Le périmètre d'une infogérance : ce qui est inclus, et ce qui ne l'est pas
La question qui revient à chaque incident n'est pas de savoir si le prestataire est compétent, mais si la panne relève de son périmètre. Un contrat d'infogérance se lit donc comme une liste de tâches, avec leur fréquence, leur preuve et leur exclusion. Voici comment repérer les zones floues avant de signer, plutôt qu'au premier disque plein.
Un contrat d'infogérance décrit des tâches, pas une intention
Prendre en charge l'exploitation d'un serveur ne veut rien dire en soi. Une prestation se décrit par des tâches, une fréquence, un responsable et une trace : mise à jour appliquée chaque semaine, sauvegarde vérifiée chaque mois, certificat renouvelé avant expiration, comptes d'administration revus chaque trimestre. Sans cette décomposition, le mot infogérance recouvre des réalités très différentes d'un prestataire à l'autre.
La formulation à surveiller est celle qui engage un résultat sans dire comment il est obtenu, du type le serveur est maintenu en condition opérationnelle. Elle ne dit ni qui applique les correctifs, ni dans quel délai, ni ce qui se passe si un correctif casse une application métier. Un contrat lisible répond à ces trois questions pour chaque tâche, en nommant le déclencheur et la personne qui décide de l'arrêt ou du retour en arrière.
Ce qui est presque toujours inclus
Quatre familles reviennent dans presque toutes les prestations : la surveillance de disponibilité et d'espace disque, l'application des mises à jour du système, les sauvegardes avec une politique de conservation, et la gestion du certificat du site. S'y ajoutent souvent la gestion des comptes d'administration, le filtrage réseau de base et la revue des journaux en cas d'alerte.
Pour chacune, la question utile est celle de la preuve. Une sauvegarde qui existe mais dont la restauration n'a jamais été essayée est une intention, pas une protection. Une supervision qui déclenche une alerte que personne ne lit la nuit ne protège que les heures ouvrées. Le contrat doit donc dire à quoi ressemble le compte rendu, qui le reçoit et à quelle fréquence, sinon la prestation se mesure à la mémoire de ceux qui la rendent.
Ce qui est presque toujours exclu
Le code de l'application, son contenu et son évolution sont en général hors périmètre : l'infogérance maintient la plateforme sur laquelle le site tourne, elle ne corrige pas une faille dans une extension, une requête lente écrite par un développeur ou un thème abandonné. Les postes de travail des salariés, le réseau interne de l'entreprise et les services hébergés ailleurs sortent aussi du champ.
Ces exclusions sont normales, à condition d'être écrites. Le problème n'est pas que le prestataire ne fasse pas tout, c'est que le client croie le contraire. La conséquence pratique est un incident qui dure : une faille dans une extension est signalée, personne ne la corrige, et la discussion porte sur la responsabilité au lieu de porter sur le correctif. Nommer la frontière à l'avance, avec le nom de celui qui intervient de l'autre côté, raccourcit cette discussion de plusieurs jours.
La frontière applicative, là où naissent les litiges
La zone grise la plus fréquente se situe entre le système et l'application. Un prestataire qui applique une mise à jour de bibliothèque peut casser une fonctionnalité métier ; un développeur qui pousse une nouvelle version peut rendre le serveur instable. Le contrat doit dire qui décide, qui teste, et comment on revient en arrière quand le changement a été fait.
La méthode qui fonctionne tient en une phrase : distinguer la correction de sécurité de l'évolution fonctionnelle. La première relève de l'exploitation, avec un délai court et un retour arrière préparé ; la seconde relève de l'éditeur de l'application, avec un cycle de recette. Une clause qui ne fait pas cette distinction laisse chaque partie renvoyer la responsabilité à l'autre, au moment précis où le site est indisponible.
Les données personnelles ajoutent un contrat dans le contrat
Un serveur qui héberge un formulaire de contact, un espace client ou une base d'adhérents traite des données personnelles. Le prestataire devient alors sous-traitant au sens du RGPD, et l'article 28 du règlement impose un contrat ou un acte juridique encadrant le traitement, les instructions du responsable de traitement, la confidentialité, la sécurité et la restitution ou la destruction des données en fin de prestation.
La CNIL publie un guide du sous-traitant et des exemples de clauses pour ce cadre contractuel. Elle rappelle aussi qu'un sous-traitant ne peut réutiliser les données confiées pour son propre compte que si cette réutilisation est compatible avec le traitement initial et si le responsable du traitement l'a autorisé par écrit. Cette phrase a une conséquence concrète : elle interdit de considérer les journaux et les données de production comme une ressource libre pour l'analyse ou le test.
Sécurité : ce qui se contractualise vraiment
Les recommandations publiques de l'ANSSI, notamment son guide d'hygiène informatique et ses recommandations sur l'administration sécurisée des systèmes, décrivent des mesures concrètes : comptes d'administration nominatifs, moindre privilège, journalisation, cloisonnement des accès, mises à jour suivies. Ce sont ces mesures, et non des slogans, qui peuvent entrer dans un contrat d'infogérance.
Chaque mesure doit être associée à une preuve vérifiable. Un accès d'administration nominatif se contrôle par la liste des comptes ; la journalisation se contrôle par l'existence des journaux et leur durée de conservation ; le cloisonnement se contrôle par les règles effectivement appliquées. Sans cette traduction, une clause de sécurité reste déclarative et ne change rien au jour de l'incident.
Lire le périmètre en trois colonnes
La lecture la plus efficace tient sur une feuille divisée en trois colonnes : inclus, exclu, à préciser. On y place chaque tâche citée au contrat, puis on cherche, pour chaque ligne de la première colonne, la fréquence et la preuve. Les lignes qui restent dans la troisième colonne sont les questions à poser avant la signature, et elles sont en général peu nombreuses.
Deux questions complètent cette lecture. Demander un exemple récent d'incident traité, avec ce qui a été fait et par qui, révèle le périmètre réel mieux que la lecture des annexes. Demander ce qui se passe au dernier mois du contrat, quand il faut récupérer les accès, les journaux et la documentation, révèle la partie que presque personne n'a lue : la sortie.