers à partir de la documentation.

Le titulaire remet la documentation technique de la plateforme, l’archive des fichiers et de la base, le rapport d’installation, la liste des modules et composants spécifiques et les préconisations de sauvegarde. En fin de marché ou en cas de résiliation, il restitue les données structurées sans perte, migre les noms de domaine concernés, assure la synchronisation finale et coopère avec le repreneur. Les éléments et données sont restitués au plus tard un mois avant la fin ou la résiliation, tandis que les prestations se poursuivent pendant le transfert.

L’accessibilité est travaillée selon le RGAA, avec optimisation de l’ergonomie, du graphisme, du code et des composants d’interface. Les développements visent également la réduction de l’impact environnemental et l’amélioration des performances front-end, notamment sur mobile.