Contratto di manutenzione sito web: cosa coprire nel 2026?

Un contratto di manutenzione web deve coprire sei ambiti precisi: gli aggiornamenti tecnici, i backup, la sicurezza, il monitoraggio, il supporto con tempi garantiti (SLA) e la reversibilità a fine contratto. Qualsiasi contratto che resti vago su uno di questi sei punti espone la vostra PMI a brutte sorprese: sito offline senza possibilità di ricorso, dati persi o un fornitore che tiene in ostaggio i vostri accessi.

Julien Daniel, fondatore di OptionWeb, rilegge ogni anno decine di contratti di manutenzione portati da clienti belgi. La constatazione è costante: la maggior parte delle controversie non nasce dal prezzo, ma da clausole assenti. Questa guida vi offre la griglia di lettura completa: cosa deve contenere un contratto, i tempi da esigere, le trappole da individuare e una checklist da seguire prima di firmare.

1. Cosa deve coprire un contratto di manutenzione web nel 2026?

Un contratto di manutenzione web serio copre tre famiglie di prestazioni: la manutenzione preventiva (aggiornamenti, backup, sorveglianza), la manutenzione correttiva (riparazione di bug e incidenti) e il supporto (risposte alle vostre richieste, piccole modifiche). Ogni famiglia deve essere descritta con deliverable concreti e una frequenza: «aggiornamento mensile» è un impegno, «supervisione regolare» non lo è.

• Manutenzione preventiva — Aggiornamenti del CMS, delle estensioni e delle dipendenze; backup automatizzati e testati; rinnovo del certificato SSL; monitoraggio della disponibilità e delle prestazioni.
• Manutenzione correttiva — Correzione dei bug, rimessa online dopo un guasto, bonifica dopo un attacco informatico, ripristino da backup. È qui che gli SLA (tempi garantiti) acquistano tutto il loro senso.
• Supporto e piccole evoluzioni — Modifiche ai contenuti, aggiunta di una pagina, risposte alle vostre domande. Il contratto precisa il volume incluso (in ore o ticket al mese) e la tariffa oltre tale soglia.
• Obblighi trasversali — Riservatezza, conformità GDPR del responsabile del trattamento (articolo 28), reportistica periodica e clausola di reversibilità a fine contratto.

Il perimetro esclude in genere il restyling grafico, gli sviluppi importanti e la SEO. È normale: queste prestazioni rientrano in preventivi separati. Ciò che non è normale è un contratto che esclude la rimessa online dopo un incidente o il ripristino da backup: queste due prestazioni sono il cuore stesso della manutenzione.

2. Perché un sito senza manutenzione diventa un rischio?

Un sito senza manutenzione diventa vulnerabile nel giro di pochi mesi, non di anni. I CMS e le loro estensioni pubblicano correttivi di sicurezza in continuazione; non applicarli lascia aperte porte documentate pubblicamente, che i bot sfruttano in modo automatizzato.

I numeri parlano chiaro. Patchstack ha censito oltre 7.000 nuove vulnerabilità nell'ecosistema WordPress nel corso del 2024, la stragrande maggioranza delle quali nei plugin di terze parti. Secondo i rapporti annuali di Sucuri, circa 9 siti compromessi su 10 tra quelli analizzati giravano su un CMS non aggiornato al momento dell'infezione. E sul fronte visitatori, Google ha misurato che il 53% degli utenti mobili abbandona una pagina che impiega più di 3 secondi a caricarsi: un sito che si degrada costa fatturato ancora prima di andare fuori servizio.

Il rischio è anche giuridico. Un sito che raccoglie dati (modulo di contatto, newsletter, e-commerce) deve restare conforme al GDPR nel tempo: librerie per i cookie aggiornate, informative esatte, fornitori documentati. Una violazione dei dati causata da un sito privo di patch chiama in causa la responsabilità dell'azienda, non quella del visitatore. Approfondiamo questo aspetto nella nostra guida sulla conformità GDPR di un sito web nel 2026.

3. Quali clausole deve contenere un buon contratto?

Otto clausole fanno la differenza tra un contratto che protegge e un contratto decorativo: perimetro dettagliato, SLA quantificati, backup con retention precisata, sicurezza, proprietà intellettuale, reversibilità, durata e recesso, e responsabilità. La tabella qui sotto riassume perché ciascuna è critica e il segnale d'allarme che deve farvi reagire.

Una clausola ben scritta è verificabile: contiene un numero, una frequenza o un deliverable. «Backup quotidiano, retention di 30 giorni, test di ripristino trimestrale» è una clausola. «Backup regolari» è una frase da brochure.

Proprietà del codice e degli accessi: il punto più trascurato

In Belgio come in Francia, il codice di un sito è protetto dal diritto d'autore: senza una cessione scritta, resta di proprietà dello sviluppatore. Il contratto di manutenzione deve quindi garantire come minimo che deteniate o riceverete: gli accessi amministratore del sito, gli accessi all'hosting, la gestione del nome di dominio intestato a voi (il titolare registrato dovete essere voi, non il fornitore) e una copia utilizzabile del codice e del database. Un fornitore che registra il vostro dominio a proprio nome crea una dipendenza che pagherete cara il giorno in cui ve ne andrete.

4. Che cos'è uno SLA e quali tempi esigere?

Uno SLA (Service Level Agreement, o accordo sul livello di servizio) è l'impegno scritto del fornitore su due tempi distinti: il tempo di risposta (quando qualcuno prende in carico la vostra richiesta) e il tempo di ripristino (quando il problema è risolto). Uno SLA serio classifica gli incidenti per priorità, perché un sito offline e un refuso non richiedono la stessa urgenza.

La classificazione standard utilizza tre livelli di priorità. P1 indica un incidente bloccante: sito inaccessibile, attacco informatico, pagamenti fuori uso su un e-commerce. P2 indica un incidente grave ma aggirabile: modulo non funzionante, pagina importante in errore. P3 copre le richieste minori: bug estetico, domanda, piccola modifica.

Verificate tre dettagli che cambiano tutto. Uno: i tempi decorrono in ore lavorative o di calendario? Uno SLA P1 «entro 8 ore lavorative» significa che un guasto del venerdì alle 18 può aspettare fino a lunedì. Due: cosa succede se lo SLA non viene rispettato? Senza penali (nota di credito, rimborso parziale), uno SLA è una promessa senza conseguenze. Tre: il canale conta: uno SLA che parte solo dopo l'apertura di un ticket su una piattaforma oscura vale meno di uno SLA attivato via e-mail o telefono.

5. Backup, aggiornamenti, monitoraggio: quali garanzie minime?

Le garanzie tecniche minime di un contratto di manutenzione nel 2026 sono: un backup quotidiano esternalizzato con 30 giorni di retention, aggiornamenti di sicurezza applicati entro 7 giorni (24-48 ore per le falle critiche) e un monitoraggio della disponibilità con allerta automatica. Al di sotto di questa soglia, pagate un contratto che non vi protegge.

Backup: la regola del 3-2-1

Un backup ha valore solo se è ripristinabile. La regola 3-2-1 resta il riferimento: tre copie dei dati, su due supporti diversi, di cui una copia fuori dal server di produzione. Un backup archiviato sullo stesso server del sito scompare insieme a esso in caso di guasto del disco o di ransomware.

• Frequenza adeguata all'attività — Quotidiana per un sito vetrina, più volte al giorno per un e-commerce dove ogni ordine perso è una controversia con un cliente.
• Retention precisata nel contratto — Minimo 30 giorni. Un attacco silenzioso può essere scoperto settimane dopo l'infezione: bisogna poter tornare a prima.
• Test di ripristino — Il contratto deve prevedere test periodici (almeno trimestrali). Un backup mai testato è un'ipotesi, non una garanzia.
• Copia recuperabile dal cliente — Dovete poter ottenere una copia utilizzabile del vostro sito e dei vostri dati su semplice richiesta, senza costi esorbitanti.

Aggiornamenti e sicurezza: la frequenza fa la protezione

Il contratto deve distinguere gli aggiornamenti di sicurezza (da applicare in fretta, entro 24-48 ore per una falla critica attivamente sfruttata) dagli aggiornamenti funzionali (pianificabili). Deve anche precisare che ogni aggiornamento è seguito da un test: un aggiornamento che rompe il sito senza che nessuno se ne accorga è peggio di nessun aggiornamento. Completate con le basi: certificato SSL rinnovato automaticamente, firewall applicativo se il sito gira su un CMS e scansione periodica delle vulnerabilità.

Monitoraggio: chi scopre il guasto, voi o il fornitore?

Il monitoraggio della disponibilità verifica il sito a intervalli brevi (da 1 a 5 minuti) e avvisa automaticamente il fornitore. È un indicatore di serietà semplice da verificare: chiedete chi riceve l'allerta e in quanto tempo. Se la risposta è «avvisateci se notate un problema», il monitoraggio non esiste: il monitoraggio siete voi. Un buon contratto include anche un report periodico: disponibilità rilevata, aggiornamenti applicati, backup effettuati, incidenti gestiti.

6. Quali sono i red flag di un contratto di manutenzione capestro?

I contratti capestro condividono un meccanismo comune: creare una dipendenza che rende l'uscita costosa o tecnicamente impossibile. I segnali d'allarme si individuano in dieci minuti di lettura, a condizione di sapere dove guardare.

• Dominio registrato a nome del fornitore — Non possedete più il vostro stesso indirizzo web. In caso di conflitto, il fornitore può letteralmente spegnere la vostra presenza online.
• Nessun accesso amministratore fornito — «Per la vostra sicurezza, gli accessi li teniamo noi»: formula classica del sequestro tecnico. I vostri accessi appartengono a voi.
• Vincolo lungo con tacito rinnovo — 24 o 36 mesi rinnovati automaticamente con un preavviso di 3-6 mesi: il contratto è concepito perché perdiate la finestra d'uscita.
• SLA assenti o senza penali — «Massimo impegno» al posto di tempi quantificati. In caso di guasto prolungato, non avete alcuna leva contrattuale.
• Esclusioni che svuotano il contratto — Attacchi informatici esclusi, ripristino fatturato a parte, incidenti «di origine esterna» non coperti: non resta nulla di ciò per cui pagate.
• Fatturazione opaca dell'extra-canone — Nessuna tariffa oraria scritta per ciò che supera il canone: ogni richiesta diventa una trattativa, e la fattura una sorpresa.
• Tecnologia proprietaria chiusa — Sito costruito su uno strumento interno non esportabile: quando ve ne andate, ripartite da zero. Chiedete sempre cosa è recuperabile, e in quale formato.

Un red flag isolato si può negoziare: chiedete la modifica della clausola prima della firma. Tre o più red flag delineano una strategia commerciale: cambiate fornitore. Il mercato belga offre abbastanza alternative serie da non dover firmare un contratto blindato.

7. Come analizzare un contratto prima di firmare?

Analizzate ogni contratto di manutenzione seguendo una checklist in dieci punti, nell'ordine. Ogni punto richiede una risposta scritta nel contratto stesso: una risposta orale, per quanto rassicurante, non ha alcun valore il giorno dell'incidente. Mettete in conto 30 minuti di lettura attenta; è il miglior investimento del vostro progetto web.

1. Elencate ciò che è incluso: ogni prestazione ha una frequenza e un deliverable verificabile (aggiornamento mensile, report trimestrale, backup quotidiano)?
2. Elencate ciò che è escluso: la rimessa online dopo un incidente e il ripristino da backup sono davvero inclusi? Se gli attacchi informatici sono esclusi, cosa copre realmente il contratto?
3. Verificate gli SLA: tempi di risposta e di ripristino quantificati per priorità (P1/P2/P3), ore lavorative o di calendario, e penali in caso di sforamento.
4. Verificate i backup: frequenza, retention (minimo 30 giorni), archiviazione esternalizzata, test di ripristino e il vostro diritto a ottenerne una copia.
5. Verificate la proprietà: dominio intestato a voi, accessi amministratore in vostro possesso, cessione o copia del codice, database recuperabile.
6. Cercate la clausola di reversibilità: restituzione completa, tempi di esecuzione, costo (gratuito o forfait ragionevole), formato utilizzabile.
7. Esaminate durata e uscita: vincolo iniziale (massimo 12 mesi alla prima collaborazione), preavviso (1-3 mesi), modalità del tacito rinnovo.
8. Controllate il capitolo GDPR: il fornitore accede ai vostri dati, quindi è responsabile del trattamento ai sensi dell'articolo 28; un accordo sul trattamento dei dati deve accompagnare il contratto.
9. Chiarite l'extra-canone: tariffa oraria scritta, preventivo obbligatorio oltre una certa soglia e destino delle ore incluse non consumate (riportabili o perse).
10. Chiedete una referenza: cinque minuti al telefono con un cliente esistente dicono più di dieci pagine di contratto.

Sul fronte budget, tenete semplicemente presente che una manutenzione seria per il sito di una PMI si colloca nella maggior parte dei casi tra 40 e 150 €/mese a seconda del perimetro e della tecnologia, con un e-commerce che sale oltre. Per le fasce dettagliate per tipo di sito e ciò che devono includere, consultate la nostra guida sul costo della manutenzione di un sito web nel 2026: questo articolo si concentra sul contenuto del contratto, non sul suo prezzo.

Ultimo consiglio pratico: datate e archiviate la versione firmata del contratto, i suoi allegati e il perimetro. Secondo il Barometro della maturità digitale dello SPF Économie (il ministero federale belga dell'Economia), più di 8 PMI belghe su 10 dispongono di un sito web; quelle che attraversano un incidente senza contratto scritto scoprono troppo tardi che le promesse commerciali non si possono far valere in giudizio.

Un contratto di manutenzione non è una formalità amministrativa: è il documento che decide, il giorno in cui il vostro sito va giù, se tornerete online in 4 ore o in 4 giorni. Rileggete il vostro con questa guida sotto gli occhi. E se volete un secondo parere, OptionWeb analizza il vostro contratto attuale o vi consegna un preventivo di manutenzione entro 24 ore: contact@optionweb.dev o +32 491 14 01 01, con possibilità di incontro a Charleroi, Namur, Liège, Mons o Bruxelles.