Maintenance, assistance et évolutions de sites Drupal

À l’issue de cette phase, le titulaire remet :

• un Document d’architecture technique (DAT) sous 10 jours ouvrés, décrivant les schémas, composants, environnements, flux, protocoles, ports, bibliothèques et modules tiers avec leurs versions ;
• un rapport de constats et préconisations d’évolutions sous 10 jours ouvrés.

Maintenance corrective et préventive

La maintenance corrective traite les anomalies, dysfonctionnements, incidents et non-conformités signalés. Chaque intervention comprend la définition du périmètre corrigé, la livraison et le déploiement du correctif en accord avec la CAPBP, ainsi que la garantie de continuité et de non-régression.

La maintenance préventive comprend la veille sur les obsolescences et vulnérabilités, les mises à jour de sécurité du cœur Drupal, des modules, thèmes et bibliothèques, les mises à jour mineures de Drupal et les mises à jour des dépendances PHP, MariaDB et Composer. Les délais de déploiement sont de 5 jours ouvrés pour une CVE > 8, 15 jours ouvrés pour une CVE ≤ 8 et 30 jours ouvrés pour les autres mises à jour mineures.

La sécurité applicative et le maintien en condition de sécurité sont permanents et forfaitaires : veille CERT-FR, Drupal Security Team et CVE, application des correctifs, conformité OWASP Top 10 et CCSC, et signalement immédiat des vulnérabilités. Les composants et dépendances doivent rester supportés et à jour.

Maintenance évolutive

Chaque demande fait l’objet d’une étude budgétaire au BPU et d’un planning validé. Le périmètre comprend notamment :

• les mises à jour majeures de Drupal, du cœur, des templates, modules et dépendances ;
• l’intégration de fonctionnalités nouvelles et les adaptations réglementaires ;
• les modifications d’architecture destinées à améliorer performances, stabilité et maintenabilité ;
• les évolutions orientées vers la clarté de l’information, l’accessibilité, l’éco-responsabilité et l’expérience utilisateur.

La mise en place du multilingue doit permettre la publication en occitan et l’ajout ultérieur d’autres langues sans refonte technique. Elle comprend l’activation et la configuration de la langue, un sélecteur adaptable, la traductibilité des contenus éditoriaux et actualités, l’adaptation des modules spécifiques, la compatibilité du moteur de recherche, du fil d’Ariane, des blocs et du sitemap, ainsi que les tests et corrections avant production. L’administration reste en français, les événements de l’agenda sont exclus et les traductions sont fournies par un tiers.

Support, déploiement et responsabilités

Un portail en ligne doit permettre la création et le suivi horodaté des tickets, la gestion des anomalies, demandes d’évolution et demandes d’assistance, un tableau de bord et l’identification de l’intervenant. Aucun ticket ne peut être clôturé sans accord du groupement et sa réouverture doit être possible. Un courriel dédié est prévu en cas d’indisponibilité du portail. Les demandes des sites de l’usine à sites transitent par les équipes de la CAPBP.

Les développements sont réalisés sur l’infrastructure du titulaire puis livrés sur les environnements CAPBP. GitLab et les pipelines CI/CD organisent les branches de préproduction et de production ; le titulaire déploie de manière autonome en préproduction, puis en production après validation et accord sur la date et l’heure. La CAPBP conserve la responsabilité de l’hébergement, des serveurs, de l’infrastructure, des bases de données, des sauvegardes, des accès et des outils CI/CD.

Les interventions distantes passent exclusivement par les bastions sécurisés des bénéficiaires. Le titulaire fournit ses adresses IP fixes et un compte nominatif par intervenant ; une revue trimestrielle des habilitations est prévue.

Accessibilité, qualité et développement

Les sites et évolutions doivent respecter le RGAA, le RGI, l’OWASP Top 10, l’OPQUAST, le RGPD et les exigences CCSC. Les audits de sécurité peuvent inclure scans de vulnérabilités, audits de code et tests d’intrusion ; les résultats doivent être pris en compte sans restriction. Les non-conformités réglementaires sont corrigées sans surcoût.

Le PHP suit les recommandations PSR et PHPDoc ; le HTML et le CSS doivent être validables par les outils W3C. Aucune modification directe du cœur Drupal ou des modules communautaires n’est admise ; les surcharges utilisent les mécanismes prévus et des modules dédiés. Les bibliothèques et modules externes nécessitent l’accord de la CAPBP et ne doivent pas être modifiés.

L’application adopte une approche mobile first et doit fonctionner sur les versions récentes d’Edge, Chrome, Firefox et Safari sous Windows, macOS, Android et iOS, sur smartphone et tablette. Des tests de bon fonctionnement sont réalisés avant production et documentés sous 10 jours ouvrés ; en cas de non-conformité, la mise en conformité et un nouveau rapport interviennent sous 5 jours ouvrés.

Livrables, formation et contrôles

Le titulaire remet les comptes rendus de COPIL et COSUI sous 5 jours ouvrés, les supports de formation sous 5 jours ouvrés après chaque session, les supports d’évolution ou de correction sous 5 jours ouvrés et maintient le DAT à jour, avec mise à jour sous 5 jours ouvrés après toute intervention impactant l’architecture.

La formation du personnel utilisateur est comprise. Les développements évolutifs sont garantis 1 an à compter de la décision d’admission. Les vérifications comprennent, pour les développements, une mise en ordre de marche sous 30 jours, une vérification d’aptitude sur 30 jours et une vérification de service régulier sur 30 jours ; le service est régulier si les indisponibilités imputables ne dépassent pas 2 % de la durée d’utilisation effective.