Site internet en paiement unique ou en abonnement : ce qui expire en 2026 et 2027, et qui le surveille

Le jour de la mise en ligne, tout le monde a la même impression : le site est fini. Il a été payé, il s'affiche bien, les premiers clients le trouvent sur Google. C'est souvent là qu'une question revient, un peu tard : choisir un site internet en paiement unique ou en abonnement, est-ce que ça changeait vraiment quelque chose, puisque tout fonctionne ?

La réponse tient en deux phrases. Un site payé une fois peut tout à fait tourner plusieurs années sans le moindre incident. Mais il repose sur des éléments qui ont une date de péremption, la plupart se renouvellent tout seuls grâce à des automatismes, et le vrai risque apparaît le jour où l'un de ces automatismes cesse de fonctionner sur un site que plus personne ne regarde.

Vous ne trouverez aucun tarif dans cet article. Nous avons préféré rassembler les échéances datées et vérifiables qui concernent un site vitrine en 2026 et 2027, avec leurs sources, ce qu'elles changent concrètement pour une petite entreprise, et la question à poser à n'importe quel prestataire avant de signer (y compris à nous).

Un nom de domaine (votre-entreprise.fr) ne s'achète pas, il se loue. On le réserve pour une durée donnée, souvent un an, parfois plusieurs, et il faut le renouveler à chaque échéance. Chez la plupart des registrars (les sociétés qui vendent les noms de domaine), ce renouvellement est automatique : une carte bancaire est enregistrée, le prélèvement passe, personne n'y pense.

C'est justement là que les choses se grippent. La carte enregistrée a expiré entre-temps. Les avis de renouvellement partent vers l'adresse mail d'un ancien salarié, ou vers celle du prestataire qui a créé le site trois ans plus tôt. Le jour où le nom n'est pas renouvelé, le site disparaît, et avec lui les adresses mail en @votre-entreprise.fr, qui cessent de recevoir des messages parce qu'elles dépendent du même nom.

Il existe en général un délai de grâce après l'expiration, pendant lequel le titulaire peut encore récupérer son nom. Sa durée varie selon l'extension (.fr, .com…) et selon le registrar, et passé ce délai, le nom peut être remis en vente et racheté par n'importe qui. La deuxième question à se poser, celle qui fâche le plus souvent, est de savoir à quel nom le domaine est enregistré : le vôtre ou celui de la personne qui vous l'a réservé. Nous l'avons détaillée dans notre article sur le webmaster qui ne répond plus, nous n'y revenons pas ici.

Le petit cadenas affiché à côté de l'adresse de votre site signifie que la connexion est chiffrée. Il repose sur un certificat (on parle aussi de certificat SSL), un fichier délivré par une autorité de certification et installé sur le serveur. Ce certificat a une durée de vie maximale, et c'est cette durée qui est en train de fondre.

En avril 2025, le CA/Browser Forum, l'instance qui réunit les autorités de certification et les éditeurs de navigateurs (Apple, Google, Microsoft, Mozilla), a adopté le vote SC-081v3. Il fixe un calendrier de réduction progressive de la durée maximale des certificats, qui était jusque-là de 398 jours :

• Depuis le 15 mars 2026 : 200 jours maximum pour tout nouveau certificat ;

• À partir du 15 mars 2027 : 100 jours ;

• À partir du 15 mars 2029 : 47 jours.

Dit comme ça, on pourrait croire à une catastrophe annoncée. Ce n'en est pas une pour la majorité des sites. Chez la plupart des hébergeurs, le renouvellement des certificats est automatisé depuis des années, souvent avec Let's Encrypt, une autorité gratuite dont les certificats durent par défaut 90 jours (et bientôt moins). Pour ces sites, le changement de mars 2026 n'a strictement rien changé de visible.

Deux catégories de sites sont réellement concernées. D'abord ceux dont le certificat a été acheté et installé à la main, par exemple avec une offre annuelle : un geste qu'on faisait une fois par an doit désormais se faire deux fois par an, puis environ tous les trois mois à partir du 15 mars 2027. Ensuite, et surtout, ceux dont l'automatisme s'est cassé sans que personne ne le remarque. Cela arrive plus souvent qu'on ne le pense : le nom de domaine a été transféré chez un autre registrar, quelqu'un a modifié un réglage DNS pour configurer une messagerie, le site a déménagé d'un serveur à l'autre, ou le compte d'hébergement a été suspendu pour une facture impayée.

Quand un certificat expire, les navigateurs affichent un avertissement en pleine page qui explique au visiteur que la connexion n'est pas sécurisée. Très peu de gens passent outre, et c'est plutôt une bonne chose. Avec des durées plus courtes, un automatisme cassé se transforme simplement plus vite en panne visible. Ce n'est grave que si personne ne surveille : un outil de supervision, même basique, prévient plusieurs semaines avant l'échéance.

PHP est le langage de programmation qui fait tourner une grande partie des sites vitrines : WordPress, Joomla, PrestaShop et beaucoup de sites développés sur mesure par des freelances. Comme tout logiciel, chaque version de PHP est maintenue pendant une durée connue à l'avance, puis abandonnée.

Le calendrier officiel publié sur php.net ne laisse aucune place au doute : la version 8.2 ne reçoit plus de correctifs de sécurité après le 31 décembre 2026. La version 8.3 suivra le même chemin le 31 décembre 2027. Quant aux versions plus anciennes (8.1 et antérieures), elles ne sont déjà plus corrigées du tout par l'équipe de PHP. Certains hébergeurs et certaines distributions Linux maintiennent eux-mêmes d'anciennes versions, mais c'est à vérifier au cas par cas, jamais à supposer.

Concrètement, rien ne se passe le 1er janvier. Le site continue de s'afficher normalement. Ce qui change, c'est que les failles découvertes après cette date dans PHP 8.2 ne seront plus corrigées par ses développeurs. Le site vieillit en silence et devient, mois après mois, une cible un peu plus facile.

La plupart des hébergeurs réagissent en invitant leurs clients à passer à une version plus récente, parfois en imposant la bascule à une date donnée, parfois en proposant un support prolongé payant. Pour un site entretenu, la montée de version est en général une formalité. Pour un site livré il y a trois ans et jamais retouché, c'est souvent là que les ennuis commencent : un vieux thème ou une extension n'est pas compatible avec la nouvelle version, et la page d'accueil s'affiche blanche, ou le formulaire de contact cesse de fonctionner.

Pour savoir où en est votre site, l'espace client de l'hébergeur indique presque toujours la version de PHP utilisée. Si la version affichée est 8.2 ou plus ancienne, ne changez pas ce réglage vous-même dans la foulée. Le sélecteur est souvent à portée de clic, mais une bascule sans sauvegarde ni test préalable est la cause la plus fréquente de la page blanche décrite plus haut. Demandez d'abord à votre prestataire ou à votre hébergeur si votre version bénéficie d'un support prolongé, et faites faire une sauvegarde complète avant toute montée de version. Votre site ne tourne pas sous PHP ? La question reste la même sous un autre nom : chaque technologie a son propre calendrier de fin de support.

Un site construit avec un CMS comme WordPress repose rarement sur le seul CMS. On y ajoute des extensions (on dit aussi plugins) pour le formulaire de contact, le diaporama de la page d'accueil, le référencement, la gestion des cookies, parfois un thème premium vendu avec une licence annuelle.

Le cœur de WordPress est suivi avec beaucoup de sérieux, et ses mises à jour de sécurité sortent régulièrement. Les extensions, elles, sont écrites par des auteurs différents, chacun avec son propre rythme et sa propre motivation. Certaines sont maintenues pendant des années, d'autres sont abandonnées du jour au lendemain parce que leur auteur est passé à autre chose. Le répertoire officiel de WordPress affiche d'ailleurs un avertissement sur les extensions qui n'ont pas été testées avec les trois dernières versions majeures. C'est un bon indicateur à regarder.

Pour les thèmes et extensions payants, l'échéance est plus discrète encore. Quand la licence annuelle n'est pas renouvelée, l'extension continue en général de fonctionner, mais ne reçoit plus de mises à jour. Personne ne le voit, jusqu'au jour où une mise à jour du CMS ou de PHP la rend incompatible.

Rien de tout cela ne fait de WordPress un mauvais outil. C'est la contrepartie normale d'un assemblage de briques venues de sources différentes : chaque brique a sa date de péremption, et quelqu'un doit les suivre.

Toutes les échéances ne sont pas techniques. Les horaires changent, une collaboratrice dont la photo figure sur la page « Équipe » est partie, les tarifs affichés datent de deux ans, et la mention « © 2022 » en bas de page trahit l'âge du site à tout visiteur un peu attentif. Les mentions légales elles-mêmes vieillissent : elles doivent notamment indiquer l'identité de l'hébergeur, qui a pu changer depuis la mise en ligne.

Aucune formule, au mois ou non, ne règle cette partie à votre place : vous seul savez que vos horaires ont changé. Ce qu'un bon outil peut faire, c'est rendre la modification assez simple pour que vous la fassiez en deux minutes, sans appeler personne.

Ces détails ne déclenchent aucune alerte, mais ce sont souvent eux que les visiteurs remarquent en premier. Nous en avons recensé plusieurs dans notre article sur les 7 erreurs qu'on voit sur la plupart des sites TPE.

Ce tableau ne décrit pas une fatalité, chaque étape peut très bien se passer. C'est un scénario plausible, assemblé à partir de situations que nous avons rencontrées en reprenant des sites existants.

Ce qui frappe dans ce déroulé, c'est la colonne qui manque : celle de la personne qui s'en aperçoit. Souvent, c'est un client qui appelle pour signaler que le site « ne marche plus ». Ou personne. Le formulaire de contact silencieux est le plus pernicieux : il ne produit aucune erreur visible, seulement des demandes qui n'arrivent jamais, pendant des semaines.

Aucune de ces étapes n'exige un incident spectaculaire. Le coût réel se loge dans le délai entre le moment où quelque chose casse et celui où quelqu'un le découvre.

Face à ce calendrier, il existe trois réponses légitimes. Vous pouvez surveiller vous-même : quelques rappels dans un agenda, un outil gratuit qui vérifie que le site répond et que le certificat est valide, et un peu de temps chaque trimestre. Vous pouvez signer un contrat de maintenance séparé avec un freelance ou une agence. Ou vous pouvez choisir une formule mensuelle qui inclut tout cela dans un seul prix. Aucune de ces réponses n'est mauvaise. La seule qui pose problème, c'est « personne », et c'est malheureusement celle qu'on choisit souvent par défaut, sans l'avoir décidé.

Que le site soit payé une fois ou au mois, voici les questions que nous conseillons de poser à n'importe quel prestataire, en demandant que les réponses soient écrites noir sur blanc :

1. Qui renouvelle le nom de domaine, à quel nom est-il enregistré, et sur quelle carte bancaire ?

2. Comment les certificats HTTPS sont-ils renouvelés, et qui est prévenu si le renouvellement échoue ?

3. Qui applique les mises à jour (CMS, extensions, version de PHP), à quel rythme, et sont-elles vérifiées avant d'être appliquées ?

4. Si le site tombe un samedi matin, qui s'en rend compte, et au bout de combien de temps ?

5. Combien coûte une intervention hors contrat, et dans quel délai est-elle réalisée ?

Les réponses permettent de comparer des offres qui n'ont parfois rien de comparable sur le papier. Un site payé une fois, avec un prestataire qui répond clairement aux cinq questions et facture ses interventions au cas par cas, peut être un excellent choix. Une formule mensuelle qui reste floue sur ces points ne l'est pas, quel que soit son prix.

Un site internet ne se périme pas d'un coup. Il dépend d'un petit nombre d'échéances connues à l'avance, dont voici le calendrier pour les années qui viennent :

• Chaque année (ou à la durée choisie) : le renouvellement du nom de domaine ;

• Depuis le 15 mars 2026 : des certificats HTTPS de 200 jours maximum ;

• 31 décembre 2026 : fin des correctifs de sécurité pour PHP 8.2 ;

• 15 mars 2027 : des certificats de 100 jours maximum ;

• 31 décembre 2027 : même échéance pour PHP 8.3 ;

• 15 mars 2029 : des certificats de 47 jours maximum.

La plupart de ces échéances passent sans bruit tant que les automatismes fonctionnent. Choisir entre paiement unique et abonnement revient surtout à décider qui garde un œil sur ce calendrier, et à quelles conditions.

Dans Piikivi, nous avons fait le choix d'inclure les échéances techniques dans le mensuel : l'hébergement, le nom de domaine, les certificats renouvelés automatiquement, les mises à jour et la sécurité de la plateforme. Le contenu (horaires, équipe, tarifs) reste entre vos mains, comme partout ailleurs.

Par cohérence, voici nos propres réponses aux trois premières questions. Le nom de domaine est compris dans l'abonnement, renouvellement inclus. Les certificats sont renouvelés automatiquement par notre hébergement, et si le renouvellement échoue, c'est à nous, pas à vous, d'en répondre. Les mises à jour sont appliquées par nous, une seule fois pour tous les sites. Le revers de ce choix : une erreur toucherait tous les sites en même temps, ce qui nous oblige à les éprouver avant de les déployer. Pour les deux dernières, le délai de détection d'une panne et le coût d'une intervention, nous ne publions pas encore d'engagement chiffré : demandez-nous de l'écrire avant de signer, comme vous le feriez avec n'importe qui.

Ce choix a deux contreparties. La première est un coût récurrent, à comparer honnêtement aux deux autres réponses : votre propre temps, ou un contrat de maintenance séparé. La seconde, c'est qu'un abonnement crée sa propre échéance : le jour où il s'arrête. Nous la traitons comme les autres. Vos textes et vos images restent votre propriété, c'est écrit dans nos conditions générales. Le site lui-même, en revanche, tourne sur notre moteur et devrait être reconstruit ailleurs. Aucune formule ne rend un site invulnérable, la nôtre pas plus qu'une autre. Mais celle-ci désigne clairement quelqu'un.

Si vous voulez voir ce que couvre le mensuel, poste par poste, tout est détaillé sur notre page tarifs.