TMA : maintenance applicative / Contrat de maintenance
Maintenance technique : un budget défini
La maintenance technique regroupe une multitude de tâches d'ampleur différentes qui sont nécessaires pour maintenir votre projet au niveau voulu mais sur lesquelles vous n'avez pas de temps à perdre à débattre au quotidien.
Nous dimensionnons ensemble un budget annuel en fonction de votre niveau d'exigences.
Maintenance technique
Ce que couvre la maintenance technique
La maintenance technique regroupe tout ce que nous faisons pour vous en autonomie, sans que vous ayez à le demander : mises à jour, failles publiées, résultats de scan, outillage, tests. Elle se budgétise à l'avance car il s'agit d'un travail de fond qui se réalise toute l'année.
Ces quatre axes se retrouvent dans tous nos contrats. Ce qui change de l'un à l'autre, c'est leur intensité en fonction de vos objectifs.
Ce que vous nous demandez en améliorations relève du budget TMA.
Les montées de version
Le socle applicatif est maintenu dans une zone où l'éditeur publie encore des correctifs. C'est l'axe le plus structurant : hors support, un correctif de sécurité n'existe pas, et aucun délai ne peut donc être tenu.
Les vulnérabilités
Veille sur les failles publiées, qualification de celles qui vous exposent réellement, application du correctif dans le délai convenu. C'est l'axe que vos donneurs d'ordre vous demanderont de documenter.
Le contrôle de l'exposition
Scan de sécurité pour confronter l'application à ce qu'un attaquant verrait d'elle en fonctionnement : un scan externe sans vision du code. Ce que le scan remonte est corrigé en fonction du niveau de sévérité convenu.
Outillage et la maintenabilité
Analyse statique, tests automatisés, intégration continue, environnement de recette, refactoring de code. C'est l'axe le moins visible et celui qui rend les trois autres tenables.
Votre choix
Anticiper, ou attendre que ça se voie : à vous de choisir
Nous adaptons notre investissement technique au niveau que vous souhaitez. Le suivi a un coût, l'absence de suivi aussi : il s'agit de choisir lequel vous préférez payer, et de l'écrire.
Mise à jour des CVE
Une faille publiée sur une dépendance que vous utilisez est un défaut connu. Le rythme de passage fixe combien de temps elle reste ouverte.
Hebdomadaire
Passage chaque semaine, une faille reste ouverte quelques jours au plus.
Bimensuelle
Deux passages par mois, le compromis courant.
Mensuelle
Un passage par mois, pour une application peu exposée.
Scan de sécurité
Un scan externe confronte l'application à ce qu'un attaquant verrait d'elle. Deux réglages : à quelle fréquence, et à partir de quelle sévérité nous corrigeons.
Fréquence
Mensuel
Le scan suit le rythme des livraisons, les écarts se corrigent dans le flux.
Trimestriel
Un point de contrôle par trimestre, écarts traités au point de suivi.
Semestriel
Deux photos par an, le minimum pour une application exposée.
Seuil de correction
Critique seulement
Les failles exploitables à distance sont corrigées, le reste est listé.
Haute et critique
Le réglage courant, celui qu'un donneur d'ordre attend.
Moyenne et au-delà
Défauts de configuration et en-têtes compris, pour une application auditée.
Suivi du monitoring
Erreurs applicatives dans Sentry, pics de charge serveur : le monitoring remonte ce que personne ne signale. Ce qui se choisit, c'est ce que nous en faisons.
Sur sollicitation
Vous nous signalez, nous analysons et vous rendons un diagnostic estimé.
Analyse seulement
Nous analysons dès l'alerte pour vous fournir un prédiagnostic, vous décidez.
Analyse et correction directes
Nous intervenons dès que possible et vous rendons compte.
Mises à jour du socle
Dépendances, outils, versions mineures : un projet en développement actif et un projet en veille n'ont pas besoin du même rythme.
Régulières
Le socle suit les publications, pour des développements actifs qui en profitent immédiatement.
Minimales
Correctifs de sécurité seulement, pour préserver le budget d'un projet sans développement en cours.
Prise en charge
Nos délais d'intervention
Quel que soit le réglage retenu, un incident réel sur le code est pris en charge dans les mêmes délais, pour tout contrat de TMA. Un développeur qui connaît votre projet intervient pour comprendre le problème.
Si la remise en service prime, une mesure de contournement rétablit d'abord l'usage et la correction de fond suit.
4 h ouvrées
Incident critique, prise en charge
24 h ouvrées
Incident majeur, prise en charge
72 h ouvrées
Incident mineur, prise en charge
Délais de prise en charge en heures ouvrées, du lundi au vendredi, de 9 h à 18 h. Pas d'astreinte de nuit ni de week-end.
Périmètre
Où s'arrête notre responsabilité, et où commence la vôtre
Nous assurons la maintenance sur le travail que nous avons réalisé pour vous.
Votre logiciel tourne sur un hébergement, se connecte à des systèmes externes (mailing, paiement, API...) que nous ne maîtrisons pas.
Nous vous accompagnons sur le diagnostic pour cibler la partie en question, mais nous ne pouvons pas nous engager sur le périmètre de prestataires externes.
Ce que couvre le contrat de maintenance
- Le code et ses dépendances : Votre application, ses bibliothèques PHP et JavaScript, son framework, l'outillage du projet et sa chaîne de déploiement. C'est là, et seulement là, que nous engageons des délais.
- Les heures ouvrées : Du lundi au vendredi, de 9 h à 18 h. Nous n'avons pas d'astreinte de nuit ni de week-end, et nous préférons l'écrire que laisser imaginer une surveillance permanente.
- Le test du correctif : À notre charge, par les outils automatisés puis la chaîne recette et production. C'est ce qui rend un délai tenable : appliquer un correctif sans recette échangerait un risque de sécurité contre un risque d'indisponibilité.
Ce qui relève de l'hébergement
- Une ligne budgétaire distincte : L'hébergement se contracte à part du budget de maintenance technique, et cette séparation est volontaire : ce sont deux natures de dépense, l'une dimensionnée sur la charge, l'autre sur le niveau de suivi.
- Le périmètre de l'hébergeur : Système, runtime, services managés et disponibilité de la plateforme relèvent de Clever Cloud. Nous suivons les vulnérabilités de votre code, l'hébergeur celles de sa couche. La frontière est nette, et c'est ce qui la rend utilisable.
- Si votre exigence porte sur cette couche : Vous pouvez souscrire un contrat de support en direct avec Clever Cloud, qui propose ses propres niveaux d'engagement. C'est la bonne réponse, et nous préférons vous y renvoyer plutôt que revendre un périmètre qui ne nous appartient pas.
Ce que nous attendons de vous
- Que les montées majeures soient suivies : Nous vous les proposons, vous décidez du moment. Une application qui sort du support de ses éditeurs perd tout engagement de délai, faute de correctif à appliquer.
- Un interlocuteur qui tranche : Accepter un risque, arbitrer une priorité, valider une recette : ces décisions vous appartiennent. Sans personne pour les prendre, le suivi plafonne quoi que nous fassions.
- Un budget qui couvre le travail : Veille, qualification, mises à jour et entretien de l'outillage se font toute l'année, pas seulement les mois où il se passe quelque chose. C'est ce que finance le budget annuel.
Notre principe
Deux budgets, deux logiques
Un contrat de maintenance répond à deux questions distinctes, et les mélanger produit des devis incomparables entre eux.
Ce que vous risquez dimensionne la maintenance technique. Un outil interne utilisé par cinq personnes, dont une panne se règle par un appel dans le couloir, n'a pas besoin de la même veille qu'un logiciel SaaS ouvert à 45 000 utilisateurs, exposé sur internet, dont chaque heure d'arrêt se compte en tickets et en résiliations. Le premier peut attendre un signalement, le second ne peut pas. C'est la criticité et l'exposition qui fixent l'intensité des quatre axes, pas la taille du code.
Ce que vous développez dimensionne le budget TMA. Corrections et évolutions suivent votre activité, pas votre exposition. L'outil interne à cinq personnes peut avoir un carnet d'évolutions plus fourni que le SaaS, si l'entreprise est en plaine croissance et améliore ses méthodes de travail. C'est une question de rythme et de trésorerie, pas de niveau de service.
Séparer les deux permet de discuter du niveau sans discuter du budget d'évolution, et inversement. C'est aussi ce qui évite l'effet classique : le budget d'évolution absorbe l'entretien jusqu'à ce qu'il n'en reste rien.
Facturation
Un mode de facturation qui s'adapte à vos contraintes
Ce que vous nous confiez en autonomie et ce que vous nous demandez ne se financent pas de la même façon. Trois formules, selon la disponibilité que vous attendez de nous.
Budget annuel de maintenance technique
Ce que nous faisons en autonomie : veille, mises à jour, failles publiées, scans, outillage. Dimensionné une fois par an selon les réglages retenus, consommé au fil de l'eau, révisé à la date anniversaire.
Budget TMA annuel
Ce que vous nous demandez : corrections et évolutions. Un nombre de jours par mois, ou un volume d'heures, suivant vos besoins. C'est ce budget qui vous garantit notre disponibilité : du temps est réservé pour vous, chaque mois.
À la demande, sans engagement
Vous nous sollicitez quand le besoin arrive, nous répondons en fonction de notre charge du moment, sans garantie de délai court. Convient à un logiciel stable dont les demandes sont rares, pas à celui dont l'arrêt coûte.
Rythme de règlement, au choix
En une fois
Le budget ou le pack est réglé à la commande. Une seule ligne dans votre comptabilité.
Budget fixe mensuel
Le montant annuel est lissé sur douze mois, y compris les mois calmes. Une charge prévisible.
Au réel mensuel
Chaque mois est facturé sur ce qui a été consommé. La facture suit l'activité.
Au-delà du contrat
Ce que nous orchestrons, et ce que nous ne faisons pas
Une partie de ce qu'un donneur d'ordre exigera de vous ne relève pas de notre métier. Nous pouvons vous accompagner sur une partie mais certains sujets sortent de notre périmètre de compétence.
Nous cadrons le besoin, travaillons avec votre prestataire et exploitons le résultat dans le plan de maintenance.
Nous l'organisons, sans le réaliser
- Test d'intrusion par un prestataire qualifié PASSI
- Audit par un tiers indépendant
- Accompagnement à une mise en conformité réglementaire
- Assurance cyber et analyse de risque
- Contrat de support en direct avec l'hébergeur
Ces sujets sont des métiers à part entière. Les annoncer au catalogue serait le meilleur moyen de mal les servir.
Nous ne le faisons pas
- Supervision de sécurité 24/7 de type SOC
- Protection des postes de travail et du parc bureautique
- Pare-feu applicatif managé
- Programme de bug bounty
- Conseil juridique, RGPD compris
« Nous collaborons avec l'équipe Smartbooster depuis 3 ans sur un projet stratégique pour notre activité.
Nous avons largement dépassé la relation « client/prestataire », l'équipe Smartbooster nous accompagne au quotidien dans le développement de nos outils digitaux.
Une équipe experte, réactive et à l'écoute… Je recommande évidemment ! »
« La parfaite maitrise de SmartBooster sur les environnements de Clever Cloud leur permet de vous accompagner dans la mise en place de vos infrastructures PHP/Symfony.
Nous recommandons SmartBooster lorsque nos clients ont des problématiques de performance et souhaitent être accompagnés sur ces technologies. »
Pour aller plus loin
Approfondir votre réflexion
Préventive, corrective, adaptative, perfective, additive : ce que recouvre chaque nature de travail, et comment nous qualifions chaque demande.
L'axe qui se contractualise le plus finement : veille, qualification de l'exposition réelle et délais de correction alignés sur votre exigence.
La ligne budgétaire voisine : infrastructure Clever Cloud, monitoring, sauvegardes et chaîne de déploiement continue.
Six versions déclarées, et l'état de support de chacune à la date du jour : le préalable à toute discussion de budget.
FAQ
Les réponses à vos questions
Et si vous ne trouvez pas ce que vous cherchez, nous serons ravis de vous répondre en direct lors d'un rendez-vous entre humains !
Oui. Un incident critique est pris en charge sous 4 heures ouvrées, un majeur sous 24, un mineur sous 72, du lundi au vendredi, de 9 h à 18 h, à condition d'avoir un engagement de maintenance technique. Ce qui varie d'un contrat à l'autre, ce sont les réglages : le rythme de passage sur les CVE, la fréquence du scan et son seuil de correction, ce que nous faisons des alertes du monitoring. Un délai de prise en charge dit quand nous commençons à travailler ; le délai de correction d'une faille, lui, s'écrit dans votre contrat en fonction de votre exposition.
Deux choses distinctes que la plupart des contrats mélangent. Le budget annuel de maintenance technique couvre le travail qui se fait de toute façon, en autonomie : veille, mises à jour, qualification des failles, entretien de l'outillage. Les jours de TMA financent ce que vous demandez : corrections et évolutions. Le premier est stable, le second suit votre activité. Les confondre produit toujours le même effet, le budget d'évolution absorbe l'entretien jusqu'à ce qu'il n'en reste rien.
Nous continuons à travailler normalement tant que votre version reçoit encore des correctifs de sécurité de son éditeur. Une fois sa date de fin de vie passée, plus aucun correctif n'est publié : nous ne sommes plus en mesure de maintenir proprement le logiciel, et nous vous le disons. Repousser la montée peut être une mesure temporaire, pour une entreprise en difficulté qui doit tenir encore quelques mois. Mais si une faille est découverte sur cette version, nous n'aurons rien à appliquer, et nous serons obligés de couper l'hébergement plutôt que de laisser en ligne une application que personne ne peut plus protéger.
Non, et c'est volontaire. L'hébergement se contracte séparément parce qu'il ne suit pas la même logique : il se dimensionne sur la charge de votre application, quand la maintenance technique se dimensionne sur le niveau de suivi que vous voulez tenir. La disponibilité de la plateforme, le système et les services managés relèvent de Clever Cloud. Si vos exigences portent sur cette couche, vous pouvez souscrire un contrat de support en direct avec eux.
Oui, et c'est plutôt souhaitable. Une application qui devient critique, une certification à obtenir, un client plus exigeant : le rythme des CVE, la fréquence du scan ou le suivi du monitoring se révisent, et le budget avec. Nous préférons rouvrir la discussion une fois par an que tenir un réglage qui ne correspond plus à ce que vous vivez. Le mouvement inverse existe aussi, quand une application se stabilise et n'a plus de développement en cours.
Par des preuves produites par le travail lui-même, en plus du reporting mensuel de la TMA. Un rapport de scan repassé au vert avec l'état avant et après, l'état de support du socle à date, la chaîne d'intégration au vert avant chaque mise en production. Nous produisons ce dont vous avez l'usage, à la demande : une heure de démonstration en direct une fois par an vaut mieux qu'un rapport hebdomadaire que personne n'ouvre.
Vous avez un projet ?
Contactez-nous pour savoir comment nous pouvons vous aider.