Votre site internet
vous appartient-il vraiment ?

Une page web visible dans un navigateur n'est que la partie émergée du système. Derrière elle se trouvent un nom de domaine, des réglages DNS, un hébergement, un CMS ou un dépôt de code, une base de données, des contenus, des créations graphiques, des comptes de mesure et parfois des services d'envoi d'e-mails, de réservation ou de paiement.

Ces éléments peuvent dépendre de fournisseurs différents et obéir à des règles différentes. Vous pouvez être titulaire du nom de domaine sans détenir les droits nécessaires sur certaines photographies. Vous pouvez disposer d'un accès au CMS sans pouvoir transférer l'hébergement. Vous pouvez récupérer le code sans obtenir les données qui rendent le service utile.

La bonne question n'est donc pas seulement « le site est-il à nous ? », mais : pouvons-nous l'administrer, le sauvegarder, le déplacer et continuer à l'exploiter sans dépendance forcée ?

Le domaine est l'adresse qui relie votre site, vos e-mails et une partie de votre réputation numérique. Pour les extensions gérées par l'Afnic, le titulaire est la personne physique ou morale à l'initiative de l'enregistrement et du maintien du domaine ; il détient les droits et responsabilités associés. Le contact administratif ou le prestataire technique n'est pas automatiquement titulaire.

Vérifiez donc que votre entreprise figure comme titulaire, que ses coordonnées sont à jour et qu'au moins une personne en interne peut accéder au compte du bureau d'enregistrement. Elle doit pouvoir renouveler le domaine, modifier les contacts, consulter les DNS et obtenir le code nécessaire à un transfert.

• le titulaire enregistré correspond à l'entreprise ou à son représentant légitime ;
• l'adresse e-mail de récupération ne dépend pas d'une seule personne extérieure ;
• le renouvellement automatique et le moyen de paiement sont contrôlés ;
• les accès sont protégés par une authentification forte et documentés ;
• la date d'expiration et le bureau d'enregistrement sont connus.

Une recherche Whois ou RDAP peut fournir des indications, mais certaines données sont masquées pour protéger les personnes physiques. En cas de doute, demandez au bureau d'enregistrement une preuve de titularité et une procédure de reprise d'accès.

Un identifiant WordPress, Shopify ou Webflow permet souvent de modifier les pages, mais pas forcément de gérer le serveur, le domaine, les sauvegardes ou la facturation. De la même façon, un accès à l'hébergement ne donne pas toujours accès au dépôt contenant le code source ou aux services externes utilisés par le site.

Établissez une cartographie simple des comptes : domaine et DNS, hébergement, CMS, dépôt de code, base de données, messagerie transactionnelle, statistiques, Search Console, outils publicitaires, paiement et services connectés. Pour chacun, notez le propriétaire du compte, les administrateurs, la méthode de récupération et la personne qui reçoit les alertes de sécurité ou de facturation.

La maîtrise ne suppose pas que toute l'équipe possède tous les mots de passe. Elle exige qu'un accès légitime puisse être récupéré par l'entreprise, même si le collaborateur ou le prestataire habituel devient indisponible.

Le paiement d'une prestation ne suffit pas, à lui seul, à décrire les droits transmis sur les maquettes, illustrations, photographies, textes ou développements originaux. En droit français, l'article L131-3 du Code de la propriété intellectuelle prévoit que les droits cédés soient mentionnés distinctement et que leur domaine d'exploitation soit délimité, notamment quant à son étendue, sa destination, son lieu et sa durée.

Le contrat doit donc dire ce que l'entreprise peut utiliser, modifier, reproduire ou confier à un tiers. Il doit aussi distinguer les créations originales des composants sous licence : police, thème, extension, bibliothèque, photographie de banque d'images ou service SaaS. Certains restent utilisables tant qu'un abonnement est actif sans devenir pour autant la propriété du client.

Un site peut contenir des comptes clients, demandes de contact, commandes, statistiques ou documents. Il faut savoir où ces données sont hébergées, qui peut les consulter, comment les exporter et ce qui advient d'elles à la fin de la prestation.

La CNIL recommande d'encadrer la sous-traitance par un contrat précisant notamment les conditions de restitution et de destruction des données en fin de contrat. Le RGPD prévoit, selon le choix du responsable du traitement, leur suppression ou leur renvoi au terme de la prestation, sauf obligation légale contraire.

Examinez également les services reliés au site : outil d'e-mailing, paiement, réservation, CRM, analyse d'audience ou automatisation. Un export CSV ne suffit pas toujours à recréer les segments, historiques, réglages ou scénarios. La réversibilité doit donc préciser ce qui est exportable, dans quel format et avec quelles limites.

Posséder les fichiers d'un site sans savoir les restaurer procure une sécurité trompeuse. Une sauvegarde exploitable doit couvrir les fichiers, la base de données, les médias, les configurations utiles et, selon le projet, les variables nécessaires au déploiement. Elle doit être datée, protégée et indépendante du système qu'elle sauvegarde.

L'ANSSI recommande la règle « 3-2-1 » : trois copies distinctes des données, sur deux supports différents, dont une hors ligne. Pour un site, cela peut correspondre à la version en production, une sauvegarde automatisée chez l'hébergeur et une copie séparée dans un espace contrôlé par l'entreprise.

Le point souvent oublié est le test de restauration. Une archive présente dans une interface ne prouve pas qu'elle est complète. Programmez périodiquement une restauration dans un environnement isolé et notez le temps, les accès et les étapes nécessaires.

Attendre un conflit, une urgence ou la disparition d'un interlocuteur est la pire manière de tester son indépendance. La remise des accès, des fichiers et de la documentation doit être prévue dès le devis ou le contrat, puis actualisée pendant la vie du projet.

Cette autonomie n'empêche pas une relation durable avec une agence. Au contraire, elle transforme la dépendance en choix : l'entreprise reste parce que l'accompagnement lui apporte de la valeur, et non parce qu'elle ne peut plus partir. C'est aussi un critère pertinent lorsque vous comparez le coût réel de plusieurs solutions web.

Organisez enfin un exercice simple : choisissez une personne qui ne gère pas le site au quotidien et demandez-lui de retrouver le titulaire du domaine, la dernière sauvegarde, le contrat, la liste des services et la procédure de transfert. Chaque hésitation révèle une dépendance à documenter.