Maintenance et évolution d’applications web

Le marché couvre trois applications : le site institutionnel AMF, AMF Protect Épargne et le site Nouveaux investisseurs. Il prévoit leur maintien en condition opérationnelle, l’hébergement des environnements concernés ainsi que des prestations complémentaires de conception, de réalisation et de support.

Le site institutionnel s’adresse aux professionnels et aux épargnants. Il comprend notamment la publication de contenus avec workflow, la recherche, des formulaires, des abonnements, des arbres de décision, quiz et sondages, des simulateurs, de la datavisualisation et une visionneuse de jurisprudence. Il est soumis aux référentiels RGI, RGS et RGAA ; le CCTP indique une conformité RGAA à 95 %. Son environnement technique mentionne Apache, PHP, MariaDB, Solr, Apache Tika, Redis et Varnish. La gestion des utilisateurs de la visionneuse est distincte de la base de données du site ; une solution d’emailing SaaS est utilisée pour les formulaires et notifications de workflow.

AMF Protect Épargne est un site responsive sous Drupal. Ses fonctionnalités comprennent la vérification d’interlocuteurs autorisés, un arbre de décision sur les arnaques, des listes d’acteurs autorisés et non autorisés, des notifications par courriel et des formulaires gérés dans Typeform. Le site Nouveaux investisseurs est une page statique HTML, non gérée sous Drupal, servant de page d’atterrissage pour les campagnes destinées aux jeunes ; il est hébergé sur les mêmes serveurs, avec un domaine distinct.

Maintien en condition opérationnelle

Le MCO comprend la maintenance corrective, adaptative, préventive et évolutive : correction des incidents et anomalies, mises à niveau des composants hors rupture technologique majeure, prévention des pannes et vulnérabilités, et évolutions fonctionnelles ou techniques selon la capacité disponible. Les activités sont organisées en centre de services, avec pilotage, suivi des SLA, gestion des environnements de développement et d’intégration, documentation, support et amélioration continue. La méthode Kanban est retenue pour le flux MCO.

Le forfait nominal comporte cinq tranches, calibrées à 40, 50, 60, 70 ou 80 jours-homme pour une période de MCO de six mois ; une seule tranche peut être commandée par année. Les prestations d’optimisation sont décidées conjointement, dans la limite de 30 % de la capacité nominale. La maintenance évolutive mineure peut être incluse au forfait nominal jusqu’à 6 jours de développement « purs ».

Hébergement, sécurité et continuité

L’offre couvre l’hébergement en cloud public des fronts et back-offices, ainsi que la gestion, la supervision, l’administration, le déploiement et le MCO des environnements de recette et de production, la connexion internet et la mesure des niveaux de service. Des unités d’œuvre distinctes concernent la mise en place des environnements et l’hébergement/MCO des environnements de recette et de production.

Les exigences comprennent le traitement des vulnérabilités, le durcissement des configurations, les audits, la revue des droits, le raccordement au SIEM/SOC et la définition et le test d’un plan de continuité. Pour le MCO, les délais de prise en charge, de contournement et de correction définitive dépendent de la criticité : pour un incident bloquant, 4 heures ouvrées, 1 jour ouvré et 2 jours ouvrés ; pour un incident critique ou majeur, 1, 3 et 5 jours ouvrés ; pour un incident mineur, 5 jours ouvrés pour la prise en charge et 10 jours ouvrés pour la correction définitive, sans délai de contournement prévu. Pour les incidents de sécurité, les délais indiqués sont de 2 heures de prise en charge et 6 heures de correction pour un incident bloquant, 1 jour et 3 jours pour un incident critique ou majeur, et 3 jours et 5 jours pour un incident mineur.

Prestations complémentaires et livrables

Les prestations hors MCO peuvent être commandées sous forme d’unités d’œuvre standards ou en mode agile Scrum. Les prestations standards couvrent notamment le pilotage, la conception fonctionnelle et technique, le développement et les tests, le support de VSR, l’expertise, l’assistance, le déploiement et la préparation de la mise en production. Les livrables comprennent, selon la prestation, spécifications, études d’impact, dossiers d’architecture, sources et packages, plans et rapports de tests, documentation d’installation et d’exploitation, mises à jour du backlog, rapports d’intervention et plans de bascule.

En mode Scrum, le titulaire contribue au cadrage, au backlog et au plan de release, réalise les développements, tests et recettes, participe aux rituels et met à jour la documentation. Chaque sprint intègre la recette, une revue et une rétrospective. L’incrément doit respecter la définition du « DONE » de l’AMF : maintenable, exploitable et utilisable. Le code source et les livrables documentaires de référence sont remis à l’AMF.

L’initialisation du centre de services, si le titulaire retenu diffère de l’ancien, comprend notamment la mise en place des environnements, outils et solution d’hébergement, l’organisation de l’équipe, les plans qualité, sécurité et réversibilité, la convention de service et le backlog initial. En cas de réversibilité commandée, le titulaire maintient le service pendant le transfert, accompagne la reprise et remet les sources, données, outils et documentations nécessaires ; le transfert comporte notamment une phase de fonctionnement à blanc.