À qui appartient vraiment votre site ? Le vrai audit

“C’est mon site, je l’ai payé” : la phrase qui coûte cher

Payer un site ne veut pas dire le posséder. C’est contre-intuitif, et pourtant c’est la source de la majorité des dossiers de sauvetage qui atterrissent sur mon bureau. Un dirigeant me dit “j’ai dépensé 12 000 € sur mon site en trois ans”, et quand on creuse, il ne détient ni le nom de domaine, ni le code, ni l’accès à ses propres statistiques de référencement. Il a financé un actif qui ne lui appartient pas.

La propriété d’un site web n’est pas un bloc unique. C’est un empilement de cinq couches juridiques distinctes, chacune avec son propre régime, son propre titulaire et son propre piège. Vous pouvez très bien posséder l’une et pas les autres. Le Journal du Net documente régulièrement ces PME qui découvrent, après une rupture, qu’elles ne possédaient ni domaine, ni code, ni accès hébergeur (Journal du Net). On va décortiquer ces cinq strates une par une, et je vous donne en fin d’article la checklist exacte à exiger avant de signer.

Strate 1 : le nom de domaine, votre adresse n’est pas à vous par défaut

Le nom de domaine, c’est le socle. Sans lui, pas d’email pro, pas d’URL, pas de référencement qui tienne. Et c’est souvent le point le plus mal géré.

Première subtilité : un nom de domaine ne s’achète pas, il se loue. L’AFNIC, qui gère le registre des .fr, est claire là-dessus : le titulaire (registrant) détient un droit d’usage soumis à renouvellement annuel, pas un droit de propriété absolue (AFNIC). Si le renouvellement n’est pas payé, le domaine retombe dans le pot commun et n’importe qui peut le récupérer. J’ai vu des marques perdre dix ans de notoriété parce qu’une agence avait oublié de renouveler un .fr enregistré à son propre nom.

Deuxième subtilité, plus grave : qui est déclaré titulaire ? Si votre agence a enregistré le domaine en son nom, c’est elle le titulaire légal. L’ICANN est formelle : seul le titulaire (registrant) peut autoriser ou refuser un transfert vers un autre registrar (ICANN). Concrètement, si vous voulez partir, votre ancien prestataire peut bloquer le transfert. C’est ce qu’on appelle, dans les cas les plus tendus, du domain hijacking — une pratique que les tribunaux français requalifient de plus en plus en abus de confiance.

Ce qu’il faut vérifier

Allez sur un service de WHOIS et tapez votre domaine. Regardez le champ “titulaire” ou “registrant”. Ce doit être le nom de votre entreprise, pas celui de votre agence ni d’un développeur. Si ce n’est pas le cas, demandez immédiatement un transfert avec le code d’autorisation (AuthInfo/EPP). Le transfert entre registrars prend 5 à 7 jours.

Si vous êtes déjà dans une situation bloquée, j’ai détaillé la marche à suivre dans récupérer son site quand le prestataire a disparu. En cas de litige caractérisé sur un .fr, la procédure SYRELI de l’AFNIC permet de contester un enregistrement abusif.

Strate 2 : l’hébergement, le contrat doit être à votre nom

L’hébergement, c’est là où vivent physiquement vos fichiers et votre base de données. Là encore, le piège est le titulaire du contrat.

France Num, le dispositif gouvernemental d’accompagnement numérique des TPE/PME, recommande sans ambiguïté que le contrat d’hébergement soit souscrit directement au nom de l’entreprise cliente (France Num). La raison est simple : en cas de cessation d’activité de l’hébergeur ou de votre agence, seul le titulaire du contrat peut demander la migration ou la restitution des données.

Beaucoup d’agences mutualisent leurs clients sur un compte hébergeur unique, “pour simplifier”. C’est commode pour elles, dramatique pour vous. Vous ne pouvez pas accéder seul à vos fichiers, vous ne pouvez pas télécharger vos sauvegardes, vous êtes captif.

La clause de réversibilité

Le mot magique à exiger dans tout contrat, c’est réversibilité. Une clause de réversibilité garantit que vous pouvez exporter l’intégralité de vos données et migrer chez un autre prestataire à tout moment. France Num insiste aussi sur un point trop souvent oublié : les sauvegardes du site doivent être accessibles et téléchargeables par le client à tout moment, pas seulement par l’agence.

Cette logique est d’ailleurs renforcée par le Data Act européen, applicable depuis 2025, qui muscle le droit des entreprises à accéder et transférer leurs données hébergées chez des tiers. Si votre prestataire refuse une clause de réversibilité en 2026, c’est un signal d’alarme — j’en parle dans la check-list pour choisir une agence premium.

Strate 3 : le code source, l’œuvre que vous ne possédez pas par défaut

C’est la strate la plus mal comprise, et de loin. Vous avez commandé un site, vous l’avez payé, donc le code est à vous ? Non. Pas en France, pas par défaut.

En droit français, le code source d’un site est une œuvre de l’esprit protégée par le droit d’auteur (article L.112-2 du Code de la propriété intellectuelle). Et les droits patrimoniaux appartiennent par défaut au développeur ou à l’agence qui a écrit le code, sauf cession expresse par contrat (Légifrance). Autrement dit : sans clause de cession dans votre contrat, vous n’êtes pas propriétaire du code de votre propre site, et vous ne pouvez pas le modifier librement.

L’avocat cité par le Village de la Justice résume parfaitement la confusion : il y a un monde entre “avoir fait faire un site” et “être propriétaire du site” (Village de la Justice).

Ce que doit contenir une cession valable

Une cession de droits n’est pas une phrase glissée en bas de devis. Pour être valide, elle doit être :

• écrite (jamais orale ni implicite) ;
• délimitée : périmètre des droits cédés (reproduction, modification, adaptation, diffusion), durée, territoire ;
• assortie d’une contrepartie financière clairement identifiée.

Attention à un piège annexe : un site WordPress bâti sur un thème premium (acheté sur ThemeForest, Envato…) repose sur une licence que l’agence détient, pas vous. Si le compte de licence est celui de l’agence, vos mises à jour de thème s’arrêtent le jour où vous partez. C’est l’une des raisons pour lesquelles un site peut soudain devenir ingérable — voir les 6 trucs qui cassent sur un site IA et, pour le choix de techno, WordPress ou Astro en 2026.

Le piège du CMS propriétaire

Cas particulier mais fréquent : les CMS SaaS fermés type Wix ou Squarespace. Là, la question de la cession de code ne se pose même pas, parce qu’il n’y a rien à céder. Le site ne peut pas être exporté ni migré. Vous louez un emplacement dans un centre commercial qui vous appartiendra jamais. C’est tenable pour un site vitrine simple, beaucoup moins quand votre activité dépend de votre présence en ligne.

Strate 4 : les contenus, vos textes et vos photos ont aussi un propriétaire

On oublie systématiquement cette couche, et pourtant elle est juridiquement explosive. Les textes, photos, vidéos et visuels produits pour votre site sont eux aussi protégés par le droit d’auteur de leurs créateurs.

Le Village de la Justice le rappelle : les contenus rédactionnels, photos et visuels produits par des tiers (rédacteur freelance, photographe, illustrateur) doivent faire l’objet d’une cession de droits spécifique, sinon leur utilisation reste tout simplement illicite. Vous pouvez vous retrouver à diffuser sur votre propre site des photos que vous n’avez pas le droit d’utiliser.

Concrètement, exigez une cession écrite pour :

• les textes rédigés par un prestataire externe ;
• les photos prises par un photographe (la facture ne vaut pas cession) ;
• les illustrations, pictos, vidéos et motion design ;
• les visuels d’identité si votre site sert de support à votre identité visuelle de marque.

Et méfiez-vous des images “libres de droits” : libre ne veut pas dire sans condition. Beaucoup de licences interdisent un usage commercial ou imposent une attribution.

Strate 5 : les comptes et accès tiers, là où dort votre référencement

Dernière strate, la plus discrète et souvent la plus précieuse : les comptes tiers. Google Search Console, Google Analytics 4, Tag Manager, comptes publicitaires, réseaux sociaux. C’est là que vivent vos données de trafic, votre historique SEO, vos audiences. Et c’est là que ça coince le plus à la rupture.

Google distingue le propriétaire vérifié d’une Search Console (celui qui a déposé le tag de vérification) du propriétaire réel du site (Google Search Central). Si votre agence est l’unique propriétaire vérifié, vous perdez à son départ tout votre historique de référencement : positions, requêtes, données d’indexation. Des années de données SEO qui s’évaporent.

Le passage à GA4 en 2023 a fait remonter quantité de cas où l’agence était propriétaire des données historiques, sans que le client puisse les récupérer. Côté données personnelles, la CNIL est nette : c’est votre entreprise qui doit être désignée responsable de traitement, pas l’agence, et vous devez pouvoir récupérer l’ensemble des données collectées en cas de rupture (CNIL).

La règle d’or des comptes Google

Tous vos comptes Google (Search Console, Analytics, Tag Manager, Ads) doivent être créés depuis votre compte Google, celui de votre entreprise. Vous ajoutez ensuite l’agence comme utilisateur ou administrateur — jamais l’inverse. Google recommande explicitement que le client soit propriétaire principal (full owner), pas simple utilisateur invité.

Cette logique d’accès, je l’ai détaillée dans les 7 accès à exiger de votre agence. C’est le document à lire avant toute signature.

Le tableau récapitulatif des 5 strates

La checklist à exiger avant de signer

Voici ce que je glisse dans tout contrat sérieux. Imprimez-la, confrontez-la à votre devis.

1. Nom de domaine enregistré au nom de votre entreprise, accès au compte registrar fourni.
2. Hébergement souscrit à votre nom, ou clause de réversibilité explicite + accès aux sauvegardes téléchargeables.
3. Cession écrite des droits patrimoniaux sur le code, avec périmètre, durée, territoire et contrepartie.
4. Licences des thèmes/plugins premium transférées ou achetées à votre nom.
5. Cession des droits sur tous les contenus (textes, photos, vidéos) produits par des tiers.
6. Comptes Google et réseaux sociaux créés depuis vos comptes, agence ajoutée en administrateur.
7. Liste exhaustive des accès et identifiants à remettre en fin de prestation, formalisée par écrit.
8. Désignation de votre entreprise comme responsable de traitement RGPD, avec récupération des données garantie — un point que je relie à la conformité RGPD 2026.

Le distinguo entre maintenance et accès est aussi à éclaircir dès le devis : voir maintenance illimitée vs frais à la carte et, sur le modèle économique, le piège du one-shot loué 48 mois.

FAQ

Le takeaway

Ne demandez pas “êtes-vous une bonne agence ?”. Demandez “que se passe-t-il le jour où je pars ?”. Une agence saine vous répond sans hésiter : domaine à votre nom, code cédé, accès remis, réversibilité garantie. Si la réponse est floue, vous n’achetez pas un site — vous vous abonnez à une dépendance. Faites le test du WHOIS sur votre domaine ce soir : trois minutes pour savoir si vous êtes vraiment chez vous.