Site web PME : qui garde les accès ?

Votre nouveau site est en ligne. Le prestataire vous a envoyé un lien, quelques mots de passe et une facture. Tout semble terminé. Puis, quelques mois plus tard, vous devez changer un horaire, renouveler le domaine ou quitter le prestataire. C'est là qu'une question devient urgente : qui contrôle réellement votre site web PME ?

Le problème ne vient pas toujours d'une mauvaise intention. Les accès peuvent avoir été créés rapidement sur le compte personnel d'un prestataire, transmis dans un e-mail ou oubliés après la mise en ligne. Pourtant, un site n'est pas un seul fichier avec un seul mot de passe. Il dépend de plusieurs comptes et services, dont certains peuvent bloquer votre activité s'ils restent hors de votre contrôle.

Voici les éléments à vérifier avant de considérer un projet comme livré, avec une méthode simple pour distinguer un accès pratique d'une vraie maîtrise de vos actifs numériques.

La propriété d'un site web ne se résume pas au mot de passe

Quand on parle de propriété, il faut distinguer trois situations : pouvoir consulter le site, pouvoir le modifier et pouvoir récupérer les comptes qui le font fonctionner. Un accès administrateur dans un outil ne donne pas forcément le contrôle du domaine ou de l'adresse e-mail liée au compte.

Pour une PME, la liste minimale comprend généralement :

• le nom de domaine et le compte de l'agent d'enregistrement ;
• l'hébergement ou la plateforme de publication ;
• le dépôt du code et les comptes de déploiement, si le site est sur mesure ;
• les adresses e-mail et les réglages DNS associés ;
• Google Search Console, Google Analytics ou un autre outil de mesure ;
• les sauvegardes, les fichiers sources et les licences utilisées.

Le site visible par le public n'est donc qu'une partie du système. Si votre prestataire peut modifier une page mais que vous ne pouvez pas renouveler le domaine, récupérer une sauvegarde ou ajouter un autre administrateur, votre contrôle reste incomplet.

Le nom de domaine est le premier actif à vérifier

Le nom de domaine est l'adresse que vos clients mémorisent et que vos e-mails utilisent parfois. Pour un domaine .be, DNS Belgium distingue le titulaire enregistré et l'agent qui gère l'enregistrement. En cas de transfert, le titulaire actuel reçoit le code de transfert et le nouveau titulaire doit être enregistré officiellement. DNS Belgium explique la procédure de transfert d'un nom de domaine .be.

Dans la pratique, vérifiez les points suivants :

• le titulaire est-il votre entreprise, votre société ou la bonne personne responsable ?
• l'adresse e-mail du titulaire est-elle encore accessible par votre équipe ?
• connaissez-vous le nom de l'agent d'enregistrement et le compte utilisé ?
• le renouvellement automatique est-il actif sur un moyen de paiement maîtrisé par l'entreprise ?
• savez-vous où demander un code de transfert si vous changez de prestataire ?

Un prestataire peut acheter et configurer le domaine pour vous. Cela ne signifie pas que son compte personnel doit rester le seul point de contrôle. Si le domaine est enregistré avec une adresse qui n'est plus accessible, corrigez d'abord cette situation avant de modifier le site.

Ne confondez pas non plus le titulaire du domaine avec le propriétaire juridique de tous les éléments du site. Le registre du domaine vous aide à contrôler l'adresse, mais il ne règle pas à lui seul les droits sur les textes, les photographies, le code ou les licences. Le contrat et les éléments remis lors de la livraison restent importants.

Quels accès devez-vous demander après une livraison ?

Une livraison claire ne consiste pas à recevoir un document rempli de mots de passe. Elle doit vous permettre d'identifier chaque compte, son rôle et la façon de récupérer l'accès si le prestataire n'est plus disponible.

Le site et l'hébergement

Demandez le nom de la plateforme utilisée, l'adresse de connexion, votre niveau d'autorisation et la procédure pour ajouter un autre utilisateur. Selon la technologie, cela peut concerner un hébergeur classique, un outil visuel, un compte cloud ou un dépôt de code.

Posez aussi ces questions :

• qui peut publier une nouvelle version ?
• qui peut modifier les variables ou les réglages sensibles ?
• où sont stockées les sauvegardes ?
• que se passe-t-il si vous arrêtez la maintenance ?
• les frais récurrents sont-ils payés par l'entreprise ou par le prestataire ?

Un accès complet n'est pas toujours nécessaire à chaque personne. En revanche, l'entreprise doit conserver un compte administrateur de référence et savoir qui peut intervenir en son nom.

Les e-mails et les DNS

Les e-mails professionnels dépendent souvent du domaine et de plusieurs enregistrements DNS. Une modification mal préparée peut perturber la réception ou l'envoi de messages, même si le site continue à s'afficher.

Conservez donc :

• le fournisseur qui héberge les boîtes e-mail ;
• les comptes administrateurs et les méthodes de récupération ;
• les enregistrements DNS utiles au site et à la messagerie ;
• les informations de renouvellement et de facturation ;
• la liste des services qui envoient des e-mails au nom du domaine.

Ne partagez pas un mot de passe unique entre plusieurs personnes. Créez des accès individuels lorsque le service le permet et activez la double authentification sur les comptes sensibles.

La mesure et le référencement

Les outils de mesure font partie du patrimoine de décision de l'entreprise. Si toutes les données sont rattachées au compte personnel d'un prestataire, vous risquez de perdre l'historique au moment où vous changez d'interlocuteur.

Google indique que la Search Console distingue les propriétaires et les utilisateurs, avec des droits différents. Les propriétaires peuvent notamment gérer les utilisateurs et les paramètres de la propriété. La documentation Google détaille les rôles et les autorisations de la Search Console.

Vérifiez que l'entreprise possède au moins un compte de référence pour :

• Search Console ;

• l'outil d'analytics utilisé ;
• la gestion des consentements, si elle est séparée ;
• les comptes publicitaires, le cas échéant ;
• les fiches et outils locaux liés au site.

Le prestataire peut conserver un accès de travail. Il ne devrait pas être le seul propriétaire d'une donnée dont vous avez besoin pour comprendre vos demandes, vos pages et votre visibilité.

Un exemple concret à Namur et un autre à Charleroi

Un cabinet à Namur fait refaire son site. La nouvelle version est réussie, mais le domaine est resté enregistré avec l'adresse personnelle de l'ancien prestataire. Le cabinet peut modifier le contenu grâce à un accès éditeur, mais il ne peut pas renouveler le domaine ni récupérer le code de transfert. Le site fonctionne aujourd'hui, mais une simple expiration ou un changement de prestataire peut devenir un incident.

À Charleroi, une entreprise de rénovation dispose d'un autre montage : le domaine est au nom de la société, l'hébergement est payé directement par l'entreprise et le prestataire reçoit un accès individuel. Les sauvegardes mensuelles sont déposées dans un espace auquel le dirigeant a accès. Le prestataire reste utile, mais son départ ne rend pas le site irrécupérable.

La différence ne tient pas à la taille du projet. Elle tient à la répartition du contrôle et à la qualité de la transmission.

Les signaux d'une livraison qui vous rend dépendant

Certains indices doivent vous pousser à demander des explications avant de signer la fin du projet :

• « Ne vous inquiétez pas, nous gardons tous les accès pour vous » sans inventaire précis ;
• un domaine enregistré avec une adresse que personne dans l'entreprise ne peut ouvrir ;
• un compte partagé dont le mot de passe est utilisé par plusieurs personnes ;
• aucune sauvegarde exploitable ou aucun test de restauration ;
• des licences présentées comme incluses sans préciser ce qui se passe à la fin de la mission ;
• un outil de mesure accessible uniquement depuis l'adresse e-mail du prestataire ;
• l'impossibilité d'ajouter un autre administrateur sans passer par le prestataire ;
• une réponse floue sur les coûts récurrents, le renouvellement ou le transfert.

Ce n'est pas forcément grave si un point manque le jour de la mise en ligne. Le risque apparaît lorsque personne ne sait qui doit corriger la situation, dans quel délai et avec quelle procédure.

La checklist de propriété à intégrer au contrat

Avant la livraison finale, demandez une fiche d'inventaire d'une page. Elle peut contenir un tableau comme celui-ci :

Ajoutez à cette liste les éléments spécifiques à votre activité, comme un formulaire relié à un CRM, une boutique, un calendrier de rendez-vous ou un outil de paiement.

Le contrat peut aussi préciser :

• les fichiers et contenus remis à la fin du projet ;
• les comptes créés au nom de l'entreprise ;
• les licences incluses et celles qui restent à payer ;
• le délai de transmission des accès ;
• la fréquence des sauvegardes ;
• le rôle du prestataire après la livraison ;
• les conditions de transfert vers un autre intervenant.

Pour la création d'un site web vitrine, la transmission des accès doit faire partie du parcours, au même titre que la mise en ligne et les vérifications de formulaire. Cela réduit la dépendance sans empêcher un accompagnement technique lorsque vous en avez besoin.

Que faire si vous n'avez déjà plus la main ?

Commencez par dresser la liste des actifs, sans tenter de tout modifier en même temps. Une modification DNS ou un changement de propriétaire mal préparé peut perturber le site ou les e-mails.

Suivez cet ordre :

1. Identifiez le titulaire du domaine et vérifiez l'adresse e-mail associée.
2. Sécurisez un compte de référence de l'entreprise avec une double authentification.
3. Ajoutez un utilisateur individuel au site, à l'hébergement et aux outils de mesure.
4. Demandez une sauvegarde récente et vérifiez qu'elle peut être ouverte ou restaurée.
5. Notez les abonnements, les renouvellements, les licences et les frais récurrents.
6. Demandez au prestataire une procédure de transfert écrite, même si vous continuez à travailler ensemble.

Si vous ne savez pas où se trouve un compte, cherchez dans les factures, les e-mails de bienvenue et les avis de renouvellement. Évitez de supprimer un compte ou un ancien accès avant d'avoir confirmé qu'il ne contient plus de jeton de validation, de DNS ou de sauvegarde utile.

Besoin d'un avis clair avant de vous lancer ?

Un site web PME est vraiment livré lorsque l'entreprise sait qui contrôle le domaine, comment accéder au site, où récupérer les sauvegardes et quelles données seront conservées si le prestataire change. Cette vérification tient souvent sur une page, mais elle peut éviter une urgence coûteuse plusieurs mois plus tard.

Demandez un diagnostic offert