Votre site est en ligne, les e-mails fonctionnent et une agence s’occupe de la maintenance. Tout semble donc sous contrôle. Mais que se passerait-il si cette agence fermait demain, si votre contact quittait l’entreprise ou si vous vouliez confier le site à un autre prestataire ?
Beaucoup de PME découvrent trop tard qu’elles ne peuvent pas modifier leur nom de domaine, accéder à Google Search Console, récupérer une sauvegarde ou simplement savoir qui paie l’hébergement. Le problème n’est pas forcément un prestataire mal intentionné. Il vient souvent d’un projet lancé vite, avec des comptes créés au nom de la mauvaise personne et aucune liste d’accès tenue à jour.
Ce guide permet de contrôler la situation avant une refonte, un changement d’agence ou une urgence technique.
La réponse courte : votre entreprise doit pouvoir garder son site, ses e-mails et sa visibilité Google sans dépendre du compte personnel d’un prestataire ou d’un ancien employé.
Être en ligne ne signifie pas maîtriser son site
Le mot « propriétaire » peut recouvrir plusieurs réalités. Il y a le titulaire du nom de domaine, la personne qui paie l’hébergement, les droits sur le code et les contenus, puis les rôles administrateurs dans les différents outils.
Un seul accès WordPress ne suffit donc pas. À l’inverse, l’entreprise n’a pas besoin d’administrer elle-même chaque réglage technique au quotidien. Une agence peut parfaitement gérer le site, à condition que le client conserve un accès durable, connaisse les services utilisés et puisse organiser un transfert.
La situation saine ressemble à ceci :
- un compte générique contrôlé par l’entreprise, par exemple
web@entreprise.ch, possède les actifs principaux ; - chaque collaborateur ou prestataire reçoit son propre accès avec le rôle nécessaire ;
- les mots de passe ne sont pas partagés par e-mail ;
- les contrats, factures, codes de récupération et contacts de support sont documentés ;
- un départ ou un changement d’agence n’interrompt ni le site ni les e-mails.
Le contrat reste important pour déterminer les droits sur le code, le design, les textes et les images. Cette checklist est un contrôle opérationnel, pas un avis juridique sur la propriété intellectuelle.
Faites l’audit des 12 accès
Répondez selon la situation actuelle, pas selon ce qui devrait théoriquement être prévu dans le contrat. Si personne dans l’entreprise ne peut ouvrir le compte ou prouver son rôle, choisissez « Non ».
Audit express
Votre score d’autonomie numérique
Pour chaque point, choisissez la situation qui correspond aujourd’hui à votre entreprise. Aucun résultat n’est envoyé ni enregistré.
Prenez une capture ou imprimez le résultat. Pour chaque réponse « Partagé » ou « Non », notez le nom du service, l’adresse e-mail actuellement utilisée et la personne capable d’intervenir. Cela transforme immédiatement le diagnostic en plan d’action.
Contrôlez d’abord le domaine, les DNS et l’hébergement
Ces trois éléments forment la base technique. Une erreur à ce niveau peut couper le site, les e-mails ou les deux.
1. Le nom de domaine
Pour un domaine .ch, le service officiel NIC.ch permet d’identifier le registrar qui le gère. Depuis 2021, les données personnelles du titulaire ne sont plus affichées publiquement, mais le registrar et les informations techniques restent consultables.
Ensuite, vérifiez directement dans le compte du registrar :
- le nom de l’organisation ou du titulaire enregistré ;
- l’adresse e-mail de contact ;
- la date de renouvellement et le mode de paiement ;
- la possibilité d’obtenir un code de transfert ;
- l’activation de la double authentification ;
- les personnes qui ont accès au compte.
Le signal d’alerte classique est un domaine payé depuis le compte personnel du prestataire, avec une adresse e-mail que personne dans l’entreprise ne peut consulter.
2. Les DNS
Les DNS relient le domaine au site, aux e-mails et parfois à d’autres services. Ils peuvent être gérés chez le registrar, l’hébergeur, Cloudflare ou un autre fournisseur.
Avant de modifier quoi que ce soit, exportez ou capturez la zone DNS complète. Il faut notamment identifier les entrées du site, les enregistrements MX des e-mails et les réglages SPF, DKIM ou DMARC. Un transfert de site improvisé peut fonctionner sur le web tout en coupant silencieusement la messagerie.
3. L’hébergement et la facturation
Demandez le nom exact de l’hébergeur, le type d’offre, la date de renouvellement, le contact de facturation et la procédure d’accès au support. Vérifiez aussi où sont stockées les sauvegardes et combien de temps elles sont conservées.
Une facture au nom de l’entreprise est utile, mais elle ne remplace pas l’accès au compte. Le bon test est simple : une personne interne peut-elle se connecter, voir l’abonnement et ajouter un autre administrateur sans demander le mot de passe du prestataire ?
Si vous êtes encore au stade du devis, notre guide sur le prix d’un site web pour une PME à Neuchâtel détaille aussi les points que l’offre doit préciser.
Vérifiez le site, les e-mails et les sauvegardes
Une fois la fondation sécurisée, contrôlez ce qui permet de maintenir ou reconstruire le site.
4. Le CMS ou le code source
Sur WordPress, l’entreprise devrait posséder au moins un compte administrateur à son nom. Sur un site développé sur mesure, il faut savoir où se trouve le dépôt de code, qui en est propriétaire et comment produire une version déployable.
Demandez également la liste des extensions, thèmes, licences, intégrations et services externes. Un export du contenu ne contient pas toujours le design, les réglages, les formulaires ou les fonctions personnalisées.
5. Les e-mails liés au domaine
Le site et les e-mails peuvent dépendre du même domaine tout en étant hébergés chez des fournisseurs différents. Identifiez :
- l’administrateur de la messagerie ;
- les boîtes et alias actifs ;
- les règles de transfert ;
- le système utilisé, par exemple Microsoft 365, Google Workspace ou un hébergeur suisse ;
- le compte qui reçoit les alertes et factures.
Ne demandez pas une liste de mots de passe en clair. Demandez plutôt que l’entreprise obtienne un rôle administrateur propre, protégé par une double authentification et des moyens de récupération maîtrisés.
6. Une sauvegarde réellement récupérable
« Nous faisons des sauvegardes » n’est pas une preuve suffisante. Il faut connaître la fréquence, la durée de conservation, l’emplacement et la procédure de restauration.
Pour un site avec une base de données, une boutique ou des formulaires, la sauvegarde doit couvrir les fichiers et les données. Pour un site statique, le dépôt de code, les contenus, les images et la configuration de déploiement doivent être récupérables.
Le meilleur contrôle consiste à restaurer une copie dans un environnement de test. Un fichier jamais vérifié n’est qu’une promesse de sauvegarde.
Reprenez la propriété des comptes Google
Les comptes Google déterminent ce que vous savez de votre visibilité, de votre trafic et de vos campagnes. Ils doivent appartenir à l’entreprise, même lorsqu’une agence les gère.
7. Google Search Console
Search Console permet de suivre l’indexation, les requêtes et les problèmes détectés par Google. Dans Paramètres → Utilisateurs et autorisations, vérifiez qu’un compte interne est propriétaire de la propriété. Google distingue notamment le propriétaire vérifié, le propriétaire délégué et les utilisateurs avec des droits plus limités dans sa documentation sur les rôles Search Console.
Un simple accès en lecture n’est pas suffisant pour assurer la continuité. L’entreprise devrait conserver un propriétaire vérifié, puis déléguer à l’agence le niveau nécessaire.
8. Google Analytics et Tag Manager
Dans Google Analytics, contrôlez les accès au niveau du compte et de la propriété. Le rôle administrateur peut gérer les utilisateurs ; un rôle éditeur ne le peut pas. Google détaille ces différences dans son guide de gestion des accès Analytics.
Vérifiez aussi Google Tag Manager s’il est installé. Un changement d’agence peut laisser derrière lui un conteneur inaccessible, des balises publicitaires obsolètes ou des conversions que personne ne sait expliquer.
9. Google Business Profile
Pour une PME locale, la fiche visible dans Google Maps peut générer davantage d’appels que le site lui-même. Un compte interne doit être propriétaire principal. L’agence peut rester propriétaire secondaire ou gestionnaire selon ses missions.
Google précise que seul un propriétaire peut gérer les autres utilisateurs et qu’un profil ne possède qu’un seul propriétaire principal. La procédure se trouve dans l’aide officielle sur les propriétaires et gestionnaires Business Profile.
10. Google Ads et les autres comptes publicitaires
Un compte publicitaire ne devrait pas disparaître avec le prestataire qui l’a configuré. Contrôlez le numéro du compte, les administrateurs, le profil de paiement, les conversions et les éventuels comptes manager reliés.
Dans Google Ads, seul le niveau administrateur peut notamment modifier les accès et certains liens avec d’autres produits. Les niveaux d’accès Google Ads doivent donc être vérifiés avant de mettre fin à un mandat.
La même logique s’applique aux autres plateformes : l’entreprise possède le compte, puis invite ses partenaires. Elle ne dépend pas d’un compte publicitaire global détenu uniquement par l’agence.
N’oubliez pas les contenus, licences et contrats
11. Les textes, photos, polices et autres licences
Rassemblez les fichiers d’origine et les preuves de licence : photos achetées, polices, illustrations, vidéos, logo et documents téléchargeables. Une image visible sur le site n’est pas forcément réutilisable librement dans une campagne ou chez un autre prestataire.
Pour chaque actif important, notez sa source, la licence, la date d’achat et le compte qui a effectué l’achat. Demandez aussi si certains éléments proviennent d’un abonnement qui prendra fin avec le contrat de l’agence.
12. Le contrat et les services tiers
Relisez les clauses qui concernent les livrables, la maintenance, les délais de résiliation, la propriété intellectuelle et la restitution des données. Dressez ensuite la liste des services tiers : formulaires, newsletter, réservation, paiement, carte, avis clients, traduction ou automatisations.
Un changement d’agence réussi ne consiste pas seulement à copier des pages. Il faut préserver les formulaires, les redirections, le suivi des conversions, les e-mails transactionnels et les abonnements réellement utiles.
Interprétez votre score sans paniquer
Un score faible ne signifie pas automatiquement que le site doit être refait. Il indique que la continuité dépend trop fortement de personnes ou de comptes externes.
| Score | Situation | Priorité |
|---|---|---|
| 20 à 24 | Autonome | Documenter les accès et refaire le contrôle chaque année |
| 12 à 19 | Dépendant | Régulariser les comptes importants avant une refonte |
| 0 à 11 | À risque | Sécuriser immédiatement domaine, e-mails et comptes Google |
Si le site fonctionne bien, récupérer les accès peut suffire. Si la structure, le mobile ou la maintenance posent aussi problème, faites ensuite notre test pour savoir s’il faut refaire le site ou le garder.
Récupérez les accès dans le bon ordre
Ne commencez pas par changer les mots de passe au hasard. Vous pourriez bloquer un service encore nécessaire ou interrompre les e-mails.
Procédez plutôt dans cet ordre :
- créez une adresse interne durable pour les comptes numériques ;
- identifiez le registrar, les DNS, la messagerie et l’hébergement ;
- obtenez les rôles administrateurs sans supprimer immédiatement les accès existants ;
- activez la double authentification et documentez les moyens de récupération ;
- exportez les DNS, le site, les données et la liste des services tiers ;
- vérifiez Search Console, Analytics, Business Profile et les comptes publicitaires ;
- testez une sauvegarde ou un déploiement avant toute résiliation ;
- retirez les anciens accès seulement lorsque le transfert est confirmé.
Si le prestataire actuel coopère, cette vérification peut être faite sans conflit. Présentez-la comme une mesure de continuité d’entreprise, pas comme une rupture déjà décidée.
Utilisez ce modèle d’e-mail
Vous pouvez adapter ce message et l’envoyer à votre agence ou à votre prestataire :
Objet : inventaire et continuité des accès numériques
Bonjour,
Dans le cadre de notre suivi interne, nous mettons à jour l’inventaire des comptes liés à notre site et à notre visibilité en ligne.
Pouvez-vous nous transmettre la liste des fournisseurs et nous ajouter avec un accès administrateur lorsque cela s’applique : nom de domaine et DNS, hébergement, CMS ou dépôt de code, sauvegardes, messagerie, Search Console, Analytics, Tag Manager, Google Business Profile, comptes publicitaires et services tiers ?
Nous souhaitons également connaître les dates de renouvellement, les licences dépendantes de votre compte et la procédure de restitution prévue par notre contrat.
Il n’est pas nécessaire de nous envoyer des mots de passe en clair : nous préférons des invitations individuelles ou une procédure de transfert sécurisée.
Merci de nous indiquer les éventuels points qui nécessitent une intervention coordonnée afin d’éviter toute interruption du site ou des e-mails.
Conservez la réponse avec les contrats et factures, puis mettez l’inventaire à jour lors de chaque changement de collaborateur ou de prestataire.
Votre PME ne sait pas qui contrôle le domaine, le site ou ses comptes Google ? Envoyez-nous l’adresse du site. Peaks peut établir l’inventaire, identifier les dépendances et préparer un transfert sans couper les services existants.