À qui appartient vraiment votre site internet ?

Un site internet n’est pas un objet unique

On parle souvent du site comme s’il s’agissait d’un meuble livré en une seule pièce. En réalité, plusieurs éléments cohabitent : une adresse, un hébergement, des textes et des images, une interface, du code, des licences, des comptes techniques et parfois une base de données. Ils peuvent dépendre de contrats et de titulaires différents.

Cette distinction évite deux erreurs opposées. La première consiste à croire que tout appartient automatiquement à l’entreprise dès que la facture est payée. La seconde consiste à penser qu’elle ne possède rien parce qu’un prestataire administre encore le serveur. La réponse se construit élément par élément, à partir des comptes et des documents disponibles.

Le guide publié par l’État sur les bons réflexes de propriété intellectuelle distingue lui-même les contenus — logo, textes, photos, apparence — du contenant technique — CMS, développement et hébergement. C’est le bon point de départ pour poser les questions dans le bon ordre.

• L’adresse : nom de domaine, titulaire et bureau d’enregistrement.
• Les contenus : textes, photos, vidéos, logo et documents.
• La fabrication : design, thème, code spécifique, CMS et extensions.
• L’exploitation : hébergement, DNS, sauvegardes et services connectés.
• Les données : formulaires, clients, commandes, comptes et statistiques.

Commencer par le nom de domaine, parce que tout passe par lui

Le nom de domaine est l’adresse publique du site, mais aussi le point de passage des courriels et de nombreux réglages techniques. La première vérification est simple : quelle personne ou quelle société figure comme titulaire, chez quel bureau d’enregistrement, et qui peut ouvrir le compte qui permet de le renouveler ou de le transférer ?

Un prestataire peut parfaitement rester contact administratif ou technique. Ce rôle lui permet de gérer le domaine sans lui donner les droits du titulaire. La situation devient fragile lorsque l’entreprise ne sait pas où le domaine est enregistré, ne reçoit pas les avis de renouvellement ou dépend d’une adresse électronique qu’elle ne contrôle pas.

La bonne organisation n’exclut pas le prestataire : elle répartit les rôles. L’entreprise est titulaire, une adresse durable de l’entreprise sécurise le compte, et la personne qui intervient techniquement reçoit les droits nécessaires — pas davantage.

• Nom exact du titulaire et coordonnées à jour.
• Bureau d’enregistrement et identifiant du compte.
• Adresse électronique de récupération contrôlée par l’entreprise.
• Date de renouvellement et moyen de paiement connu.
• Procédure écrite pour autoriser un transfert.

Une facture payée ne décrit pas les droits livrés

Le paiement prouve qu’une prestation a été commandée et réglée. Il ne dit pas, à lui seul, comment chaque création peut être reproduite, modifiée, confiée à un autre prestataire ou réutilisée ailleurs. Pour les éléments protégés par le droit d’auteur, ces usages se lisent dans le contrat, le devis et les éventuelles licences.

Le Code de la propriété intellectuelle demande qu’une transmission de droits soit écrite et que les droits cédés ainsi que leur domaine d’exploitation soient délimités. Cela ne signifie pas qu’un client doit exiger indistinctement tous les droits sur tout. Cela signifie que les usages importants pour son activité ne doivent pas rester implicites.

Il faut aussi séparer la remise d’un fichier et le droit de l’exploiter. Recevoir le code source ne suffit pas à autoriser tous les usages ; disposer de droits théoriques sans code, documentation ni accès exploitable ne donne pas davantage d’autonomie. Pour un CMS, une extension ou une plateforme hébergée, une partie du système reste soumise à la licence de son éditeur. Le contrat doit nommer ces dépendances au lieu de les laisser apparaître le jour du départ.

Être titulaire sans disposer des accès reste une dépendance

Un document peut être parfaitement rédigé et le site rester impossible à reprendre parce que tous les comptes ont été créés dans la boîte personnelle d’un ancien salarié ou dans celle de l’agence. La propriété juridique et l’autonomie opérationnelle se complètent ; aucune ne remplace l’autre.

Le plus sûr est de créer les comptes structurants avec une adresse générique de l’entreprise, puis d’inviter les intervenants avec leur propre identité. Chacun dispose ainsi de droits nominatifs qui peuvent être retirés sans changer le mot de passe de toute l’équipe. Les doubles facteurs d’authentification et codes de secours restent, eux aussi, sous contrôle de l’entreprise.

Ne transmettez pas tous les mots de passe dans un document envoyé par courriel. Un gestionnaire de mots de passe ou le système d’invitation du service conserve l’historique, limite les droits et permet une révocation propre. La sécurité de l’infrastructure commence souvent par cette organisation discrète.

• Nom de domaine, DNS et éventuel CDN.
• Hébergement, serveur, stockage et sauvegardes.
• Dépôt du code et chaîne de déploiement.
• Administration du CMS, de la boutique ou de l’application.
• Courriels transactionnels, paiement et services externes.
• Analytics, Search Console, gestionnaire de balises et consentement.
• Gestionnaire de mots de passe, double authentification et codes de secours.

Les données doivent pouvoir sortir avant que le contrat s’arrête

Les données ne sont pas seulement les textes visibles du site. Une boutique contient des clients, des commandes et des factures ; une application métier, des comptes, des statuts et un historique ; un simple formulaire, des demandes qui peuvent comporter des données personnelles. Un export inutilisable ou incomplet ne constitue pas une vraie reprise.

Le contrat doit préciser ce qui sera rendu, dans quel format, avec quelles pièces jointes et à quel moment. Il doit aussi dire ce qu’il advient des copies conservées par le prestataire et ses propres sous-traitants. La CNIL recommande de fixer les conditions de restitution ou de destruction des données dès la relation contractuelle, pas après la rupture.

Le test le plus simple consiste à réaliser un export pendant que tout va bien, puis à l’ouvrir ailleurs. On vérifie alors les encodages, les médias, les relations entre les données et la documentation nécessaire. Une sauvegarde qui n’a jamais été restaurée reste une promesse.

Le bon contrat se comprend le jour où la collaboration s’arrête

Une clause de réversibilité n’a pas besoin d’être hostile. Elle décrit simplement une sortie ordonnée : délai de préavis, éléments remis, format des exports, transfert des comptes, assistance éventuelle, coût et suppression des accès devenus inutiles. Un prestataire sérieux préfère cette clarté à une séparation improvisée.

La question utile n’est pas « est-ce que tout m’appartient ? », mais « qu’est-ce que mon entreprise doit pouvoir continuer à faire sans cette personne ? ». Publier, corriger, renouveler le domaine, restaurer le service, confier une évolution, exporter les données : chaque réponse révèle un accès ou une clause à prévoir.

Cette vérification complète naturellement le guide des points à contrôler dans un devis et le modèle de cahier des charges. Quelques lignes précises avant la signature coûtent moins cher qu’une reconstitution menée dans l’urgence.

• Liste exacte des comptes créés et identité de leur titulaire.
• Livrables remis à la mise en ligne puis à la fin du contrat.
• Licences tierces, renouvellements et limites d’export.
• Droits d’usage, de modification et de transmission attendus.
• Formats de restitution des fichiers et des données.
• Délai, coût et périmètre de l’assistance au transfert.
• Suppression ou révocation des accès après validation de la reprise.

Si les accès manquent déjà, commencer par un inventaire calme

Changer tous les mots de passe ou les DNS dans l’urgence peut rendre le site indisponible et couper les courriels. Commencez par rassembler les factures, contrats, courriels de renouvellement et invitations reçues. Ils permettent souvent d’identifier le bureau d’enregistrement, l’hébergeur, les services connectés et les personnes qui possèdent encore un accès.

Demandez ensuite une liste écrite des comptes et des livrables, sans accuser ni présumer du résultat juridique. Sauvegardez ce qui est accessible avant toute modification. Si un transfert est possible, organisez-le service par service et vérifiez chaque reprise avant de révoquer l’ancien accès.

Un désaccord sur les droits, un domaine enregistré au mauvais nom ou un refus de restitution ne se règle pas en forçant un accès technique. Dans ce cas, conservez les documents et échanges, puis faites examiner le contrat par un professionnel compétent. Pour une refonte sans conflit, le plan de migration SEO peut ensuite organiser la partie visible du passage.

• Inventorier avant de modifier.
• Sauvegarder avant de transférer.
• Utiliser des adresses contrôlées par l’entreprise.
• Tester chaque accès reçu et chaque export.
• Révoquer les anciens droits seulement après validation.
• Faire relire le contrat si la propriété ou la restitution est contestée.