Construire. Protéger. Développer.

Les deux, selon le niveau d'incertitude. Un périmètre écrit et stable — un site, une refonte, une intégration définie — part au forfait : un montant, une liste de livrables et des paiements par jalons. Un produit qui va évoluer pendant la construction part en régie, au jour-homme, avec un plafond mensuel convenu à l'avance. Quand le besoin n'est pas encore clair, nous commençons par un cadrage court, facturé séparément, qui débouche sur un chiffrage ferme. Les devis sont en dirhams, hors TVA, et détaillent ce qui n'est pas inclus autant que ce qui l'est.

Cela dépend du périmètre, et nous ne donnons pas de délai avant le cadrage. À titre indicatif : un site de présentation structuré se compte en semaines, une application métier ou un portail client en mois, découpés en lots livrés l'un après l'autre plutôt qu'en une seule livraison finale. Le planning est révisé à chaque lot. Ce qui décale le plus souvent une date n'est pas la technique : ce sont les contenus à valider et les accès à obtenir (DNS, hébergement, données existantes). Nous les demandons dès le premier jour pour cette raison.

La livraison inclut une période de garantie pendant laquelle les anomalies par rapport au périmètre contractuel sont corrigées sans frais. Ensuite, un contrat de maintenance mensuel couvre les mises à jour de sécurité, les sauvegardes et leur test de restauration, la surveillance de disponibilité et un volume d'heures d'évolutions reportable ou non selon la formule. Ce contrat est optionnel : la documentation de déploiement, les accès et les dépôts vous sont remis dans tous les cas, pour que vous puissiez reprendre la main ou confier la suite à quelqu'un d'autre.

Vous décidez, et c'est écrit dans le contrat : le pays d'hébergement, la durée de conservation des sauvegardes et la liste des personnes qui ont un accès. Nous déployons par défaut chez des hébergeurs européens, et au Maroc lorsque c'est une exigence de votre côté. Si le projet traite des données personnelles, la loi 09-08 s'applique et une déclaration à la CNDP peut être nécessaire : nous rédigeons la description technique du traitement, mais la déclaration reste au nom du responsable de traitement, c'est-à-dire vous.

À vous. La cession des droits sur le code, les maquettes et les contenus produits pour le projet est écrite dans le contrat et prend effet au paiement du solde — elle n'est pas sous-entendue. Vous recevez les dépôts Git avec leur historique, les accès d'hébergement et la documentation d'exploitation. Nous conservons uniquement le droit de réutiliser nos briques internes génériques, celles qui existaient avant votre projet. Nous ne mettons aucun verrou propriétaire ni licence d'usage sur ce que nous vous livrons.

Il commence par une autorisation écrite : périmètre exact, fenêtres de test, contacts d'urgence, conduite à tenir en cas d'incident. Sans ce document, nous ne testons rien. Vient ensuite la reconnaissance passive — surface exposée, DNS, en-têtes, certificats — puis les tests actifs sur le seul périmètre autorisé : authentification, contrôle d'accès, injection, configuration, dépendances. Vous recevez un rapport où chaque constat porte sa preuve de reproduction, son impact, sa priorité et la correction proposée, suivi d'une restitution orale et d'une vérification des correctifs. Un audit décrit l'état d'un système à une date donnée ; il ne prouve pas l'absence de vulnérabilité.