Le verdict en trois phrases
Une application en PHP 5 (et même en PHP 7) tourne sur une version hors support de sécurité : chaque nouvelle faille découverte dans le langage ou ses extensions reste ouverte pour toujours. La première dépense utile est un audit de code (3 000 à 8 000 € HT), qui dit si une refactorisation progressive (20 000 à 60 000 €) suffit ou si une réécriture (40 000 à 150 000 €) est plus raisonnable. Dans les deux cas, prévoyez 10 à 20 % du budget pour la migration des données, le poste le plus sous-estimé.
Pourquoi le risque augmente chaque mois
PHP 5.6 n'a plus de correctifs de sécurité depuis le 31 décembre 2018, PHP 7.4 depuis novembre 2022. En 2026, seules les branches 8.2 et suivantes reçoivent encore des correctifs. Une application figée sur PHP 5 impose aussi un système d'exploitation ancien, une version de MySQL ancienne et des bibliothèques abandonnées. L'hébergeur finit souvent par facturer un supplément ou par couper le service.
| Risque | Situation typique en 2026 | Conséquence concrète |
|---|---|---|
| Failles du langage non corrigées | Aucune mise à jour depuis 7 ans et plus | Exploitation possible sans correctif disponible |
| Système d'exploitation obsolète | Serveur figé pour rester compatible | Failles système cumulées |
| Bibliothèques abandonnées | Fonctions mysql_* supprimées en PHP 7 | Injections SQL fréquentes dans le code d'époque |
| Hébergement | Supplément « support étendu » ou arrêt | 50 à 300 € par mois de surcoût |
| Dépendance à une seule personne | Développeur parti, pas de documentation | Chaque modification coûte 2 à 3 fois plus |
| Conformité RGPD | Sécurité des données non démontrable | Exposition en cas de fuite |
| Assurance cyber | Questionnaire sur les versions supportées | Prime majorée ou exclusion |
Les trois sorties possibles et leur coût
L'audit de code examine la structure, la couverture fonctionnelle, la qualité du modèle de données et les failles évidentes. Il produit une recommandation chiffrée. Selon le résultat, trois chemins s'ouvrent.
| Option | Budget indicatif (ordre de grandeur 2026, HT) | Délai | Quand la choisir |
|---|---|---|---|
| Montée de version PHP 5 vers 8.3 | 8 000 à 25 000 € | 1 à 3 mois | Code structuré, framework identifiable, peu de fonctions supprimées |
| Refactorisation progressive | 20 000 à 60 000 € | 4 à 9 mois | Logique métier saine, code désordonné |
| Réécriture complète (par exemple Next.js ou Laravel) | 40 000 à 150 000 € | 6 à 12 mois | Code impossible à maintenir, besoins métier qui ont changé |
| Remplacement par un logiciel du marché | Licences + 10 000 à 40 000 € de paramétrage | 3 à 6 mois | Processus devenu standard |
| Statu quo sécurisé (isolation réseau, WAF) | 2 000 à 6 000 € + surcoût annuel | 2 à 4 semaines | Solution d'attente de 6 à 12 mois maximum |
À titre de repère, la grille Kolonell 2026 pour une application sur mesure va de 2 500 000 à 4 000 000 FCFA (3 810 à 6 100 EUR) pour une application simple, de 4 M à 7 M FCFA (6 100 à 10 670 EUR) pour une application moyenne et de 7 M à 15 M FCFA et plus (10 670 à 22 870 EUR et plus) pour une application complexe. Les fourchettes du tableau correspondent aux prix observés chez les agences françaises.
La migration des données, poste à ne pas sous-estimer
Douze ans de données dans une base MySQL ancienne contiennent presque toujours des encodages mélangés (latin1 et UTF-8), des doublons, des champs détournés de leur usage et des contraintes absentes. Ce travail représente 10 à 20 % du budget total et conditionne l'acceptation par les utilisateurs.
| Tâche de migration | Part du budget migration | Point de vigilance |
|---|---|---|
| Inventaire et cartographie des tables | 15 % | Tables sans usage apparent mais lues par un export |
| Correction de l'encodage des caractères | 15 à 20 % | Accents corrompus sur les noms clients |
| Dédoublonnage et normalisation | 20 à 25 % | Clients créés plusieurs fois |
| Scripts de migration rejouables | 20 % | Rejouer à blanc 3 à 5 fois avant la bascule |
| Contrôles de cohérence (totaux, comptages) | 10 à 15 % | Comparaison des chiffres d'affaires par année |
| Bascule et gel des saisies | 10 % | Fenêtre d'un week-end en général |
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Scénario type : Thierry, directeur des opérations d'une PME de transport de 70 salariés à Lille, dépend d'une application PHP 5 de gestion des tournées écrite il y a 12 ans. L'hébergeur lui facture 180 € par mois de support étendu et chaque petite modification coûte environ 1 200 € à un freelance qui doit redécouvrir le code. Il commande un audit à 5 000 € HT : verdict, logique métier saine mais code sans structure. Il retient une refactorisation progressive à 42 000 €, dont 6 000 € de migration des données, étalée sur 7 mois. Économies attendues : 2 160 € par an d'hébergement spécifique et environ 8 modifications par an facturées 400 € au lieu de 1 200 €, soit 6 400 €. Le gain direct est d'environ 8 500 € par an, mais l'argument décisif reste la suppression du risque de fuite des données clients.
FAQ
Une application en PHP 5 est-elle forcément vulnérable ?
Elle tourne sur un langage sans correctif depuis fin 2018, donc toute faille découverte depuis reste ouverte. Le code d'époque utilise aussi souvent des requêtes SQL non préparées, cause fréquente d'injections.
Combien coûte un audit de code legacy ?
Entre 3 000 et 8 000 € HT selon la taille de l'application, pour 3 à 8 jours de travail. Il produit une recommandation chiffrée entre montée de version, refactorisation et réécriture.
Faut-il tout réécrire ?
Pas forcément. Si la logique métier est saine, une refactorisation progressive à 20 000 à 60 000 € conserve l'existant tout en le modernisant. La réécriture, de 40 000 à 150 000 €, se justifie quand le code est illisible ou que les besoins ont changé.
Combien de temps dure une sortie de PHP 5 ?
De 1 à 3 mois pour une simple montée de version, 4 à 9 mois pour une refactorisation et 6 à 12 mois pour une réécriture complète. La bascule finale tient en général sur un week-end.
Peut-on sécuriser temporairement l'existant ?
Oui, en isolant le serveur, en ajoutant un pare-feu applicatif et en restreignant les accès par VPN, pour 2 000 à 6 000 €. C'est une solution d'attente de 6 à 12 mois, pas une sortie.
Parlons de votre projet. Décrivez-nous votre application, sa taille et ses utilisateurs : nous proposons un audit, un budget indicatif de refactorisation ou de réécriture et un planning de 3 à 12 mois. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
