Ce guide s’adresse à toute PME ou marque qui se retrouve du jour au lendemain sans nouvelles de son prestataire web, agence en liquidation, freelance injoignable, silence radio depuis des semaines. Objectif : reprendre le contrôle de chaque brique de votre présence en ligne, dans le bon ordre, sans perdre de données.
Prérequis avant de commencer :
- L’adresse e-mail que vous avez utilisée pour signer chez le prestataire (ou pour créer vos comptes)
- Un accès à cette boîte mail (vérifiez dès maintenant que vous pouvez vous connecter)
- Les anciens devis ou bons de commande signés (pour connaître les prestataires tiers : registrar, hébergeur…)
- 2 à 3 heures devant vous, certaines étapes demandent d’attendre des confirmations par e-mail
1. Cartographier ce que vous possédez (ou pas)
Avant d’agir, dressez l’inventaire. Un site web repose sur quatre couches distinctes :
- Le nom de domaine (ex. :
mamarque.fr), enregistré chez un registrar - L’hébergement, le serveur où tourne votre site
- Le CMS / back-office, WordPress, Shopify, ou autre
- Le code source et les contenus, fichiers, base de données, visuels
Un registrar (bureau d’enregistrement) désigne l’entreprise accréditée qui inscrit un nom de domaine auprès du registre de son extension, l’AFNIC pour le .fr (source : IANA, Root Zone Database). Chaque couche peut appartenir à une entité différente. Ouvrez votre boîte mail et cherchez les termes : “OVH”, “Infomaniak”, “o2switch”, “Gandi”, “Ionos”, “GoDaddy”, “Shopify”, “confirmation commande”, “facture hébergement”. Ces e-mails vous révèlent à qui vous avez affaire.
Si vous ne trouvez rien : rendez-vous sur who.is ou utilisez la commande whois mamarque.fr, le champ Registrant Email vous indique l’e-mail du propriétaire enregistré. Si c’est l’e-mail du prestataire et non le vôtre, c’est le premier problème à régler (voir étape 3).
2. Sécuriser votre nom de domaine en priorité
Le domaine est votre actif le plus critique. Sans lui, votre site disparaît et vos e-mails tombent. C’est aussi ce qui expire silencieusement si personne ne renouvelle.
Le WHOIS désigne l’annuaire public qui relie un domaine à son titulaire, à son registrar et à ses dates clés. Vérifiez la date d’expiration via whois ou directement sur le site du registrar. Si l’expiration est dans moins de 30 jours, c’est urgent.
- Si le domaine est à votre nom (votre e-mail dans le whois) : connectez-vous au registrar, changez le mot de passe, activez le renouvellement automatique. Vérifiez que les DNS pointent toujours correctement, notre article sur les problèmes de propagation DNS détaille comment diagnostiquer ça.
- Si le domaine est au nom du prestataire : envoyez un e-mail recommandé (ou LR électronique via AR24) au prestataire pour demander le transfert. En parallèle, contactez directement le registrar avec vos justificatifs (contrat, factures) pour déclarer que vous êtes le commanditaire réel. Sur les extensions génériques, la politique de transfert de l’ICANN oblige le bureau d’enregistrement à remettre le code AuthInfo dans les 5 jours calendaires suivant la demande du titulaire, et lui interdit de le retenir au seul motif d’un litige de paiement (source : ICANN, Transfer Policy, sections 5.2 et 5.4). L’AFNIC (pour les
.fr) dispose d’une procédure de résolution des litiges de nommage, délai : 2 à 6 semaines.
Consultez aussi notre guide sur les accès à exiger de votre agence, il liste précisément ce que vous auriez dû obtenir dès le départ.
3. Récupérer l’accès à l’hébergement
Une fois le domaine sécurisé, attaquez l’hébergeur.
- Cherchez les e-mails de bienvenue de l’hébergeur (objet type “Vos informations de connexion” ou “Welcome to…”). L’hébergeur y est nommé.
- Tentez une réinitialisation de mot de passe avec votre e-mail. Si c’est l’e-mail du prestataire qui est enregistré, appelez le support de l’hébergeur : la plupart (OVH, Infomaniak, o2switch) acceptent de transférer un compte sur présentation d’un justificatif de propriété (extrait Kbis, contrat signé).
- Si l’hébergeur est introuvable : un
nslookup mamarque.frou un outil de reverse IP peut identifier le serveur. La zone DNS (champsNSetA) pointe vers l’hébergeur réel.
Une fois dans le panel d’hébergement (cPanel, Plesk, Infomaniak…), changez immédiatement tous les mots de passe : FTP, base de données, e-mail admin.
4. Reprendre le back-office CMS
Avec l’accès FTP ou SSH à l’hébergement, vous pouvez réinitialiser n’importe quel mot de passe WordPress sans passer par le prestataire.
Sur WordPress :
- Connectez-vous en FTP (ou via le gestionnaire de fichiers du panel)
- Ouvrez
wp-config.php, notez les identifiants de base de données (DB_NAME,DB_USER,DB_PASSWORD) - Depuis phpMyAdmin (accessible dans la plupart des panels), ouvrez la table
wp_users - Localisez votre compte admin, cliquez “Modifier”, remplacez le champ
user_passpar un hash MD5 de votre nouveau mot de passe (vous pouvez en générer un en ligne) - Reconnectez-vous à
/wp-admin
Si le site affiche des erreurs critiques au lieu du back-office, notre article « Une erreur critique » WordPress couvre les cas les plus fréquents.
5. Exporter le code source et la base de données
Dès que vous avez la main sur le serveur, exportez tout avant de toucher quoi que ce soit d’autre. C’est votre filet de sécurité.
- Fichiers : via FTP (FileZilla), téléchargez l’intégralité du répertoire racine
- Base de données : depuis phpMyAdmin, “Exporter” → format SQL, tout sélectionner
- Contenus médias : le dossier
wp-content/uploads/(WordPress) ou son équivalent selon votre CMS
Stockez ces exports à deux endroits : un disque local et un cloud (Google Drive, Dropbox). Si le prestataire réapparaît et tente de supprimer le site, vous avez une copie propre.
6. Changer tous les accès compromis
Une fois la reprise effectuée, faites le tour complet :
- Mot de passe du registrar
- Mot de passe de l’hébergeur
- Mot de passe admin CMS
- Clés FTP / SSH (supprimez les anciennes clés du prestataire)
- Accès aux réseaux sociaux liés au site
- Accès Google Analytics / Search Console : révoquez les droits de l’ancienne agence, sachant qu’un propriétaire vérifié garde ses droits tant que sa vérification n’est pas supprimée (source : Google, gérer les propriétaires, utilisateurs et autorisations)
- Accès Shopify, Stripe, ou tout outil e-commerce
Pièges courants
| Situation | Ce qui se passe vraiment | Ce qu’il faut faire |
|---|---|---|
| Le prestataire “garde” le domaine en otage | Il peut ne pas renouveler pour vous forcer à payer | Contactez l’AFNIC + envoyez une mise en demeure par LR |
| Le site fonctionne mais vous n’avez aucun accès | Le prestataire est techniquement toujours “dedans” | Changez les DNS vers un nouvel hébergeur, reconstruisez proprement |
| WordPress plante après reprise FTP | Plugin ou permission incorrecte | Voir plugin cassé après MAJ |
| L’hébergeur réclame le paiement d’arriérés | Le prestataire n’a pas payé avec votre argent | Vérifiez les factures, négociez directement, l’hébergeur préfère un client solvable |
| DNS mal configurés après migration | Site inaccessible ou e-mails cassés | Suivez notre guide domaine perso sur Vercel/Netlify si vous migrez vers un hébergement moderne |
La règle la plus utile à retenir pour la suite : chaque accès doit exister à votre nom, sur votre e-mail, payé par votre carte. Un prestataire qui crée les comptes en son nom propre ne vous rend pas service, il crée une dépendance. Pour ne plus jamais vous retrouver dans cette situation, la checklist des 7 accès à exiger est à conserver dès le premier jour d’une nouvelle collaboration. Si vous préférez confier la récupération et la reprise : reprise de site web.
Ce problème, Peechy s'en occupe
Plutôt que de tout gérer seul, confiez votre site à une agence qui s'occupe de tout, hébergement, sécurité, maintenance et corrections. Encore plus simple en abonnement : on règle les soucis avant même que vous les remarquiez.
Confier mon site à Peechy
