Tierce maintenance applicative (TMA) pour vos applications Drupal, Next.js et métier
Correctif, évolutif et sécurité sous SLA, depuis Casablanca : en nearshore pour les entreprises françaises, au plus près des grands comptes marocains.
La tierce maintenance applicative consiste à confier à un prestataire la maintenance d'une application en production : correction des anomalies, évolutions, mises à jour de sécurité et adaptation à son environnement, dans le cadre d'engagements de service mesurés.
On parle aussi de TMA informatique, ou de maintenance applicative. VOID l'assure pour des applications Drupal, Next.js et métier, avec une équipe à Casablanca : en nearshore pour des entreprises françaises, et pour des banques, des assureurs et des institutions au Maroc.
Depuis 2020
Maintenance évolutive et corrective du portail institutionnel du Crédit Agricole du Maroc.
5 minutes environ
pour produire un rapport de maintenance, au lieu de 2 à 4 heures. Chaque rapport est validé par un humain avant envoi.
Mis à jour le
La TMA, concrètement : ce que nous prenons en charge
Un contrat de TMA couvre cinq familles d'activités. Le périmètre exact s'écrit dans le contrat, application par application.
Maintenance corrective
Nous corrigeons les incidents et anomalies en production. Le niveau de criticité de chaque demande fixe son délai. Un correctif urgent part en hotfix, les autres suivent le cycle de livraison normal.
Maintenance évolutive (TME)
La part qui fait avancer l'application : nouvelles fonctionnalités, améliorations d'interface, adaptations métier. Par lots ou au fil de l'eau, avec estimation, validation et recette de votre côté.
Maintenance préventive
Mises à jour de sécurité, montées de version du framework et des dépendances, réduction de la dette technique. C'est elle qui évite les incidents du trimestre suivant.
Maintenance adaptative
Navigateurs, versions de PHP ou de Node.js, API tierces, protection des données (loi 09-08 au Maroc, RGPD en Europe) : l'environnement change, nous y adaptons l'application.
Supervision et support
Surveillance de la disponibilité et des performances, alertes, point de contact unique et suivi des demandes dans un outil de ticketing.
| Terme | Ce que ça couvre | Chez VOID |
|---|---|---|
| TMA (tierce maintenance applicative) | Le logiciel lui-même : correctif, évolutif, préventif et adaptatif. | Cette offre. |
| TME (tierce maintenance évolutive) | La seule part évolutive : nouvelles fonctions et améliorations. | Incluse dans la TMA, ou contractée à part. |
| MCO / MCS | Le maintien en condition opérationnelle (et de sécurité) de l'environnement : serveurs, middleware, sauvegardes, correctifs système. | Assuré par l'hébergeur. Sur AWS, notre infogérance s'en charge. |
| Infogérance | L'exploitation de l'infrastructure : hébergement, réseau, supervision système. | Notre offre d'infogérance AWS. |
L'infrastructure a sa propre grille, publiée par notre offre d'infogérance AWS : réponse sous 4 heures ouvrées (Standard), intervention sous 1 heure avec 99,9 % de disponibilité mensuelle et pénalités (Premium).
Des engagements de service mesurés, par niveau de criticité
Chaque demande est classée selon son impact, et son niveau fixe trois délais : la prise en charge (un ingénieur est sur le sujet), le contournement (service rétabli, même partiellement) et la résolution définitive.
| Niveau | Exemple |
|---|---|
| P1 · Bloquant | Site transactionnel ou espace client indisponible. |
| P2 · Majeur | Fonction importante dégradée, sans contournement simple. |
| P3 · Mineur | Anomalie gênante mais contournable. |
| P4 · Demande | Demande mineure, question, petite évolution. |
Plages de service
Nos bureaux de Casablanca sont ouverts du lundi au vendredi, de 9 h à 18 h. La plage couverte se fixe contrat par contrat.
Mesure et reporting
Chaque cycle de maintenance se termine par un rapport : composants mis à jour, failles corrigées, performance, parcours critiques re-testés. Un administrateur le valide avant tout envoi.
Contrat TMA : trois façons de le structurer
Le bon modèle dépend du volume de demandes et de sa régularité. Beaucoup de contrats combinent un socle mensuel et une enveloppe d'évolutif.
Forfait socle mensuel
Un montant fixe couvre le maintien en condition opérationnelle, le correctif, les mises à jour de sécurité et le reporting. Vous connaissez votre budget run à l'avance.
Évolutif en unités d'œuvre ou en tickets
Chaque évolution est estimée dans une unité convenue, validée par vous, puis livrée et recettée. Vous payez ce que vous commandez.
Capacité dédiée
Une équipe réservée à votre application, avec un volume de jours fixe par mois : le modèle le plus proche d'une squad agile et de l'équipe dédiée en nearshore.
Durée, périmètre et préavis
Nos conditions générales prévoient un abonnement de maintenance réglé au mois ou à l'année, une facturation mensuelle au temps passé en régie, et une garantie de 30 jours contre les vices majeurs après chaque livraison.
Ce qui fait varier le prix
Le nombre d'applications, leur stack et leur dette technique, le niveau de service et le volume d'évolutif.
TMA Drupal
Drupal est la technologie de 22 de nos 24 réalisations publiées. Nous maintenons aussi 6 modules sur Drupal.org, où VOID compte 19 crédits de contribution.
Drupal 10 arrive en fin de vie le 9 décembre 2026, la semaine où sort Drupal 12 (calendrier officiel de Drupal). Après cette date, un site resté en Drupal 10 ne reçoit plus de correctifs de sécurité.
Sécurité et montées de version
Nous suivons les avis de sécurité de Drupal, appliquons les correctifs du cœur et des modules contribués, et planifions les montées de version, de Drupal 10 vers Drupal 11 en priorité.
Reprendre un Drupal existant
Avant de nous engager, nous auditons le code, les modules, la configuration et la dette technique : ce qui peut rester, ce qui doit être corrigé, ce que coûtera la mise à niveau. Voir notre expertise Drupal.
Tester chaque mise à jour avant la production
Notre plateforme de test Drupal monte des environnements (DDEV, Docker) où passent l'analyse SonarQube et les tests Playwright avant la mise en production.
Clients Drupal suivis dans la durée : Crédit Agricole du Maroc et Al Barid Bank depuis 2020, Diriddik depuis 2021 (Drupal 10 sur OpenShift).
TMA Next.js et React
Un front Next.js vieillit vite : dépendances npm, versions de React et de Next.js, failles publiées chaque semaine. La TMA le garde à jour sans casser vos parcours.
Dépendances npm et CVE
Nous surveillons les vulnérabilités publiées sur vos dépendances, mettons à jour par lots et rejouons les tests de non-régression avant chaque mise en production.
Architectures headless Drupal et Next.js
Drupal sert le contenu, Next.js l'affiche. Dar Al Moukawil, client depuis 2016, tourne sur Drupal headless et Next.js orchestrés sur OpenShift. Le portail de Wafa Assurance, que nous accompagnons depuis 2019, associe aujourd'hui Drupal 10 headless et Next.js. Nous avons aussi développé Vactory, un starter Drupal headless et Next.js.
API Node.js
Nous maintenons aussi les API Node.js qui alimentent ces fronts.
En savoir plus sur notre expertise React et Next.js.
TMA d'applications métier
Espaces clients, parcours de souscription, back-offices, plateformes transactionnelles : ces applications portent un processus métier et se branchent sur votre système d'information par des API, l'authentification unique ou le paiement, sous les contraintes de sécurité de votre secteur.
Chez Wafasalaf, que nous accompagnons depuis 2018, nous avons refondu la plateforme transactionnelle en mobile-first et nous en optimisons la performance en continu.
Reprendre une application existante sans rupture de service
Changer de prestataire inquiète pour une raison simple : la connaissance de l'application part avec l'équipe sortante. La reprise se fait donc en quatre étapes, chacune avec un livrable.
Audit de l'existant
Revue du code, de l'architecture, des dépendances et de la dette technique.
Livrable : Rapport d'audit et carte des risques.
Transfert de connaissances
Récupération de la documentation, passation avec l'équipe sortante quand elle est possible, ouverture des accès et des environnements.
Livrable : Runbook d'exploitation et inventaire des accès.
Stabilisation
Correctifs prioritaires, mises à jour de sécurité en retard, mise en place de la supervision.
Livrable : Correctifs livrés et plan de mise à niveau.
Run nominal
Maintenance sous SLA, pilotage régulier et feuille de route partagée.
Livrable : Premier rapport de maintenance.
Après un prestataire défaillant ou sans documentation
Si le prestataire précédent ne répond plus, nous repartons du code et de la production : lecture du dépôt, inventaire des accès et des secrets, écarts entre le code et ce qui tourne, puis documentation. La stabilisation prend plus de temps, et l'audit le dit dès le départ.
Une TMA assistée par l'IA, validée par des humains
Nous utilisons l'IA là où elle fait gagner du temps, sans décider à votre place. Deux usages sont documentés.
L'agent de reporting de TMA
Sur nos projets Drupal et Next.js, un agent collecte versions, failles de sécurité (CVE), certificats, performance et résultats des tests Playwright, puis rédige le rapport. Le modèle de langage ne produit aucun chiffre : il met en phrases des faits collectés par du code. Environ 5 minutes par rapport au lieu de 2 à 4 heures, et aucun envoi sans validation par un administrateur. Lire le retour d'expérience sur l'agent de reporting.
Des correctifs préparés par des agents
Nous avons testé un agent qui détecte une faille, prépare le correctif, exécute les tests et ouvre une demande de fusion. Le pilote a porté sur 100 projets internes de VOID et sur du code open source, jamais sur du code client. Les règles : une branche dédiée, jamais de fusion automatique, une revue humaine obligatoire. Détails dans notre article sur le harness engineering.
Ce que l'IA ne fait pas : elle ne décide d'aucune mise en production et ne déploie rien seule.
TMA nearshore pour les entreprises françaises
Notre équipe travaille en français, depuis Casablanca : échanges sans intermédiaire, comités de pilotage en visio.
Décalage horaire
Depuis le 20 septembre 2026, le Maroc vit à l'heure GMT (décret n° 2.26.530, Bulletin officiel n° 7521, en arabe). La France passe à l'heure d'été du dernier dimanche de mars au dernier dimanche d'octobre (directive 2000/84/CE). L'écart avec Paris est donc d'une heure en hiver et de deux heures en été : nos horaires de 9 h à 18 h à Casablanca correspondent à 10 h à 19 h à Paris en hiver, 11 h à 20 h en été.
Données personnelles et contrat
Le Maroc ne figure pas parmi les pays reconnus adéquats par la Commission européenne. Un transfert de données personnelles depuis l'Union vers notre équipe doit donc être encadré par les clauses contractuelles types de la décision (UE) 2021/914. Nos CGV prévoient 5 ans de confidentialité après la mission.
Entités financières : ce que DORA demande au contrat
Pour une banque ou un assureur de l'Union, le règlement DORA, applicable depuis le 17 janvier 2025, exige que le contrat de TMA précise les lieux où les données sont traitées, décrive les niveaux de service et, pour une fonction critique ou importante, prévoie une stratégie de sortie avec une période de transition (article 30 du règlement (UE) 2022/2554).
Pour une équipe dédiée en régie, une squad ou un centre en build-operate-transfer, voir notre offre nearshore et externalisation au Maroc.
Pour les DSI et directions digitales au Maroc
Nos équipes sont à Casablanca (Racine, Oasis et Casablanca Finance City) et à Agadir (Technopole). 16 de nos 24 réalisations publiées concernent la banque, l'assurance et les marchés financiers.
Parmi les clients que nous accompagnons dans la durée : le Crédit Agricole du Maroc et Al Barid Bank depuis 2020, Wafasalaf depuis 2018, et Attijariwafa bank, partenaire depuis 2014, dont nous concevons et maintenons le Hub digital depuis 2018.
Les données personnelles traitées pendant la maintenance relèvent de la loi n° 09-08, contrôlée par la CNDP (voir notre guide de conformité CNDP). Pour l'hébergement, l'infogérance AWS complète la TMA. Après un audit d'accessibilité RGAA ou WCAG 2.2, la TMA peut porter la remédiation et le maintien de l'accessibilité.
Réversibilité et sécurité : ce que le contrat doit prévoir
La réversibilité est la dernière phase d'un contrat de TMA, et souvent la plus négociée. Elle se prépare dès le démarrage. Un plan de réversibilité couvre au minimum :
- la restitution du code source et de son historique ;
- le transfert des accès et des secrets à votre équipe, puis leur révocation chez le prestataire ;
- la documentation technique et le runbook d'exploitation ;
- une période de passation avec l'équipe qui reprend.
Assurance
Nos conditions générales mentionnent une assurance responsabilité civile professionnelle.
Ils nous confient leurs applications
Depuis 2020
Crédit Agricole du Maroc
Maintenance évolutive et corrective du portail institutionnel, sur Drupal.
Depuis 2018
Groupe Elsan
Portail Drupal multi-sites qui fédère 140 établissements de santé en France.
Depuis 2020
Al Barid Bank
Portail produits et institutionnel sur Drupal et Red Hat, avec une approche DevOps.
Depuis 2016
Dar Al Moukawil
Plateforme pour les petites entreprises et les entrepreneurs, en Drupal headless et Next.js sur OpenShift.
Questions fréquentes sur la TMA
- Qu'est-ce que la tierce maintenance applicative (TMA) ?
- La tierce maintenance applicative consiste à confier la maintenance d'une application en production à un prestataire externe. Elle couvre la correction des anomalies, les évolutions, les mises à jour de sécurité et l'adaptation à l'environnement technique, avec des niveaux de service mesurés et un reporting régulier. On parle aussi de TMA informatique.
- Quelle est la différence entre la TMA et la TME ?
- La TME, tierce maintenance évolutive, ne couvre que les évolutions : nouvelles fonctionnalités, améliorations, adaptations métier. La TMA y ajoute la maintenance corrective, préventive et adaptative. Beaucoup de contrats regroupent les deux : un forfait pour le socle, et une enveloppe d'évolutif estimée demande par demande.
- Quelle différence entre TMA, MCO et infogérance ?
- La TMA maintient le logiciel. Le MCO (maintien en condition opérationnelle) garde l'environnement technique en état de marche, le MCS y ajoute la sécurité, et l'infogérance confie l'exploitation de l'infrastructure à un prestataire. Chez VOID, la TMA couvre l'application, et l'infogérance AWS l'infrastructure qui l'héberge.
- Que doit contenir un contrat de TMA ?
- Au minimum : le périmètre, les niveaux de criticité et leurs délais, le modèle de prix, le reporting, la gouvernance, la durée, le préavis et un plan de réversibilité. Pour une banque ou un assureur de l'Union, DORA impose aussi les lieux de traitement des données et, pour une fonction critique ou importante, une stratégie de sortie.
- Comment sont définis les SLA d'une TMA ?
- Chaque demande reçoit un niveau de criticité, de P1 (service bloqué) à P4 (demande mineure). Pour chaque niveau, le contrat fixe un délai de prise en charge, de contournement et de résolution, sur une plage horaire donnée. Le rapport de maintenance les mesure.
- Combien coûte une TMA ?
- Le prix dépend du nombre d'applications, de leur stack et de leur état, du niveau de service, du volume d'évolutions et du modèle retenu : forfait socle, unités d'œuvre ou capacité dédiée. Nous le chiffrons après l'audit de l'existant.
- Pouvez-vous reprendre une application Drupal ou Next.js développée par un autre prestataire ?
- Oui, en quatre étapes : audit du code et de l'architecture, transfert de connaissances, stabilisation, puis run sous SLA. Chaque étape produit un livrable, du rapport d'audit au premier rapport de maintenance. Sans passation possible, nous repartons du code et de la production pour reconstituer la documentation.
- Comment se passe la réversibilité en fin de contrat ?
- Elle se prépare dès le démarrage. Un plan de réversibilité couvre en général la restitution du code source et de son historique, des accès, de la documentation et du runbook, puis une période de passation avec l'équipe qui reprend.
- Comment utilisez-vous l'IA dans la TMA ?
- Un agent rédige nos rapports de maintenance Drupal et Next.js à partir de faits collectés par du code, en 5 minutes environ au lieu de 2 à 4 heures, et un humain les valide. Nous avons aussi testé un agent qui prépare des correctifs, sur nos projets internes et du code open source, jamais sur du code client.
- Pourquoi une TMA nearshore au Maroc pour une entreprise française ?
- Parce que l'équipe travaille en français et que l'écart horaire reste faible : depuis le retour du Maroc à l'heure GMT le 20 septembre 2026, 1 h avec Paris en hiver et 2 h en été. Un transfert de données personnelles depuis l'Union doit être encadré par les clauses contractuelles types de la Commission européenne.
Parlons de votre application
Dites-nous ce que vous faites tourner : stack, nombre d'applications, volume de demandes, niveau de service attendu. Nous vous répondons sous 24 heures ouvrées pour organiser un premier échange.