Prestataire web et accès administrateur
Comment éviter les dépendances dangereuses

Quand le site appartient techniquement à quelqu’un d’autre

Beaucoup de PME pensent posséder leur site parce qu’elles l’ont payé. En pratique, la question est plus subtile : elles possèdent peut-être le design, les contenus ou le nom commercial, mais pas toujours les accès qui permettent de piloter le site.

Le nom de domaine peut avoir été enregistré sur le compte du prestataire. L’hébergement peut être dans un compte agence. Le DNS peut être géré dans un Cloudflare que le client ne voit pas. Les licences Elementor, sauvegarde, sécurité ou formulaire peuvent appartenir au prestataire. La Search Console peut être au nom d’un ancien freelance.

Tant que tout se passe bien, cette organisation paraît confortable. Le prestataire s’occupe de tout, le client n’a pas à gérer la technique. Mais le jour où il faut intervenir vite, changer d’agence, restaurer le site, transférer le domaine, corriger le DNS ou récupérer les sauvegardes, cette dépendance devient un risque.

Les actifs critiques à ne jamais perdre de vue

Avant de parler d’accès, il faut identifier ce qui a de la valeur. Le prestataire peut administrer ces éléments, mais l’entreprise doit savoir où ils sont, qui les possède, et comment y accéder.

Propriété, accès, administration : trois notions à distinguer

Une confusion fréquente consiste à mélanger propriété et accès. La propriété désigne qui détient officiellement l’actif : titulaire du nom de domaine, propriétaire du compte Google, client de l’hébergeur, détenteur de la licence.

L’accès désigne la capacité à se connecter à un outil. Un prestataire peut avoir un accès administrateur sans être propriétaire du compte. C’est souvent le bon modèle : le client reste propriétaire, le prestataire est invité avec un rôle adapté.

L’administration désigne l’action de gérer au quotidien : mises à jour, configuration, support, sécurité, supervision. Une entreprise peut déléguer l’administration sans perdre la propriété.

Les mauvais schémas qui créent une dépendance

Certaines organisations semblent pratiques au départ, mais deviennent dangereuses. Le problème n’est pas la délégation. Le problème est la délégation sans réversibilité.

Ce que l’entreprise doit posséder directement

Pour une PME, certains actifs devraient être au nom de l’entreprise ou dans un compte contrôlé par elle. Ce modèle n’empêche pas le prestataire de travailler. Il évite simplement qu’il soit le seul point de contrôle.

Comptes administrateurs WordPress : les bonnes pratiques

WordPress est souvent le cœur opérationnel du site. Les comptes administrateurs doivent donc être gérés avec rigueur. La documentation officielle WordPress rappelle que les rôles définissent ce que chaque utilisateur peut faire dans le site, et qu’il faut donc adapter le rôle au besoin réel.

Les rôles WordPress à connaître

WordPress propose par défaut plusieurs rôles. Un prestataire chargé de la maintenance technique peut avoir besoin d’un accès administrateur. Un rédacteur, un partenaire éditorial ou un intervenant contenu n’en a généralement pas besoin.

DNS, domaine et emails : le trio à protéger en priorité

Le nom de domaine et le DNS sont souvent plus critiques que le site lui-même. Si le domaine expire, le site et les emails peuvent tomber. Si le DNS est mal modifié, le site peut pointer au mauvais endroit. Si les enregistrements emails sont cassés, les messages peuvent ne plus arriver ou partir en spam.

Licences premium : attention aux licences “agence”

De nombreux sites WordPress utilisent des extensions premium : Elementor Pro, formulaires, SEO, sécurité, sauvegarde, traduction, WooCommerce, cache, galerie, réservation, paiement, etc.

Les licences agence ne sont pas mauvaises en soi. Elles permettent parfois au client de bénéficier d’outils professionnels à moindre coût. Mais le contrat doit préciser ce qui se passe si la relation se termine : maintien temporaire, transfert vers une licence client, remplacement de l’outil, ou perte des mises à jour premium.

Un site ne doit pas découvrir au moment du départ que plusieurs fonctions critiques dépendaient de licences détenues par l’ancien prestataire.

Sauvegardes : l’accès de dernier recours

La sauvegarde est l’assurance opérationnelle du site. Mais elle ne sert à rien si l’entreprise ne peut pas l’obtenir. Le contrat ou la procédure doit préciser les conditions de restauration et de restitution.

Search Console, Analytics et comptes tiers

Les comptes tiers sont souvent oubliés lors d’un changement de prestataire. Pourtant, ils portent une partie importante de l’historique du site. Le bon modèle est de créer les comptes au nom de l’entreprise, puis d’ajouter le prestataire comme utilisateur ou partenaire.

Accès prestataire et sous-traitance

Un prestataire web peut accéder à des données personnelles : formulaires, emails, comptes utilisateurs, commandes WooCommerce, logs, sauvegardes, exports CRM, analytics, support client.

Dès lors que le prestataire traite ces données pour le compte de l’entreprise, il est généralement sous-traitant au sens du RGPD. L’article 28 impose un contrat écrit entre le responsable de traitement et le sous-traitant, précisant notamment l’objet, la durée, la nature et la finalité du traitement, les types de données, les catégories de personnes concernées, les obligations de confidentialité, les mesures de sécurité, l’assistance, les sous-traitants ultérieurs et le sort des données en fin de prestation.

Le contrat doit aussi cadrer les sous-traitants ultérieurs. Si le prestataire web utilise lui-même un hébergeur, un CDN, un outil de sauvegarde cloud, une solution SMTP ou un service de sécurité qui traite des données personnelles, il doit respecter les conditions prévues par l’article 28. Le sous-traitant ne peut pas recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, du responsable de traitement, et il doit l’informer des changements prévus afin de lui permettre d’émettre des objections.

Sécuriser sans bloquer le prestataire

L’objectif n’est pas de compliquer le travail du prestataire. Un prestataire doit pouvoir intervenir vite et correctement. Mais les accès doivent être organisés.

• ✓créer un compte nominatif pour chaque intervenant ;
• ✓utiliser le rôle minimal nécessaire ;
• ✓activer l’authentification à deux facteurs sur les comptes sensibles ;
• ✓éviter les mots de passe transmis par email ;
• ✓utiliser un gestionnaire de mots de passe partagé ;
• ✓documenter les accès critiques hors du site ;
• ✓limiter les accès temporaires dans le temps ;
• ✓supprimer les comptes à la fin de l’intervention ;
• ✓conserver un accès administrateur client ;
• ✓tester la récupération des comptes stratégiques.

La sécurité ne consiste pas à refuser les accès. Elle consiste à savoir qui a accès, à quoi, pourquoi, et jusqu’à quand.

Changement de prestataire : la clause de réversibilité

La réversibilité est la capacité à sortir proprement d’un contrat ou à changer de prestataire sans perdre le contrôle du site. Elle doit être prévue avant le conflit, pas après.

Une clause de sortie claire protège autant le client que le prestataire. Elle évite les accusations, les blocages et les départs désorganisés.

Les erreurs fréquentes

Checklist dirigeant : que vérifier maintenant ?

Méthode simple pour reprendre la maîtrise

1. 01
   Lister les actifs

   Domaine, DNS, hébergement, WordPress, sauvegardes, emails, licences, Search Console, Analytics, outils tiers.

2. 02
   Identifier les propriétaires

   Pour chaque actif : entreprise, prestataire, ancien prestataire, salarié, compte personnel, compte agence.

3. 03
   Identifier les accès

   Qui peut se connecter ? Avec quel rôle ? Avec quelle adresse email ? Avec ou sans double authentification ?

4. 04
   Corriger les actifs critiques

   Priorité au domaine, DNS, hébergement, sauvegardes et comptes administrateurs.

5. 05
   Documenter

   Créer une fiche d’accès hors WordPress : où sont les accès, qui les détient, comment les révoquer, qui contacter.

6. 06
   Sécuriser

   2FA, gestionnaire de mots de passe, comptes nominatifs, suppression des anciens accès, rôles adaptés.

7. 07
   Prévoir la sortie

   Ajouter une clause de réversibilité, une procédure de restitution et un état technique en fin de contrat.

Questions fréquentes