Maintenance corrective, préventive et évolutive de la plateforme Création Africa

Le titulaire reprend et maintient l’ensemble de la plateforme Création Africa, ses environnements et fonctionnalités, regroupant le site principal, la gestion dématérialisée d’appels à candidatures et une brique d’intelligence artificielle. Le périmètre comprend notamment WordPress, le front JavaScript, une application Symfony exposant une API REST et des composants d’IA basés sur Mistral.

Reprise et maintenance courante

La reprise implique un transfert avec les deux prestataires sortants, un état des lieux contradictoire du code, des dépendances, de la sécurité, des sauvegardes, des performances, de l’accessibilité, des extensions et de la documentation, ainsi qu’un plan de reprise et l’inventaire des accès, licences et abonnements à transférer.

Les contrôles préventifs mensuels couvrent notamment :

• les journaux et alertes de sécurité, l’intégrité de la base de données et des fichiers, les vulnérabilités et les versions des composants ;
• les extensions inactives, obsolètes ou non maintenues, les comptes, droits et secrets, les certificats et noms de domaine ;
• les sauvegardes quotidiennes, l’archivage mensuel et un test de restauration au moins chaque trimestre ;
• les licences et abonnements, avec alerte à MansA au moins 60 jours avant échéance, les performances, la consommation des services tiers et la délivrabilité des courriels.

Un rapport mensuel d’intervention décrit constats, actions, anomalies et recommandations. Les mises à jour de sécurité, correctives et mineures sont prises en charge ; les montées de version majeures le sont lorsqu’elles sont nécessaires à cause d’une fin de support ou d’une faille de sécurité. Les correctifs et versions de composants tiers donnent lieu à une information préalable, à une recette en préproduction et à une mise en production planifiée avec MansA et assortie d’un plan de retour arrière.

Incidents, exploitation et sécurité

La maintenance corrective couvre les dysfonctionnements, erreurs logicielles et altérations de données. Pour les incidents imputables à l’hébergeur ou à un service tiers, le titulaire diagnostique, escalade et suit la résolution. Les délais contractuels de prise en compte et de résolution sont de 1 h et 4 h ouvrées pour un incident bloquant, de 4 h et 24 h ouvrées pour un incident majeur, et de 1 jour et 7 jours ouvrés pour un incident mineur. Les heures ouvrées sont de 9 h 30 à 18 h 30, heure de Paris. La résolution peut commencer par un contournement, suivi d’une correction définitive ; les délais sont suspendus dans les cas prévus au CCTP. Le support est ouvert les jours ouvrés ; la disponibilité de la plateforme est supervisée en continu. Aucune astreinte n’est requise.

Le titulaire collecte et met à disposition les journaux applicatifs, d’erreurs, de sécurité, de performance GraphQL et d’envoi d’e-mails, et produit un tableau de bord mensuel comprenant disponibilité, incidents et délais de traitement, jours consommés, vulnérabilités traitées et performances. Il assure la liaison technique avec les hébergeurs Octopuce et Azure pour le compte de MansA ; leurs prestations restent facturées à MansA.

Les mesures de sécurité incluent notamment l’application des recommandations OWASP et de l’ANSSI ; les correctifs applicatifs sous 24 h ouvrées pour les failles critiques ou activement exploitées, sous 5 jours ouvrés pour les failles élevées et lors de la maintenance mensuelle pour les autres ; HTTPS, HSTS, TLS 1.2 minimum et certificats renouvelés automatiquement ; le durcissement des en-têtes CSP ; la protection contre les injections, XSS et CSRF ; la limitation de profondeur et de débit de l’API GraphQL et la désactivation de son introspection en production ; la double authentification des administrateurs, référents pays et opérateurs ; les sauvegardes permettant une restauration de J-1 à J-10, avec perte maximale de 24 h et rétablissement sous 1 jour ouvré. Le titulaire signale par écrit toute intrusion, violation ou corruption dans les 24 h suivant sa découverte, y compris les jours non ouvrés, et par téléphone pour les cas graves.

Les données sont hébergées et traitées dans l’Union européenne, sauf accord écrit de MansA. L’annexe RGPD exige également un hébergement dans un pays adéquat au sens de la Commission européenne et exclut l’accès distant depuis un pays tiers. Le titulaire protège les clés d’API de la brique IA, limite les données transmises aux fournisseurs de modèles et traite le risque d’injection de consignes par des contenus utilisateurs. Les décisions de modération restent humaines.

Évolutions et développements

Les évolutions mineures, incluses à la maintenance, doivent avoir un périmètre circonscrit, ne nécessiter ni conception lourde ni modification d’architecture et rester livrables avec des tests standards de non-régression. Elles font l’objet d’une analyse, de préconisations et d’une fiche de cadrage succincte co-rédigée avec MansA. L’installation d’une nouvelle extension WordPress nécessite son accord préalable.

Deux développements majeurs sont explicitement prévus :

• l’optimisation des moteurs de recherche des rubriques Annuaire, Événements, Appels à projets, Ressources, Projets inspirants et Initiatives lancées, ainsi que de la recherche globale. Le périmètre comprend recherche sur les profils, structures, appels à candidatures, événements, projets et ressources, filtres, tri, pertinence, tolérance aux fautes, français et anglais, et paramétrage administrable des synonymes et mises en avant. Acceptation : réponse en moins d’1 seconde pour 95 % des requêtes, filtres validés au cadrage, résultats dans la langue de l’utilisateur, interfaces conformes au RGAA et documentation d’administration ;
• l’aide à la traduction bidirectionnelle français-anglais des contenus utilisateurs : génération d’une ébauche, relecture et modification par l’auteur, activation ou désactivation explicite avant publication, et présentation du contenu original et traduit aux modérateurs. Le parcours est testé pour chaque type de contenu concerné ; des plafonds de consommation par utilisateur et une alerte en cas de dérive sont prévus, ainsi que des garanties de non-conservation et de non-réutilisation des textes par le fournisseur de traduction et un traitement dans l’Union européenne.

Un développement majeur supplémentaire prévu par commande relie programmes, structures porteuses et profils bénéficiaires. Il comprend l’affichage des bénéficiaires sur la page du programme et des programmes sur le profil du membre. L’affichage public nécessite le consentement explicite du membre et la validation de la déclaration par la structure porteuse ou le référent pays ; le membre peut retirer l’affichage. Le modèle de données et les parcours de déclaration, validation et retrait sont testés.

Après les évolutions et développements, la documentation technique est mise à jour. Des guides ou modes d’emploi écrits et/ou audiovisuels peuvent être fournis aux utilisateurs concernés ; ils doivent être accessibles et compréhensibles par un public non technique. La maintenance de l’IA comprend aussi l’évolution des consignes, le suivi de la qualité des réponses, la journalisation et la migration vers une nouvelle version de modèle lorsque celle utilisée est retirée.

Performance, conformité et pilotage

Les performances sont mesurées sur des pages représentatives définies avec MansA, au 75e centile : LCP ≤3 s sur ordinateur et ≤6 s sur mobile et tablette avec réseau 4G simulé ; INP ≤200 ms et CLS ≤0,1. Le titulaire optimise le poids des pages et le chargement tout en préservant l’expérience utilisateur. La compatibilité couvre les deux dernières versions majeures de Chrome, Edge, Firefox et Safari, Chrome sur Android, Safari sur iOS et tout autre navigateur représentant plus de 2 % du trafic Matomo. Le référencement naturel s’appuie notamment sur Yoast SEO et GraphQL, le sitemap, les balises hreflang, les redirections, les données structurées et le suivi Search Console ; chaque évolution est vérifiée pour prévenir une régression.

Les développements doivent respecter le RGAA 4.1.2 à la date de rédaction, niveau AA (WCAG 2.1 AA), ainsi que les référentiels RGI, RGS et RGPD applicables. Les non-conformités manifestes de l’existant sont signalées lors de la reprise ; leur correction relève d’un devis. En cas de non-conformité d’un livrable contrôlé, la correction est à la charge du titulaire sous 20 jours ouvrés. Le titulaire applique aussi le RGESN en vigueur et les mesures d’écoconception prévues au CCTP.

Le titulaire met en place une équipe aux compétences couvrant gestion de projet, direction technique, WordPress headless, JavaScript, Symfony, UX/UI, DevOps, sécurité applicative, accessibilité numérique et intégration d’API d’IA. Le pilotage comprend un point hebdomadaire en visioconférence de 45 minutes maximum, un comité de pilotage trimestriel en visioconférence, des ateliers de co-conception selon les besoins, et une note de recommandations à chaque comité de pilotage proposant au moins deux améliorations argumentées. La documentation d’administration et d’exploitation est tenue à jour à chaque mise en production ; les équipes de MansA sont formées en visioconférence avec support enregistré. Le suivi des demandes s’effectue dans un outil de ticketing partagé ; si un autre outil que Monday est proposé, le titulaire configure celui-ci, migre l’historique et forme l’équipe de MansA.

Le plan de réversibilité, remis dans les trois mois suivant la notification et tenu à jour, couvre développement, maintenance et hébergement. Il identifie notamment code source et historique, sauvegardes de la base et des médias, configurations, secrets et comptes, documentation, tickets, domaines, certificats, licences, abonnements et paramètres de la brique IA. La transition comprend la coopération avec le successeur, la transmission des éléments utiles et sa formation opérationnelle, tout en maintenant le service.