Contrato de manutenção web: o que deve cobrir em 2026?

Um contrato de manutenção web deve cobrir seis áreas precisas: as atualizações técnicas, as cópias de segurança, a segurança, a monitorização, o suporte com prazos garantidos (SLA) e a reversibilidade no fim do contrato. Qualquer contrato que permaneça vago num destes seis pontos expõe a sua PME a más surpresas: site offline sem recurso, dados perdidos, ou um prestador que retém os seus acessos como reféns.

Julien Daniel, fundador da OptionWeb, relê todos os anos dezenas de contratos de manutenção trazidos por clientes belgas. A constatação é constante: a maioria dos litígios não vem do preço, mas de cláusulas ausentes. Este guia dá-lhe a grelha de leitura completa: o que um contrato deve conter, os prazos a exigir, as armadilhas a identificar e uma checklist a percorrer antes de assinar.

1. O que deve cobrir um contrato de manutenção web em 2026?

Um contrato de manutenção web sério cobre três famílias de serviços: a manutenção preventiva (atualizações, cópias de segurança, vigilância), a manutenção corretiva (reparação de bugs e incidentes) e o suporte (respostas aos seus pedidos, pequenas alterações). Cada família deve ser descrita com entregáveis concretos e uma frequência: «atualização mensal» é um compromisso, «acompanhamento regular» não é.

• Manutenção preventiva — Atualizações do CMS, das extensões e das dependências; cópias de segurança automatizadas e testadas; renovação do certificado SSL; vigilância da disponibilidade e do desempenho.
• Manutenção corretiva — Correção de bugs, reposição online após avaria, desinfeção após um ataque, restauro a partir de cópia de segurança. É aqui que os SLA (prazos garantidos) ganham todo o sentido.
• Suporte e pequenas evoluções — Alterações de conteúdo, adição de uma página, resposta às suas perguntas. O contrato especifica o volume incluído (em horas ou em tickets por mês) e a tarifa para além disso.
• Obrigações transversais — Confidencialidade, conformidade RGPD do subcontratante (artigo 28.º), relatórios periódicos e cláusula de reversibilidade no fim do contrato.

O perímetro exclui em geral a renovação gráfica, os desenvolvimentos de grande dimensão e o SEO. É normal: estes serviços são objeto de orçamentos separados. O que não é normal é um contrato que exclui a reposição online após incidente ou o restauro de uma cópia de segurança: estes dois serviços são o próprio coração da manutenção.

2. Porque é que um site sem manutenção se torna um risco?

Um site sem manutenção torna-se vulnerável em poucos meses, não em poucos anos. Os CMS e as suas extensões publicam correções de segurança continuamente; não as aplicar deixa portas abertas documentadas publicamente, que robôs exploram de forma automatizada.

Os números são teimosos. A Patchstack recenseou mais de 7 000 novas vulnerabilidades no ecossistema WordPress ao longo de 2024, a esmagadora maioria em plugins de terceiros. Segundo os relatórios anuais da Sucuri, cerca de 9 em cada 10 sites pirateados entre os analisados corriam num CMS desatualizado no momento da infeção. E do lado dos visitantes, a Google mediu que 53% dos utilizadores móveis abandonam uma página que demora mais de 3 segundos a carregar: um site que se degrada custa faturação antes mesmo de avariar.

O risco é também jurídico. Um site que recolhe dados (formulário de contacto, newsletter, e-commerce) deve manter-se conforme ao RGPD ao longo do tempo: bibliotecas de cookies atualizadas, menções exatas, subcontratantes documentados. Uma fuga de dados causada por um site sem patches responsabiliza a empresa, não o visitante. Detalhamos esta vertente no nosso guia sobre a conformidade RGPD de um website em 2026.

3. Que cláusulas deve conter um bom contrato?

Oito cláusulas fazem a diferença entre um contrato protetor e um contrato decorativo: perímetro detalhado, SLA quantificados, cópias de segurança com retenção especificada, segurança, propriedade intelectual, reversibilidade, duração e rescisão, e responsabilidade. A tabela abaixo resume porque é que cada uma é crítica e o sinal de alerta que deve fazê-lo reagir.

Uma cláusula bem redigida é verificável: contém um número, uma frequência ou um entregável. «Cópia de segurança diária, retenção de 30 dias, teste de restauro trimestral» é uma cláusula. «Cópias de segurança regulares» é uma frase de brochura.

Propriedade do código e dos acessos: o ponto mais negligenciado

Na Bélgica, como em França, o código de um site está protegido pelo direito de autor: sem cessão escrita, continua a ser propriedade do programador. O contrato de manutenção deve por isso garantir, no mínimo, que detém ou receberá: os acessos de administrador do site, os acessos ao alojamento, a gestão do nome de domínio em seu nome (deve ser o titular registado, não o prestador) e uma cópia utilizável do código e da base de dados. Um prestador que regista o seu domínio em nome próprio cria uma dependência que pagará caro no dia da saída.

4. O que é um SLA e que prazos exigir?

Um SLA (Service Level Agreement, ou acordo de nível de serviço) é o compromisso escrito do prestador sobre dois prazos distintos: o tempo de resposta (quando alguém assume o seu pedido) e o tempo de restabelecimento (quando o problema fica resolvido). Um SLA sério classifica os incidentes por prioridade, porque um site offline e uma gralha não exigem a mesma urgência.

A classificação standard utiliza três níveis de prioridade. P1 designa um incidente bloqueante: site inacessível, ataque informático, pagamento avariado num e-commerce. P2 designa um incidente grave mas contornável: formulário avariado, página importante em erro. P3 cobre os pedidos menores: bug cosmético, pergunta, pequena alteração.

Verifique três detalhes que mudam tudo. Um: os prazos contam em horas úteis ou em horas de calendário? Um SLA P1 «em 8 horas úteis» significa que uma avaria de sexta-feira às 18 h pode esperar até segunda. Dois: o que acontece se o SLA não for cumprido? Sem penalização (nota de crédito, reembolso parcial), um SLA é uma promessa sem consequência. Três: o canal conta: um SLA que só arranca depois de um ticket numa plataforma obscura é mais fraco do que um SLA acionado por e-mail ou telefone.

5. Cópias de segurança, atualizações, monitorização: que garantias mínimas?

As garantias técnicas mínimas de um contrato de manutenção em 2026 são: uma cópia de segurança diária externalizada com 30 dias de retenção, atualizações de segurança aplicadas em 7 dias (24-48 h para as falhas críticas) e uma monitorização de disponibilidade com alerta automático. Abaixo deste patamar, está a pagar um contrato que não o protege.

Cópias de segurança: a regra 3-2-1

Uma cópia de segurança só tem valor se for restaurável. A regra 3-2-1 continua a ser a referência: três cópias dos dados, em dois suportes diferentes, das quais uma fora do servidor de produção. Uma cópia armazenada no mesmo servidor que o site desaparece com ele em caso de avaria de disco ou de ransomware.

• Frequência adaptada à atividade — Diária para um site institucional, várias vezes por dia para um e-commerce onde cada encomenda perdida é um litígio com um cliente.
• Retenção especificada no contrato — 30 dias no mínimo. Um ataque discreto pode ser descoberto semanas após a infeção: é preciso poder recuar até antes.
• Testes de restauro — O contrato deve prever testes periódicos (pelo menos trimestrais). Uma cópia de segurança nunca testada é uma hipótese, não uma garantia.
• Cópia recuperável pelo cliente — Deve poder obter uma cópia utilizável do seu site e dos seus dados mediante simples pedido, sem custos exorbitantes.

Atualizações e segurança: a frequência faz a proteção

O contrato deve distinguir as atualizações de segurança (a aplicar rapidamente, em 24-48 h para uma falha crítica ativamente explorada) das atualizações funcionais (planificáveis). Deve também especificar que cada atualização é seguida de um teste: uma atualização que avaria o site sem que ninguém repare é pior do que nenhuma atualização. Complete com os básicos: certificado SSL renovado automaticamente, firewall aplicacional se o site assenta num CMS, e análise periódica de vulnerabilidades.

Monitorização: quem descobre a avaria, você ou o prestador?

A monitorização de disponibilidade verifica o site em intervalos curtos (1 a 5 minutos) e alerta o prestador automaticamente. É um marcador de seriedade simples de verificar: pergunte quem recebe o alerta e em quanto tempo. Se a resposta for «avise-nos se notar algum problema», a monitorização não existe: a monitorização é você. Um bom contrato inclui também um relatório periódico: disponibilidade registada, atualizações aplicadas, cópias de segurança realizadas, incidentes tratados.

6. Quais são os red flags de um contrato de manutenção com armadilhas?

Os contratos com armadilhas partilham um mecanismo comum: criar uma dependência que torna a saída dispendiosa ou tecnicamente impossível. Os sinais de alerta identificam-se em dez minutos de leitura, desde que saiba onde olhar.

• Domínio registado em nome do prestador — Deixa de possuir o seu próprio endereço web. Em caso de conflito, o prestador pode literalmente desligar a sua presença online.
• Nenhum acesso de administrador fornecido — «Para sua segurança, guardamos os acessos»: fórmula clássica do sequestro técnico. Os seus acessos pertencem-lhe.
• Fidelização longa com renovação automática — 24 ou 36 meses renovados automaticamente com um pré-aviso de 3 a 6 meses: o contrato está desenhado para que falhe a janela de saída.
• SLA ausentes ou sem penalização — «Melhores esforços» em vez de prazos quantificados. Em caso de avaria prolongada, não tem nenhuma alavanca contratual.
• Exclusões que esvaziam o contrato — Ataques excluídos, restauro faturado à parte, incidentes «de origem externa» não cobertos: não sobra nada daquilo por que está a pagar.
• Faturação opaca fora da avença — Nenhuma tarifa horária escrita para o que excede a avença: cada pedido torna-se uma negociação, e a fatura uma surpresa.
• Tecnologia proprietária fechada — Site construído numa ferramenta caseira não exportável: à saída, recomeça do zero. Pergunte sempre o que é recuperável, e em que formato.

Um red flag isolado pode negociar-se: peça a alteração da cláusula antes de assinar. Três red flags ou mais desenham uma estratégia comercial: mude de prestador. O mercado belga oferece alternativas sérias suficientes para não assinar um contrato bloqueado.

7. Como analisar um contrato antes de assinar?

Analise qualquer contrato de manutenção percorrendo uma checklist de dez pontos, por ordem. Cada ponto exige uma resposta escrita no próprio contrato: uma resposta oral, por mais tranquilizadora que seja, não tem nenhum valor no dia do incidente. Conte com 30 minutos de leitura atenta; é o melhor investimento do seu projeto web.

1. Liste o que está incluído: cada serviço tem uma frequência e um entregável verificável (atualização mensal, relatório trimestral, cópia de segurança diária)?
2. Liste o que está excluído: a reposição online após incidente e o restauro de cópia de segurança estão mesmo incluídos? Se os ataques estão excluídos, o que cobre realmente o contrato?
3. Verifique os SLA: tempos de resposta e de restabelecimento quantificados por prioridade (P1/P2/P3), horas úteis ou de calendário, e penalizações em caso de incumprimento.
4. Verifique as cópias de segurança: frequência, retenção (30 dias no mínimo), armazenamento externalizado, testes de restauro e o seu direito a obter uma cópia.
5. Verifique a propriedade: domínio em seu nome, acessos de administrador na sua posse, cessão ou cópia do código, base de dados recuperável.
6. Procure a cláusula de reversibilidade: devolução completa, prazo de execução, custo (gratuito ou valor fixo razoável), formato utilizável.
7. Examine a duração e a saída: fidelização inicial (12 meses no máximo numa primeira colaboração), pré-aviso (1 a 3 meses), condições da renovação automática.
8. Controle a vertente RGPD: o prestador acede aos seus dados, é subcontratante na aceção do artigo 28.º; um acordo de tratamento de dados deve acompanhar o contrato.
9. Clarifique o fora de avença: tarifa horária escrita, orçamento obrigatório acima de um determinado limiar, e destino das horas incluídas não consumidas (transitáveis ou perdidas).
10. Peça uma referência de cliente: cinco minutos ao telefone com um cliente existente dizem mais do que dez páginas de contrato.

Do lado do orçamento, retenha simplesmente que uma manutenção séria para um site de PME se situa na maioria dos casos entre 40 e 150 €/mês consoante o perímetro e a tecnologia, subindo acima disso para um e-commerce. Para os intervalos detalhados por tipo de site e o que devem incluir, consulte o nosso guia sobre o custo da manutenção de um website em 2026: o presente artigo concentra-se no conteúdo do contrato, não no seu preço.

Último conselho de terreno: date e arquive a versão assinada do contrato, os seus anexos e o perímetro. Segundo o Barómetro da Maturidade Digital do SPF Économie belga, mais de 8 em cada 10 PME belgas dispõem de um website; as que atravessam um incidente sem contrato escrito descobrem tarde demais que as promessas comerciais não se defendem em tribunal.

Um contrato de manutenção não é uma formalidade administrativa: é o documento que decide, no dia em que o seu site cai, se volta a estar online em 4 horas ou em 4 dias. Releia o seu com este guia à frente. E se quiser uma segunda opinião, a OptionWeb analisa o seu contrato atual ou entrega-lhe um orçamento de manutenção em 24 h: contact@optionweb.dev ou +32 491 14 01 01, com reunião possível em Charleroi, Namur, Liège, Mons ou Bruxelas.