Reprendre la maintenance d'un SaaS existant

Une reprise de maintenance SaaS consiste à prendre le relais d'un ancien prestataire (agence, freelance, dev interne) pour assurer la continuité d'exploitation d'une application SaaS existante. Elle commence toujours par un audit de l'existant : cartographie technique, sécurité, dépendances, conformité RGPD et dette technique. L'objectif n'est pas de réécrire l'application, mais de la stabiliser, la sécuriser et la maintenir dans la durée, sans interruption de service pour vos utilisateurs.

Dans la très grande majorité des cas, oui. Même sans accès Git ni documentation, on peut généralement récupérer les sources depuis le serveur de production, reconstituer les credentials manquants via les fournisseurs (hébergeur, registrar, e-mail, APIs tierces) et restaurer la chaîne d'exploitation. Les cas vraiment bloquants sont rares : ils concernent surtout des SaaS hébergés sur des comptes personnels du prestataire disparu, sans procédure de récupération possible. Un échange initial gratuit de 30 minutes permet de qualifier rapidement votre situation.

La méthodologie standard prévoit un audit de 5 jours ouvrés, suivi d'une bascule opérationnelle sous 10 à 15 jours selon l'urgence. En pratique, après le premier échange, je peux mettre en place une supervision et un canal de support sous 48 à 72 heures, même avant la fin de l'audit. La reprise complète (accès, monitoring, sauvegardes testées, mises à jour critiques) tient généralement dans une fenêtre de 3 à 4 semaines.

L'audit couvre cinq périmètres sur 5 jours ouvrés :

• Cartographie : architecture, modules, accès, hébergeur, dépôts, CI/CD.
• Sécurité : authentification, secrets, exposition d'API, vulnérabilités OWASP.
• Dépendances : Composer, npm, OS, version de Symfony LTS, base MariaDB.
• RGPD : registre, durées de conservation, sous-traitants, chiffrement, droits utilisateurs.
• Dette technique : qualité du code, tests, documentation, journalisation, plan de reprise d'activité.

Le livrable est un rapport priorisé (critique, important, cosmétique) et un plan de stabilisation à 90 jours.

L'audit est non intrusif sur l'environnement de production : aucune modification de code, aucun redémarrage de service, aucun changement de configuration. Tout se fait en lecture, sur une copie des sources et une restitution des journaux. La mise en place du monitoring se fait en parallèle et sans coupure. Les actions correctives (mises à jour, rotation de secrets, migrations) sont planifiées après le rapport, en fenêtre concertée avec vous, et toujours précédées d'une sauvegarde restaurable.

Les écarts RGPD constatés sont consignés dans un rapport d'écart distinct, avec un niveau de criticité et une recommandation pour chaque point. Les vulnérabilités les plus graves (par exemple un export de données non chiffré, un sous-traitant hors UE sans encadrement contractuel) font l'objet d'un plan d'action immédiat. Selon la gravité, une notification à la CNIL au titre de l'article 33 du RGPD peut être recommandée. Vous restez décisionnaire, je vous fournis l'analyse technique nécessaire.

Mon cœur d'expertise est Symfony en version LTS, sur base MariaDB ou PostgreSQL, avec hébergement souverain. C'est sur cette stack que je peux garantir la qualité et la durabilité du suivi. Je reprends aussi des SaaS écrits en PHP plus ancien (Symfony 4 ou 5, voire applications non frameworkées) avec un volet de remise à niveau intégré. En revanche, je ne reprends pas de stack hors PHP (Node, Python, .NET) : pour ces cas, je vous oriente vers des confrères de confiance.

Le coût dépend de la taille du SaaS, de l'état de la documentation, du niveau de dette technique et du périmètre de maintenance choisi (TMA simple, plan de stabilisation 90 jours, ou combinaison). Le périmètre est défini sur devis personnalisé après un échange initial gratuit de 30 minutes. L'audit de 5 jours est lui-même chiffré séparément et sans engagement de poursuite : vous repartez avec un rapport exploitable même si vous décidez de ne pas continuer avec moi.