Code, accès et contenus : ce qui doit vous appartenir à la livraison d’un site web

La livraison ne se limite pas à la mise en ligne

Un site web peut sembler terminé dès lors que ses pages s’affichent correctement et que son adresse fonctionne. Pourtant, cette mise en ligne ne constitue qu’une partie de la livraison. Le véritable enjeu est de savoir si vous disposez des moyens nécessaires pour administrer le site, le faire évoluer, le sauvegarder ou le confier à un autre professionnel.

La livraison doit donc être envisagée comme un transfert organisé de plusieurs éléments : le code, les accès techniques, les contenus, les données, les licences et les documents utiles. Si l’un de ces éléments manque, votre autonomie peut être limitée. Une entreprise peut alors se retrouver dans l’impossibilité de modifier une page, de récupérer ses données ou de changer de prestataire sans coût supplémentaire.

Avant de signer un devis, vérifiez ce que le contrat prévoit au sujet de la propriété et des droits d’utilisation. En droit français, la cession des droits d’auteur doit être suffisamment précise. Le Code de la propriété intellectuelle prévoit notamment que les droits cédés et leur domaine d’exploitation doivent être identifiés. Une simple formule indiquant que « tout est livré au client » peut donc être insuffisante pour encadrer les droits sur les créations.

Distinguer les éléments qui composent réellement un site

Le mot « site » désigne en réalité un ensemble de ressources qui n’ont pas toutes le même statut. Cette distinction facilite l’inventaire lors de la recette.

Cette liste doit être adaptée au projet. Un site vitrine simple n’aura pas les mêmes composants qu’une boutique en ligne, qu’un espace membre ou qu’un site connecté à un logiciel de gestion.

Le code source : obtenir une copie exploitable, pas seulement un accès visuel

Le code source comprend généralement les fichiers qui permettent au site de fonctionner : code de programmation, feuilles de style, scripts, modèles de pages, fichiers de configuration et éventuels modules développés spécifiquement. Un accès à l’interface d’administration ne remplace pas la remise du code. Il permet parfois de modifier du contenu, mais pas de reprendre la maintenance technique.

Demandez une copie complète et exploitable, dans un format courant. Si le projet est hébergé dans un dépôt de code, le transfert doit inclure l’historique utile, les branches nécessaires et les instructions de déploiement. Si le code est remis sous forme d’archive, celle-ci doit être accompagnée d’une notice précisant la structure des fichiers, les dépendances et la procédure d’installation.

Contrôlez également les composants réutilisables. Le prestataire peut avoir employé :

• un thème ou un modèle soumis à une licence particulière ;
• des extensions gratuites ou payantes ;
• des bibliothèques open source avec des obligations de conservation de mentions ;
• des éléments développés auparavant pour d’autres projets ;
• des services accessibles uniquement avec une clé ou un abonnement.

Vous ne devenez pas automatiquement propriétaire de tout ce qui se trouve dans les fichiers livrés. Le contrat doit distinguer les développements réalisés pour votre projet, les composants préexistants et les logiciels tiers. Il doit aussi préciser les droits dont vous bénéficiez : reproduction, modification, adaptation, représentation et transmission à un autre prestataire, selon les besoins du projet.

Les accès à récupérer avant de clôturer la mission

Un site peut fonctionner correctement tout en étant contrôlé par des comptes qui ne sont pas administrés par son propriétaire. Cette situation est fréquente lorsque le nom de domaine, l’hébergement ou les outils d’analyse ont été créés avec l’adresse électronique du prestataire.

Préparez un inventaire des accès et vérifiez que chaque compte est rattaché à une adresse professionnelle que vous contrôlez. Les mots de passe doivent être modifiés après la livraison et stockés dans un gestionnaire sécurisé. Évitez de conserver des identifiants dans un courriel non chiffré ou dans un document partagé sans protection.

La liste peut inclure :

1. le compte du registrar qui gère le nom de domaine ;
2. l’hébergement et le serveur, si ces éléments sont distincts ;
3. le système de gestion de contenu ;
4. la messagerie liée au domaine ;
5. le compte de gestion des certificats et du renouvellement HTTPS ;
6. les outils de mesure d’audience et de suivi des performances ;
7. les comptes de paiement, d’envoi d’e-mails ou de réservation ;
8. les comptes associés aux réseaux sociaux, si le site les utilise ;
9. les services de sauvegarde, de stockage et de distribution de fichiers.

Pour chaque compte, notez le titulaire, l’adresse de récupération, le rôle attribué aux utilisateurs, la date de renouvellement et la procédure de récupération. Un accès administrateur partagé entre plusieurs personnes est moins sûr qu’un compte individuel avec des droits adaptés.

Nom de domaine et hébergement : deux responsabilités à clarifier

Le nom de domaine mérite une vérification spécifique. Le titulaire enregistré auprès du bureau d’enregistrement doit être la personne ou l’organisation qui exploite réellement le projet, selon le montage retenu. Le prestataire peut intervenir comme contact technique ou administratif, mais cette fonction ne doit pas créer une confusion sur la détention du domaine.

Demandez un justificatif ou une capture de la fiche de gestion indiquant le titulaire, la date d’expiration et les coordonnées de récupération. Vérifiez aussi que le renouvellement automatique est activé uniquement si vous le souhaitez et que le moyen de paiement associé vous appartient.

Pour l’hébergement, récupérez au minimum les identifiants, la localisation des sauvegardes, la fréquence de ces sauvegardes et la durée de conservation prévue. Une sauvegarde stockée sur le même serveur que le site ne protège pas contre tous les incidents. Demandez si une restauration a été testée et dans quelles conditions elle peut être réalisée.

Le contrat doit enfin préciser ce qui se passe en cas d’impayé, de résiliation ou de changement de prestataire. Le transfert des fichiers et de la base de données doit être techniquement possible, sous réserve des sommes réellement dues et des dispositions contractuelles applicables.

Textes, images et fichiers : vérifier les droits d’utilisation

Les contenus ne sont pas de simples accessoires visuels. Les textes, photographies, illustrations, vidéos, pictogrammes, polices et documents téléchargeables peuvent être protégés par le droit d’auteur ou soumis à une licence. Une image trouvée sur un moteur de recherche n’est pas librement réutilisable parce qu’elle est visible en ligne.

À la livraison, demandez un tableau indiquant pour chaque contenu important :

• son origine et son auteur, lorsque cette information est connue ;
• la licence ou le contrat applicable ;
• le périmètre d’utilisation autorisé ;
• la durée et le territoire concernés, si ces limites existent ;
• les mentions à conserver ;
• la personne qui doit renouveler une licence payante.

Cette vérification concerne aussi les visuels fournis par le client. Le prestataire peut les intégrer techniquement sans être responsable de l’existence des droits. Il est donc utile de conserver les factures, autorisations, contrats de cession et preuves de licence dans un dossier distinct.

Pour les contenus rédigés spécialement pour le site, le contrat doit préciser si les droits sont cédés, concédés ou simplement inclus dans une prestation. Il doit également indiquer si vous pouvez réécrire les textes, les publier sur d’autres supports ou les confier à un autre professionnel. En cas de doute sur la portée d’une cession, demandez l’avis d’un juriste spécialisé.

Données, comptes utilisateurs et obligations de protection

Un site peut contenir des données personnelles : formulaires de contact, candidatures, inscriptions à une newsletter, comptes clients, commandes ou demandes de devis. À la livraison, vous devez savoir où ces données sont stockées, qui peut y accéder et comment les exporter.

Le Règlement général sur la protection des données, ou RGPD, impose un cadre aux traitements de données personnelles. La Commission nationale de l’informatique et des libertés, la CNIL, rappelle notamment l’importance de limiter les accès, de protéger les données et de définir des durées de conservation adaptées. Le prestataire technique peut agir comme sous-traitant dans certains cas, mais la répartition des responsabilités doit être documentée.

Demandez :

• un export de la base de données dans un format exploitable ;
• la liste des outils qui reçoivent des données ;
• la procédure de suppression ou de restitution des données ;
• la liste des personnes disposant d’un accès administrateur ;
• les informations nécessaires à la continuité du service après la fin du contrat.

Ne demandez pas que des données personnelles soient transférées dans un fichier ouvert sans protection. Organisez la remise par un canal sécurisé et supprimez les anciennes copies inutiles.

La recette : une méthode en quatre étapes

La recette ne consiste pas seulement à signaler les défauts d’affichage. Elle sert aussi à vérifier que les éléments livrés sont complets et utilisables.

1. Établir l’inventaire. Reprenez le devis, le cahier des charges et les échanges validés. Listez les pages, fonctionnalités, comptes, contenus et livrables attendus.
2. Tester les parcours. Vérifiez l’affichage sur plusieurs tailles d’écran, les formulaires, les liens, les téléchargements, les messages d’erreur, les comptes utilisateurs et les éventuels paiements.
3. Contrôler la remise. Ouvrez les archives, testez les identifiants, vérifiez les exports et demandez une démonstration de restauration ou de déploiement lorsque c’est pertinent.
4. Formaliser les réserves. Notez précisément les anomalies, leur priorité, la correction attendue et la date prévue. Faites distinguer les corrections incluses de celles qui feront l’objet d’un devis séparé.

Une livraison peut être acceptée avec réserves. L’important est de ne pas laisser un accord oral remplacer un document daté. Le procès-verbal de recette, même simple, doit identifier la version livrée, les réserves et les éléments encore attendus.

Les clauses à prévoir avant le début du projet

La plupart des difficultés se règlent plus facilement avant la production. Le contrat ou le devis détaillé peut prévoir une annexe de livraison comprenant l’inventaire des fichiers, des accès et des droits.

Les points suivants méritent une rédaction précise :

• la liste des livrables et leur format ;
• la titularité du nom de domaine ;
• les droits accordés sur les développements et les contenus ;
• le traitement des composants open source et des licences payantes ;
• la propriété ou l’accès aux bases de données ;
• les obligations de sauvegarde et de sécurité ;
• la procédure de transfert en cas de fin de mission ;
• la durée de l’assistance après livraison ;
• les conditions de correction des anomalies ;
• les éventuels frais de migration ou de sortie.

Attention à ne pas confondre propriété des fichiers et droit de maintenance. Même si vous disposez d’un droit d’utilisation étendu, une intervention sur un code mal documenté peut rester coûteuse. Demandez donc une documentation suffisante : architecture générale, technologies utilisées, variables de configuration, dépendances, tâches planifiées et procédure de mise en production.

Ce qui doit figurer dans le dossier de livraison

À la fin du projet, rassemblez les documents dans un espace contrôlé par vous. Le dossier peut contenir :

• le procès-verbal de recette et la liste des réserves ;
• l’archive du code ou la preuve du transfert du dépôt ;
• les exports de la base de données et des fichiers ;
• la liste des comptes et la procédure de récupération ;
• les licences et justificatifs relatifs aux contenus ;
• la documentation technique et éditoriale ;
• les informations de renouvellement des services ;
• les consignes de sauvegarde et de restauration ;
• les coordonnées des fournisseurs techniques, sans leur laisser le contrôle des comptes.

Conservez au moins deux copies des fichiers importants, dans des emplacements distincts. Testez périodiquement la lisibilité des sauvegardes. Un fichier présent dans un dossier ne constitue pas nécessairement une sauvegarde fiable s’il n’a jamais été ouvert ou restauré.

Les signaux d’alerte à traiter avant la signature

Certaines réponses doivent conduire à demander des explications écrites avant d’accepter la livraison. C’est notamment le cas lorsque le prestataire refuse de transmettre le code sans distinguer les éléments préexistants, lorsque le nom de domaine est enregistré à son nom, ou lorsque les accès sont fournis uniquement sous la forme d’un compte partagé.

Soyez également attentif aux formulations vagues : « accès complet », « licence incluse », « site livré clé en main » ou « maintenance comprise ». Ces expressions ne précisent ni le périmètre technique ni la durée des droits. Demandez ce que recouvre exactement chaque terme.

Une dépendance peut aussi être créée par une solution propriétaire non documentée, un abonnement indispensable à une fonctionnalité ou une clé API dont le renouvellement est rattaché au compte du prestataire. Cela ne signifie pas qu’il faut écarter tout outil spécialisé. Il faut simplement connaître les conséquences d’un changement de fournisseur et le coût éventuel de la migration.

FAQ : les questions fréquentes au moment de la livraison

Le client doit-il toujours recevoir tout le code source ?

Pas nécessairement dans les mêmes conditions pour chaque composant. Le contrat peut distinguer les développements créés pour le projet, les outils préexistants et les logiciels tiers. En revanche, les droits accordés et les limites d’utilisation doivent être clairement indiqués. Sans cette précision, la reprise par un autre professionnel peut devenir incertaine.

Un accès administrateur suffit-il pour être autonome ?

Non. Il permet de gérer certaines fonctions, mais ne remplace pas l’accès au nom de domaine, à l’hébergement, aux sauvegardes, aux données et aux services tiers. L’autonomie suppose que ces éléments soient identifiés et récupérables.

Qui est responsable des images et des textes fournis au prestataire ?

La responsabilité dépend du rôle de chacun et des stipulations contractuelles. La personne qui fournit un contenu doit pouvoir justifier qu’elle dispose des droits nécessaires. Le prestataire doit, de son côté, préciser les sources et licences des éléments qu’il sélectionne ou crée.

Faut-il changer les mots de passe après la livraison ?

Oui, c’est une mesure de sécurité raisonnable. Modifiez les mots de passe, les adresses de récupération et les clés d’accès sensibles, puis retirez les comptes qui ne sont plus nécessaires. Faites-le de manière coordonnée afin de ne pas interrompre le fonctionnement du site.

Que faire en cas de désaccord sur la propriété du site ?

Rassemblez le devis, le contrat, les factures, les échanges et les fichiers remis. Demandez une clarification écrite et évitez de supprimer ou modifier des éléments avant d’avoir sécurisé les sauvegardes. Pour une analyse de la cession de droits, des données ou des obligations contractuelles, consultez un avocat ou un autre professionnel compétent. Cet article fournit une information générale et ne remplace pas un avis juridique.